Jeder Dienst erstellt Ergebnisse mit unterschiedlichen Klassen. Die Ergebnisklasse wird durch die Sicherheitsbedingung bestimmt, die das Ergebnis erstellt hat.
Welche Ergebnisse Sie aufrufen und bearbeiten können, hängt von den IAM-Rollen (Identity and Access Management) und ‑Berechtigungen ab, die Ihnen zugewiesen sind. Weitere Informationen zu IAM-Rollen im Security Command Center finden Sie unter Zugriffssteuerung.
Detektoren und Compliance
Security Command Center überwacht Ihre Compliance mit Detektoren, die den Kontrollen einer Vielzahl von Sicherheitsstandards zugeordnet sind.
Für jeden unterstützten Sicherheitsstandard prüft Security Command Center eine Teilmenge der Kontrollen. Für die geprüften Kontrollen zeigt Security Command Center an, wie viele bestanden wurden. Für die Kontrollen, die nicht bestanden werden, zeigt Security Command Center eine Liste der Ergebnisse an, in denen die Kontrollfehler beschrieben werden.
Das CIS prüft und zertifiziert die Zuordnungen von Security Command Center-Detektoren zu jeder unterstützten Version der CIS Google Cloud Foundations Benchmark. Zusätzliche Compliance-Zuordnungen sind nur zu Referenzzwecken enthalten.
Security Command Center wird regelmäßig um neue Benchmark-Versionen und Standards erweitert. Ältere Versionen werden weiterhin unterstützt, aber irgendwann eingestellt. Wir empfehlen, die neueste unterstützte Benchmark oder den neuesten Standard zu verwenden.
Mit dem Sicherheitsstatus-Dienst können Sie Organisationsrichtlinien und Security Health Analytics-Detektoren den Standards und Kontrollen zuordnen, die für Ihr Unternehmen gelten. Nachdem Sie einen Sicherheitsstatus erstellt haben, können Sie Änderungen an der Umgebung überwachen, die sich auf die Compliance Ihres Unternehmens auswirken könnten.
Mit dem Compliance Manager können Sie Frameworks bereitstellen, die regulatorische Kontrollen Cloud-Kontrollen zuordnen. Nachdem Sie ein Framework erstellt haben, können Sie Änderungen an der Umgebung überwachen, die sich auf die Compliance Ihres Unternehmens auswirken könnten, und Ihre Umgebung prüfen.
Weitere Informationen zum Verwalten der Compliance finden Sie unter Compliance mit Sicherheitsstandards bewerten und melden.
Unterstützte Sicherheitsstandards
Google Cloud
Security Command Center ordnet Detektoren für Google Cloud einem oder mehreren der folgenden Compliancestandards zu:
- Center for Information Security (CIS) Controls 8.0
- CIS Google Cloud Computing Foundations Benchmark v2.0.0, v1.3.0, v1.2.0, v1.1.0 und v1.0.0
- CIS Kubernetes Benchmark v1.5.1
- Cloud Controls Matrix (CCM) 4
- Health Insurance Portability and Accountability Act (HIPAA)
- International Organization for Standardization (ISO) 27001, 2022 und 2013
- National Institute of Standards and Technology (NIST) 800-53 R5 und R4
- National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF) 1.0
- Open Web Application Security Project (OWASP) Top Ten, 2021 und 2017
- Payment Card Industry Data Security Standard (PCI DSS) 4.0 und 3.2.1
- System and Organization Controls (SOC) 2 2017 Trust Services Criteria (TSC)
AWS
In der Dienststufe „Enterprise (eingestellt)“ ordnet Security Command Center Detektoren für Amazon Web Services (AWS) einem oder mehreren der folgenden Compliancestandards zu:
- CIS Amazon Web Services Foundations 2.0.0
- CIS Critical Security Controls Version 8.0
- Cloud Controls Matrix (CCM) 4
- Health Insurance Portability and Accountability Act (HIPAA)
- International Organization for Standardization (ISO) 27001, 2022
- National Institute of Standards and Technology (NIST) 800-53 R5
- National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF) 1.0
- Payment Card Industry Data Security Standard (PCI DSS) 4.0 und 3.2.1
- System and Organization Controls (SOC) 2 2017 Trusted Services Criteria (TSC)
Eine Anleitung zum Aufrufen und Exportieren von Compliance-Berichten finden Sie unter Compliance mit Sicherheitsstandards bewerten und melden.
Ergebnisse von Security Health Analytics
Detektoren von Security Health Analytics überwachen einen Teil der Ressourcen aus Cloud Asset Inventory (CAI), wobei sie Benachrichtigungen über Ressourcenänderungen und Richtlinienänderungen der Identitäts- und Zugriffsverwaltung (IAM) erhalten. Einige Detektoren rufen Daten durch direkten Aufruf von Google Cloud -APIs ab, wie in den Tabellen weiter unten auf dieser Seite angegeben.
Weitere Informationen zu Security Health Analytics, Scanzeitplänen und der Unterstützung von Security Health Analytics für integrierte und benutzerdefinierte Moduldetektoren finden Sie unter Security Health Analytics – Übersicht.
In den folgenden Tabellen werden die Detektoren von Security Health Analytics, die unterstützten Assets und Compliance-Standards, die für Scans verwendeten Einstellungen und die generierten Ergebnistypen beschrieben. Sie können Ergebnisse auf den folgenden Google Cloud Console-Seiten nach verschiedenen Attributen filtern:
- Seite Sicherheitslücken
- Seite Risikoübersicht > Dashboard Sicherheitslücken
Eine Anleitung zum Beheben von Ergebnissen und zum Schutz Ihrer Ressourcen finden Sie unter Security Health Analytics-Ergebnisse beheben.
Ergebnisse zu Sicherheitslücken beim API-Schlüssel
Der API_KEY_SCANNER-Detektor erkennt Sicherheitslücken im Zusammenhang mit API-Schlüsseln, die in Ihrer Cloud-Bereitstellung verwendet werden.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: API-Schlüssel werden zu häufig verwendet. Zur Behebung dieses Problems beschränken Sie die Nutzung der API-Schlüssel so, dass nur die von der Anwendung benötigten APIs zugelassen werden. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Ruft das Attribut
|
|
Ergebnisbeschreibung: API-Schlüssel werden uneingeschränkt verwendet und ermöglichen die Nutzung durch nicht vertrauenswürdige Anwendungen. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Ruft des Attribut
|
|
Ergebnisbeschreibung: Ein Projekt nutzt API-Schlüssel anstelle der Standardauthentifizierung. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Ruft alle API-Schlüssel ab, die zu einem Projekt gehören.
|
|
Ergebnisbeschreibung: Der API-Schlüssel wurde seit mehr als 90 Tagen nicht rotiert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Ruft den im Attribut
|
Cloud Asset Inventory-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf Cloud Asset Inventory-Konfigurationen und gehören zum Typ CLOUD_ASSET_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Die Erfassung von Google Cloud -Ressourcen und IAM-Richtlinien durch Cloud Asset Inventory ermöglicht Sicherheitsanalysen, das Tracking von Ressourcenänderungen und die Complianceprüfung. Es empfiehlt sich, den Cloud Asset Inventory-Dienst für alle Projekte zu aktivieren. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob der Cloud Asset Inventory-Dienst aktiviert ist.
|
Ergebnisse zu Speichersicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf Cloud Storage-Bucket-Konfigurationen und gehören zum Typ STORAGE_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Ein Bucket ist nicht mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung dazu finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft das Feld
|
|
Ergebnisbeschreibung: Der einheitliche Zugriff auf Bucket-Ebene, zuvor "Nur Bucket-Richtlinie" genannt, ist nicht konfiguriert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Ein Cloud Storage-Bucket ist öffentlich zugänglich. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die IAM-Zulassungsrichtlinie eines Buckets auf öffentliche Rollen,
|
|
Ergebnisbeschreibung: Ein als Logsenke verwendeter Storage-Bucket ist öffentlich zugänglich. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die IAM-Zulassungsrichtlinie eines Buckets für die Hauptkonten
|
Ergebnisse zu Sicherheitslücken bei Compute-Images
Der Detektor COMPUTE_IMAGE_SCANNER identifiziert Sicherheitslücken im Zusammenhang mitGoogle Cloud -Image-Konfigurationen.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Ein Compute Engine-Image ist öffentlich zugänglich. Preisstufe: Premium oder Standard
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft die IAM-Zulassungsrichtlinie in den Ressourcenmetadaten auf die Hauptkonten
|
Ergebnisse zu Sicherheitslücken bei Compute-Instanzen
Der COMPUTE_INSTANCE_SCANNER-Detektor identifiziert Sicherheitslücken in Verbindung mit Compute Engine-Instanzkonfigurationen.
COMPUTE_INSTANCE_SCANNER-Detektoren melden keine Ergebnisse zu Compute Engine-Instanzen, die von GKE erstellt wurden. Der Name solcher Instanzen beginnt mit "gke-" und kann von Nutzern nicht bearbeitet werden. Weitere Informationen zum Schutz dieser Instanzen finden Sie im Abschnitt mit den Ergebnissen zu Container-Sicherheitslücken.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Confidential Computing ist auf Compute Engine-Instanzen deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Es werden projektweite SSH-Schlüssel verwendet, sodass eine Anmeldung bei allen Instanzen im Projekt möglich ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Objekt
|
|
Ergebnisbeschreibung: Für diese Shielded VM ist Secure Boot nicht aktiviert. Mit Secure Boot können Sie VM-Instanzen vor erweiterten Bedrohungen wie Rootkits und Bootkits schützen. Preisstufe: Premium Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft das Attribut
|
|
Ergebnisbeschreibung: Serielle Ports sind für eine Instanz aktiviert und ermöglichen Verbindungen zur seriellen Konsole der Instanz. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Objekt
|
|
Ergebnisbeschreibung: Eine Instanz ist für die Verwendung des Standarddienstkontos konfiguriert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Laufwerke auf dieser VM werden nicht mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft das Feld
|
|
Ergebnisbeschreibung: Laufwerke auf dieser VM werden nicht mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln (Customer-Supplied Encryption Keys, CSEKs) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Sonderfalldetektor. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Feld
|
|
Ergebnisbeschreibung: Eine Instanz ist so konfiguriert, dass sie das Standarddienstkonto mit uneingeschränktem Zugriff auf alle Google Cloud-APIs verwendet. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Ruft das Feld
|
|
Ergebnisbeschreibung: Eine Instanz verwendet einen Load-Balancer, der für die Verwendung eines Ziel-HTTP-Proxys anstelle eines Ziel-HTTPS-Proxys konfiguriert ist. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Bestimmt, ob das Attribut
|
|
Ergebnisbeschreibung: OS Login ist für diese Instanz deaktiviert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets
Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Die IP-Weiterleitung ist für Instanzen aktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: OS Login ist für dieses Projekt deaktiviert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Objekt
|
|
Ergebnisbeschreibung: Eine Instanz hat eine öffentliche IP-Adresse. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Auf dieser Instanz ist Shielded VM deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Instanz hat eine schwache SSL-Richtlinie. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob
|
Ergebnisse zu Container-Sicherheitslücken
Diese Ergebnistypen beziehen sich alle auf GKE-Containerkonfigurationen und gehören zum Detektortyp CONTAINER_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Alphacluster-Features sind für einen GKE-Cluster aktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Das automatische Reparaturfeature eines GKE-Clusters, das Knoten in einem fehlerfreien, laufenden Zustand hält, ist deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Feature für automatische Upgrades eines GKE-Clusters, das Cluster und Knotenpools auf die neueste stabile Version von Kubernetes aktualisiert, ist deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Die Binärautorisierung ist entweder im GKE-Cluster deaktiviert oder die Richtlinie für die Binärautorisierung ist so konfiguriert, dass alle Images bereitgestellt werden können. Preisstufe: Premium
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft Folgendes:
|
|
Ergebnisbeschreibung: Logging ist für einen GKE-Cluster nicht aktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Monitoring ist in GKE-Clustern deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Clusterhosts sind nicht so konfiguriert, dass nur private interne IP-Adressen für den Zugriff auf Google APIs verwendet werden. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Die Verschlüsselung von Secrets auf Anwendungsebene ist in einem GKE-Cluster deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Shielded GKE-Knoten sind für einen Cluster nicht aktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Compute Engine-VMs nutzen nicht Container-Optimized OS, das für das sichere Ausführen von Docker-Containern in Google Cloud entwickelt wurde. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Integritätsmonitoring ist für einen GKE-Cluster deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Die knoteninterne Sichtbarkeit ist für einen GKE-Cluster deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Ein GKE-Cluster wurde mit deaktivierten Alias-IP-Bereichen erstellt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Feld
|
|
Ergebnisbeschreibung: Die Legacy-Autorisierung ist in GKE-Clustern aktiviert. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Legacy-Metadaten sind für GKE-Cluster aktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Autorisierte Netzwerke auf Steuerungsebene sind in GKE-Clustern nicht aktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Die Netzwerkrichtlinie ist in GKE-Clustern deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Feld
|
|
Ergebnisbeschreibung: Bootlaufwerke in diesem Knotenpool werden nicht mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft das Attribut
|
|
Ergebnisbeschreibung: Secure Boot ist für einen GKE-Cluster deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Ein Dienstkonto hat in einem Cluster übermäßig Zugriff auf das Projekt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Wertet das Attribut
|
|
Ergebnisbeschreibung: Ein Knotendienstkonto hat große Zugriffsbereiche. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob der im Attribut config.oauthScopes eines Knotenpools aufgeführte Zugriffsbereich ein eingeschränkter Zugriffsbereich des Dienstkontos ist: https://www.googleapis.com/auth/devstorage.read_only, https://www.googleapis.com/auth/logging.write oder https://www.googleapis.com/auth/monitoring.
|
|
Ergebnisbeschreibung: PodSecurityPolicy ist in einem GKE-Cluster deaktiviert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Für einen GKE-Cluster ist ein privater Cluster deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Feld
|
|
Ergebnisbeschreibung: Ein GKE-Cluster ist nicht auf eine Release-Version abonniert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Die GKE-Web-UI (Dashboard) ist aktiviert. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Feld
|
|
Ergebnisbeschreibung: Workload Identity Federation for GKE ist in einem GKE-Cluster deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
Ergebnisse zu Sicherheitslücken in Managed Service for Apache Spark
Alle Sicherheitslücken dieses Detektortyps beziehen sich auf Managed Service for Apache Spark und gehören zum Detektortyp DATAPROC_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Ein Managed Service for Apache Spark-Cluster wurde ohne CMEK-Verschlüsselungskonfiguration erstellt. Mit CMEK werden die von Ihnen in Cloud Key Management Service erstellten und verwalteten Schlüssel mit den Schlüsseln umschlossen, die Google Cloud zum Verschlüsseln Ihrer Daten verwendet. Dadurch haben Sie mehr Kontrolle über den Zugriff auf Ihre Daten. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Feld
|
|
Ergebnisbeschreibung: Ein Managed Service for Apache Spark-Cluster wurde mit einer Managed Service for Apache Spark-Image-Version erstellt, die von Sicherheitslücken im Apache Log4j 2-Dienstprogramm betroffen ist (CVE-2021-44228 und CVE-2021-45046). Preisstufe: Premium oder Standard
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft, ob das Feld
|
Ergebnisse zu Dataset-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf BigQuery-Dataset-Konfigurationen und gehören zum Detektortyp DATASET_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Eine BigQuery-Tabelle ist nicht für die Verwendung eines kundenverwalteten Verschlüsselungsschlüssels (CMEK) konfiguriert. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Feld
|
|
Ergebnisbeschreibung: Ein BigQuery-Dataset ist nicht für die Verwendung eines standardmäßigen CMEK konfiguriert. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Feld
|
|
Ergebnisbeschreibung: Ein Dataset ist für den öffentlichen Zugriff konfiguriert. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die IAM-Zulassungsrichtlinie in den Ressourcenmetadaten auf die Hauptkonten
|
Ergebnisse zu DNS-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich auf Cloud DNS-Konfigurationen und gehören zum Detektortyp DNS_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: DNSSEC ist für Cloud DNS-Zonen deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Feld
|
|
Ergebnisbeschreibung: RSASHA1 wird für die Schlüsselsignierung in Cloud DNS-Zonen verwendet. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Objekt
|
Ergebnisse zu Firewall-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf Firewall-Konfigurationen und gehören zum Detektortyp FIREWALL_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Für eine Firewall wurde keine Regel für ausgehenden Traffic festgelegt. Regeln zum Ablehnen von ausgehendem Traffic sollten eingerichtet werden, um unerwünschten ausgehenden Traffic zu blockieren. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Das Logging von Firewallregeln ist deaktiviert. Firewallregel-Logging sollte aktiviert sein, damit Sie Netzwerkzugriffe prüfen können. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist für einen offenen CASSANDRA-Port mit generischem Zugriff konfiguriert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist für einen offenen CISCOSECURE_WEBSM-Port mit generischem Zugriff konfiguriert. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist mit einem offenen DIRECTORY_SERVICE-Port konfiguriert, der generischen Zugriff zulässt. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist mit einem offenen DNS-Port konfiguriert, der generischen Zugriff zulässt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen ELASTICSEARCH-Port hat, der generischen Zugriff zulässt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie öffentlich zugänglich ist. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die Attribute
|
|
Ergebnisbeschreibung: Eine Firewall ist mit einem offenen FTP-Port konfiguriert, der generischen Zugriff zulässt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen HTTP-Port hat, der generischen Zugriff zulässt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen LDAP-Port hat, der generischen Zugriff zulässt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist für einen offenen MEMCACHED-Port mit generischem Zugriff konfiguriert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist für einen offenen MONGODB-Port mit generischem Zugriff konfiguriert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen MySQL-Port hat, der generischen Zugriff zulässt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen NETBIOS-Port hat, der generischen Zugriff zulässt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen ORACLEDB-Port hat, der generischen Zugriff zulässt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist für einen offenen POP3-Port mit generischem Zugriff konfiguriert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen PostgreSQL-Port hat, der generischen Zugriff zulässt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen RDP-Port hat, der generischen Zugriff zulässt. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen REDIS-Port hat, der generischen Zugriff zulässt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen SMTP-Port hat, der generischen Zugriff zulässt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen SSH-Port hat, der generischen Zugriff zulässt. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen TELNET-Port hat, über den generischer Zugriff möglich ist. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
Ergebnisse zu IAM-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf die IAM-Konfiguration (Identity and Access Management) und gehören zum Detektortyp IAM_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Google Cloud Access Transparency ist für Ihre Organisation deaktiviert. Access Transparency protokolliert, wenn Google Cloud -Mitarbeiter auf die Projekte in Ihrer Organisation zugreifen, um Support zu leisten. Aktivieren Sie Access Transparency, um zu protokollieren, wer von Google Cloud wann und warum auf Ihre Informationen zugreift. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob Access Transparency für Ihre Organisation aktiviert ist.
|
|
Ergebnisbeschreibung: Ein Dienstkonto hat die Berechtigung Administrator, Inhaber oder Bearbeiter. Diese Rollen sollten nicht von Nutzern erstellten Dienstkonten zugewiesen werden. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die IAM-Zulassungsrichtlinie in Ressourcenmetadaten auf alle vom Nutzer erstellten Dienstkonten (angezeigt durch das Präfix ), denen
|
|
Beschreibung des Ergebnisses: Ihre Organisation hat keine Person oder Gruppe festgelegt, die Benachrichtigungen von Google Cloud über wichtige Ereignisse wie Angriffe, Sicherheitslücken und Datenvorfälle in Ihrer Google Cloud -Organisation erhalten soll. Wir empfehlen, eine oder mehrere Personen oder Gruppen in Ihrer Unternehmensorganisation als wichtige Kontakte festzulegen. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob für die folgenden wichtigen Kontaktkategorien ein Kontakt angegeben ist:
|
|
Ergebnisbeschreibung: Die Aufgabentrennung wird nicht erzwungen und ein Nutzer ist vorhanden, der die Rolle Cloud KMS-Administrator und eine der folgenden Cloud Key Management Service-Rollen (Cloud KMS) hat: CryptoKey-Verschlüsseler/Entschlüsseler, Entschlüsseler, Verschlüsseler, Betrachter öffentlicher Schlüssel, Signer oder Signer/Prüfer. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft IAM-Zulassungsrichtlinien in Ressourcenmetadaten und ruft Hauptkonten ab, denen gleichzeitig eine der folgenden Rollen zugewiesen ist: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter und roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier, roles/cloudkms.publicKeyViewer.
|
|
Ergebnisbeschreibung: Ein Nutzer verwendet keine organisationsgebundenen Anmeldedaten. Gemäß CIS GCP Foundations 1.0 lösen derzeit nur Identitäten mit @gmail.com-E-Mail-Adressen diesen Detektor aus. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Vergleicht @gmail.com-E-Mail-Adressen im Feld
|
|
Ergebnisbeschreibung: Ein Google Groups-Konto, das ohne Genehmigung verknüpft werden kann, wird als Hauptkonto auf einer IAM-Zulassungsrichtlinie verwendet. Preisstufe: Premium oder Standard
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft die IAM-Richtlinie in Ressourcenmetadaten auf alle Bindungen, die ein Mitglied (Hauptkonto) mit dem Präfix group enthalten. Wenn die Gruppe eine offene Gruppe ist, generiert Security Health Analytics dieses Ergebnis.
|
|
Ergebnisbeschreibung: Ein Nutzer hat die Rolle Dienstkontonutzer oder Ersteller von Dienstkonto-Tokens auf Projektebene, statt für ein bestimmtes Dienstkonto. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die IAM-Zulassungsrichtlinie in den Ressourcenmetadaten auf alle Hauptkonten, denen roles/iam.serviceAccountUser oder roles/iam.serviceAccountTokenCreator auf Projektebene zugewiesen ist.
|
|
Ergebnisbeschreibung: Ein Nutzer hat eine der folgenden einfachen Rollen:
Diese Rollen gewähren zu viele Berechtigungen und sollten nicht verwendet werden. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die IAM-Zulassungsrichtlinie in Ressourcenmetadaten auf alle Hauptkonten, denen die Rolle
|
|
Ergebnisbeschreibung: Eine Redis-IAM-Rolle wird auf Organisations- oder Ordnerebene zugewiesen. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Preisstufe: Premium
Unterstützte Assets
Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die IAM-Zulassungsrichtlinie in den Ressourcenmetadaten auf Hauptkonten, denen
|
|
Ergebnisbeschreibung: Einem Nutzer wurden die Rollen Dienstkontoadministrator und Dienstkontonutzer zugewiesen. Dies verstößt gegen das Prinzip der "Aufgabentrennung". Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die IAM-Zulassungrichtlinie in Ressourcenmetadaten auf alle Hauptkonten, denen sowohl roles/iam.serviceAccountUser als auch roles/iam.serviceAccountAdmin zugewiesen ist.
|
|
Ergebnisbeschreibung: Ein Dienstkontoschlüssel wurde seit mehr als 90 Tagen nicht rotiert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Wertet den Zeitstempel der Schlüsselerstellung aus, der im Attribut
|
|
Ergebnisbeschreibung: Ein Nutzer verwaltet einen Dienstkontoschlüssel. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
Ergebnisse zu KMS-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf Cloud KMS-Konfigurationen und gehören zum Detektortyp KMS_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Für einen Cloud KMS-Verschlüsselungsschlüssel ist keine Rotation konfiguriert. Verschlüsselungsschlüssel sollten innerhalb eines Zeitraums von 90 Tagen rotiert werden. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft Ressourcenmetadaten auf das Vorhandensein von
|
|
Ergebnisbeschreibung: Ein Nutzer hat Inhaber-Berechtigungen für ein Projekt mit kryptografischen Schlüsseln. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die IAM-Zulassungsrichtlinie in Projektmetadaten auf Hauptkonten, denen
|
|
Ergebnisbeschreibung: Ein kryptografischer Cloud KMS-Schlüssel ist öffentlich zugänglich. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die IAM-Zulassungsrichtlinie in den Ressourcenmetadaten auf die Hauptkonten
|
|
Ergebnisbeschreibung: Es gibt mehr als drei Nutzer kryptografischer Schlüssel. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft IAM-Zulassungsrichtlinien auf Schlüsselbunde, Projekte und Organisationen und ruft Hauptkonten mit Rollen ab, mit denen sie Daten mithilfe von Cloud KMS-Schlüsseln verschlüsseln, entschlüsseln oder signieren können: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer und roles/cloudkms.signerVerifier.
|
Ergebnisse zu Logging-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf Logging-Konfigurationen und gehören zum Detektortyp LOGGING_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Audit-Logging wurde für diese Ressource deaktiviert. Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die IAM-Zulassungsrichtlinie in Ressourcenmetadaten auf das Vorhandensein eines
|
|
Ergebnisbeschreibung: Es gibt einen Storage-Bucket ohne aktiviertes Logging. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Feld
|
|
Ergebnisbeschreibung: Für Logs ist keine gesperrte Aufbewahrungsrichtlinie festgelegt. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Feld
|
|
Ergebnisbeschreibung: Für eine Ressource ist keine geeignete Logsenke konfiguriert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets
Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Ruft ein
|
|
Ergebnisbeschreibung: Die Objektversionsverwaltung ist für einen Storage-Bucket, in dem Senken konfiguriert sind, nicht aktiviert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Feld
|
Ergebnisse zu Monitoring-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf Monitoring-Konfigurationen und gehören zum Typ MONITORING_SCANNER. Alle Ergebnisattribute des Monitoring-Detektors enthalten Folgendes:
-
Der
RecommendedLogFilter, der beim Erstellen der Log-Messwerte verwendet werden soll. - Die
QualifiedLogMetricNames, die die im empfohlenen Logfilter aufgeführten Bedingungen abdecken. -
Die
AlertPolicyFailureReasons, die angeben, ob für das Projekt keine Benachrichtigungsrichtlinien für einen der qualifizierten Log-Messwerte erstellt wurden oder ob die vorhandenen Benachrichtigungsrichtlinien nicht die empfohlenen Einstellungen haben.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Log-Messwerte und Benachrichtigungen sind nicht für das Monitoring von Audit-Konfigurationsänderungen konfiguriert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf protoPayload.methodName="SetIamPolicy" AND
protoPayload.serviceData.policyDelta.auditConfigDeltas:* festgelegt ist und ob, wenn resource.type angegeben ist, der Wert global ist.
Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
|
|
Ergebnisbeschreibung: Log-Messwerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen der Cloud Storage-IAM-Berechtigungen konfiguriert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf resource.type=gcs_bucket AND
protoPayload.methodName="storage.setIamPermissions" gesetzt ist.
Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
|
|
Ergebnisbeschreibung: Log-Messwerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen an benutzerdefinierten Rollen konfiguriert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf resource.type="iam_role" AND
(protoPayload.methodName="google.iam.admin.v1.CreateRole"
OR
protoPayload.methodName="google.iam.admin.v1.DeleteRole"
OR
protoPayload.methodName="google.iam.admin.v1.UpdateRole") gesetzt ist.
Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
|
|
Ergebnisbeschreibung: Log-Messwerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen an Virtual Private Cloud-Netzwerk-Firewallregeln konfiguriert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf
resource.type="gce_firewall_rule"
AND (protoPayload.methodName:"compute.firewalls.insert"
OR protoPayload.methodName:"compute.firewalls.patch"
OR protoPayload.methodName:"compute.firewalls.delete") gesetzt ist.
Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
|
|
Ergebnisbeschreibung: Log-Messwerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen am VPC-Netzwerk konfiguriert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf
resource.type="gce_network"
AND (protoPayload.methodName:"compute.networks.insert"
OR protoPayload.methodName:"compute.networks.patch"
OR protoPayload.methodName:"compute.networks.delete"
OR protoPayload.methodName:"compute.networks.removePeering"
OR protoPayload.methodName:"compute.networks.addPeering") gesetzt ist.
Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
|
|
Ergebnisbeschreibung: Logmesswerte und Benachrichtigungen sind nicht für das Monitoring von Zuweisungen oder Änderungen an der Projektinhaberschaft konfiguriert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf (protoPayload.serviceName="cloudresourcemanager.googleapis.com")
AND ( (ProjectOwnership OR projectOwnerInvitee) OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner")
OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") ) festgelegt ist und ob, wenn resource.type angegeben ist, der Wert global ist.
Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
|
|
Ergebnisbeschreibung: Log-Messwerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen an der VPC-Netzwerkroute konfiguriert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf
resource.type="gce_route"
AND (protoPayload.methodName:"compute.routes.delete"
OR protoPayload.methodName:"compute.routes.insert") gesetzt ist.
Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
|
|
Ergebnisbeschreibung: Log-Messwerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen an der Konfiguration von Cloud SQL-Instanzen konfiguriert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf
protoPayload.methodName="cloudsql.instances.update"
OR protoPayload.methodName="cloudsql.instances.create"
OR protoPayload.methodName="cloudsql.instances.delete" festgelegt ist und ob, wenn resource.type angegeben ist, der Wert global ist.
Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
|
Ergebnisse zur Multi-Faktor-Authentifizierung
Der MFA_SCANNER-Detektor erkennt Sicherheitslücken bei der Multi-Faktor-Authentifizierung für Nutzer.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Es gibt Nutzer, die die 2‑Faktor-Authentifizierung nicht verwenden. Wenn Sie Maßnahmen zur Behebung dieses Ergebnisses ergreifen, kann es bis zu 24 Stunden dauern, bis die Security Health Analytics-Scans abgeschlossen sind und das Ergebnis aktualisiert wird. In Google Workspace können Sie für neue Nutzer einen Kulanzzeitraum für die Registrierung festlegen, in dem sie sich für die Bestätigung in zwei Schritten registrieren müssen. Dieser Detektor erstellt Ergebnisse für Nutzer während des Kulanzzeitraums für die Registrierung. Dieser Detektor kann Ergebnisse für Organisationen mit einer großen Anzahl von Nutzern (normalerweise 450.000 oder mehr) generieren, auch wenn die Bestätigung in zwei Schritten für alle Nutzer erzwungen wird. Wenn Sie der Meinung sind, dass ein Ergebnis fälschlicherweise positiv ist, wenden Sie sich an Cloud Customer Care, um das Ergebnis deaktivieren zu lassen. Dieser Detektor hieß früher Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Wertet Richtlinien zur Identitätsverwaltung in Organisationen und Nutzereinstellungen für verwaltete Konten in Cloud Identity aus.
|
Ergebnisse zu Netzwerk-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf die Netzwerkkonfigurationen einer Organisation und gehören zum Typ NETWORK_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Das Standardnetzwerk ist in einem Projekt vorhanden. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Das DNS-Logging in einem VPC-Netzwerk ist nicht aktiviert. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft alle
|
|
Ergebnisbeschreibung: Ein Legacy-Netzwerk ist in einem Projekt vorhanden. Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft die Netzwerkmetadaten auf das Vorhandensein des Attributs
|
|
Ergebnisbeschreibung: Logging ist für den Load Balancer deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
Ergebnisse zu Sicherheitslücken in Organisationsrichtlinien
Sicherheitslücken dieses Detektortyps beziehen sich alle auf Konfigurationen von Einschränkungen für Organisationsrichtlinien und gehören zum Typ ORG_POLICY.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Eine Compute Engine-Ressource verstößt gegen die Organisationsrichtlinie constraints/compute.restrictNonConfidentialComputing. Weitere Informationen zu dieser Einschränkung der Organisationsrichtlinie finden Sie unter Einschränkungen für Organisationsrichtlinien in Confidential VM durchsetzen.
Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Eine Compute Engine-Ressource verstößt gegen die Einschränkung constraints/gcp.resourceLocations. Weitere Informationen zu dieser Einschränkung der Organisationsrichtlinie finden Sie unter Einschränkungen für Organisationsrichtlinien durchsetzen.
Bei Aktivierungen der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Legacy-Stufe in der übergeordneten Organisation aktiviert ist. Preisstufe: Premium
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft das Attribut
|
|
Unterstützte Assets für ORG_POLICY_LOCATION_RESTRICTION
Compute Engine
GKE
Cloud Storage
Cloud KMS
Managed Service for Apache Spark
BigQuery
Dataflow
Cloud SQL
Managed Airflow
Logging
Pub/Sub
Agent Platform
Artifact Registry 1 Da Cloud KMS-Assets nicht gelöscht werden können, gilt das Asset nicht als außerhalb der Region, wenn die Daten des Assets zerstört wurden. 2 Da Cloud KMS-Importjobs einen gesteuerten Lebenszyklus haben und nicht vorzeitig beendet werden können, gilt ein ImportJob nicht als außerhalb der Region, wenn er abgelaufen ist und nicht mehr verwendet werden kann, um Schlüssel zu importieren. 3 Da der Lebenszyklus von Dataflow-Jobs nicht verwaltet werden kann, gilt ein Job nicht als außerhalb der Region, wenn er einen Endstatus (beendet oder per Drain beendet) erreicht hat, in dem er nicht mehr zur Verarbeitung von Daten verwendet werden kann. |
||
Pub/Sub-Sicherheitslücken
Alle Sicherheitslücken dieses Detektortyps beziehen sich auf Pub/Sub-Konfigurationen und gehören zum Typ PUBSUB_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: Ein Pub/Sub-Thema wird nicht mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft das Feld
|
Ergebnisse zu SQL-Sicherheitslücken
In den folgenden Abschnitten werden die Ergebnisse von Sicherheitslücken für AlloyDB for PostgreSQL und Cloud SQL beschrieben.
AlloyDB for PostgreSQL-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf AlloyDB for PostgreSQL-Konfigurationen und gehören zum Typ SQL_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: In einem AlloyDB for PostgreSQL-Cluster sind keine automatischen Sicherungen aktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Für einen AlloyDB for PostgreSQL-Cluster sind keine Sicherungen aktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob die Attribute
|
|
Ergebnisbeschreibung: Ein AlloyDB-Cluster wird nicht mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK) verschlüsselt. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Feld
|
|
Ergebnisbeschreibung:
Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Um eine ausreichende Abdeckung der Nachrichtentypen in den Logs zu gewährleisten, wird ein Ergebnis generiert, wenn das Feld
|
|
Ergebnisbeschreibung:
Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Um eine ausreichende Abdeckung der Nachrichtentypen in den Logs zu gewährleisten, wird ein Ergebnis generiert, wenn das Feld
|
|
Ergebnisbeschreibung:
Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Um eine ausreichende Abdeckung der Nachrichtentypen in den Logs zu gewährleisten, wird ein Ergebnis generiert, wenn das Feld
|
|
Ergebnisbeschreibung: Eine AlloyDB for PostgreSQL-Datenbankinstanz hat eine öffentliche IP-Adresse. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Feld
|
|
Ergebnisbeschreibung: Für eine AlloyDB for PostgreSQL-Datenbankinstanz müssen nicht alle eingehenden Verbindungen SSL verwenden. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
Cloud SQL-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf Cloud SQL-Konfigurationen und gehören zum Typ SQL_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: In einer Cloud SQL-Datenbank sind keine automatischen Sicherungen aktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Eine Cloud SQL-Datenbankinstanz akzeptiert Verbindungen von allen IP-Adressen. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob für das Attribut
|
|
Ergebnisbeschreibung: Für eine Cloud SQL-Datenbankinstanz müssen nicht alle eingehenden Verbindungen SSL verwenden. Preisstufe: Premium oder Standard
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Eine SQL-Datenbankinstanz wird nicht mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüft das Feld
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Feld
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Um eine ausreichende Abdeckung der Nachrichtentypen in den Logs zu gewährleisten, wird ein Ergebnis generiert, wenn das Feld
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Für eine Cloud SQL-Datenbank mit einer öffentlichen IP-Adresse ist kein Passwort für das Root-Konto konfiguriert. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Eine Cloud SQL-Datenbank hat eine öffentliche IP-Adresse. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob der IP-Adresstyp einer Cloud SQL-Datenbank auf
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Das Datenbank-Flag Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft das Attribut
|
|
Ergebnisbeschreibung: Eine Cloud SQL-Datenbank mit einer öffentlichen IP-Adresse hat auch ein schwaches Passwort für das Root-Konto konfiguriert. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Vergleicht das Passwort für das Root-Konto der Cloud SQL-Datenbank mit einer Liste gängiger Passwörter.
|
Ergebnisse zu Subnetzwerk-Sicherheitslücken
Sicherheitslücken dieses Detektortyps beziehen sich alle auf die Subnetzwerkkonfigurationen einer Organisation und gehören zum Typ SUBNETWORK_SCANNER.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: In einem VPC-Subnetzwerk sind Flusslogs deaktiviert. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Für ein VPC-Subnetzwerk sind VPC-Flusslogs entweder deaktiviert oder nicht gemäß den Empfehlungen von CIS Benchmark 1.3 konfiguriert. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
|
Ergebnisbeschreibung: Es gibt private Subnetzwerke ohne Zugriff auf öffentliche Google APIs. Preisstufe: Premium
Unterstützte Assets Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob das Attribut
|
AWS-Ergebnisse
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: AWS CloudShell ist eine praktische Möglichkeit, CLI-Befehle für AWS-Dienste auszuführen. Eine verwaltete IAM-Richtlinie („AWSCloudShellFullAccess“) bietet vollständigen Zugriff auf CloudShell, sodass Dateien zwischen dem lokalen System eines Nutzers und der CloudShell-Umgebung hoch- und heruntergeladen werden können. In der Cloud Shell-Umgebung hat ein Nutzer sudo-Berechtigungen und kann auf das Internet zugreifen. Es ist also möglich, beispielsweise Software für die Dateiübertragung zu installieren und Daten von Cloud Shell auf externe Internetserver zu verschieben. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass der Zugriff auf AWSCloudShellFullAccess eingeschränkt ist
|
|
Ergebnisbeschreibung: Zugriffsschlüssel bestehen aus einer Zugriffsschlüssel-ID und einem geheimen Zugriffsschlüssel, mit denen programmatische Anfragen an AWS signiert werden. AWS-Nutzer benötigen eigene Zugriffsschlüssel, um programmatische Aufrufe an AWS über die AWS-Befehlszeile (AWS CLI), Tools für Windows PowerShell, die AWS SDKs oder direkte HTTP-Aufrufe über die APIs für einzelne AWS-Dienste auszuführen. Es wird empfohlen, alle Zugriffsschlüssel regelmäßig zu rotieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass Zugriffsschlüssel mindestens alle 90 Tage rotiert werden
|
|
Ergebnisbeschreibung: Wenn Sie HTTPS-Verbindungen zu Ihrer Website oder Anwendung in AWS aktivieren möchten, benötigen Sie ein SSL/TLS-Serverzertifikat. Sie können ACM oder IAM verwenden, um Serverzertifikate zu speichern und bereitzustellen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass alle abgelaufenen SSL/TLS-Zertifikate entfernt werden, die in AWS IAM gespeichert sind
|
|
Ergebnisbeschreibung: Es wird geprüft, ob Ihre Autoscaling-Gruppen, die mit einem Load Balancer verknüpft sind, Elastic Load Balancing-Systemdiagnosen verwenden. So kann die Gruppe den Zustand einer Instanz anhand zusätzlicher Tests des Load Balancers ermitteln. Mit Elastic Load Balancing-Systemdiagnosen können Sie die Verfügbarkeit von Anwendungen unterstützen, die EC2-Autoscaling-Gruppen verwenden. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob alle mit einem Load Balancer verknüpften Autoscaling-Gruppen Systemdiagnosen verwenden
|
|
Ergebnisbeschreibung: Achten Sie darauf, dass für RDS-Datenbankinstanzen das Flag „Automatisches Upgrade von Nebenversionen“ aktiviert ist, damit während des angegebenen Wartungsfensters automatisch Upgrades von Nebenversionen der Engine durchgeführt werden. So können RDS-Instanzen die neuen Funktionen, Fehlerkorrekturen und Sicherheitspatches für ihre Datenbank-Engines erhalten. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass das automatische Upgrade von Nebenversionen für RDS-Instanzen aktiviert ist
|
|
Ergebnisbeschreibung: AWS Config ist ein Webdienst, der die Konfigurationsverwaltung unterstützter AWS-Ressourcen in Ihrem Konto übernimmt und Ihnen Logdateien liefert. Die aufgezeichneten Informationen umfassen das Konfigurationselement (AWS-Ressource), Beziehungen zwischen Konfigurationselementen (AWS-Ressourcen) und alle Konfigurationsänderungen zwischen Ressourcen. Es wird empfohlen, AWS Config in allen Regionen zu aktivieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass AWS Config in allen Regionen aktiviert ist
|
|
Ergebnisbeschreibung: Der Sicherheits-Hub erfasst Sicherheitsdaten aus AWS-Konten, Diensten und unterstützten Drittanbieterprodukten und hilft Ihnen, Sicherheitstrends zu analysieren und die Sicherheitsprobleme mit der höchsten Priorität zu identifizieren. Wenn Sie Security Hub aktivieren, werden Ergebnisse von AWS-Diensten, die Sie aktiviert haben, wie Amazon GuardDuty, Amazon Inspector und Amazon Macie, genutzt, aggregiert, organisiert und priorisiert. Sie können auch Integrationen mit AWS-Partnersicherheitsprodukten aktivieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass AWS Security Hub aktiviert ist
|
|
Ergebnisbeschreibung: AWS CloudTrail ist ein Webdienst, der AWS API-Aufrufe für ein Konto aufzeichnet und diese Logs Nutzern und Ressourcen gemäß IAM-Richtlinien zur Verfügung stellt. AWS Key Management Service (KMS) ist ein verwalteter Dienst, mit dem Sie die Verschlüsselungsschlüssel zum Verschlüsseln von Kontodaten erstellen und steuern können. Er verwendet Hardwaresicherheitsmodule (HSMs), um die Sicherheit von Verschlüsselungsschlüsseln zu schützen. CloudTrail-Logs können so konfiguriert werden, dass sie die serverseitige Verschlüsselung (SSE) und vom Kunden erstellte KMS-Masterschlüssel (CMK) nutzen, um CloudTrail-Logs weiter zu schützen. Es wird empfohlen, CloudTrail für die Verwendung von SSE-KMS zu konfigurieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass CloudTrail-Protokolle mit KMS-CMKs durch Verschlüsselung ruhender Daten geschützt werden
|
|
Ergebnisbeschreibung: Bei der Validierung von CloudTrail-Logdateien wird eine digital signierte Digest-Datei erstellt, die einen Hash-Wert jedes Logs enthält, das CloudTrail in S3 schreibt. Anhand dieser Digest-Dateien lässt sich feststellen, ob eine Logdatei nach der Bereitstellung durch CloudTrail geändert, gelöscht oder nicht geändert wurde. Es wird empfohlen, die Dateivalidierung für alle CloudTrails zu aktivieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass die Validierung der CloudTrail-Logdatei aktiviert ist
|
|
Ergebnisbeschreibung: AWS CloudTrail ist ein Webdienst, der AWS API-Aufrufe in einem bestimmten AWS-Konto aufzeichnet. Die aufgezeichneten Informationen umfassen die Identität des API-Aufrufers, die Uhrzeit des API-Aufrufs, die Quell-IP-Adresse des API-Aufrufers, die Anfrageparameter und die vom AWS-Dienst zurückgegebenen Antwortelemente. CloudTrail verwendet Amazon S3 für die Speicherung und Bereitstellung von Logdateien, sodass Logdateien dauerhaft gespeichert werden. Zusätzlich zur Erfassung von CloudTrail-Logs in einem bestimmten S3-Bucket für die langfristige Analyse kann eine Echtzeitanalyse durchgeführt werden, indem CloudTrail so konfiguriert wird, dass Logs an CloudWatch Logs gesendet werden. Bei einem Pfad, der in allen Regionen eines Kontos aktiviert ist, sendet CloudTrail Logdateien aus all diesen Regionen an eine CloudWatch Logs-Loggruppe. Es wird empfohlen, CloudTrail-Logs an CloudWatch-Logs zu senden. Hinweis: Mit dieser Empfehlung soll sichergestellt werden, dass AWS-Kontoaktivitäten erfasst, überwacht und entsprechende Alarme ausgelöst werden. CloudWatch Logs ist eine native Möglichkeit, dies mit AWS-Diensten zu erreichen, schließt jedoch die Verwendung einer alternativen Lösung nicht aus. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass CloudTrail-Pfade in CloudWatch-Logs eingebunden sind
|
|
Ergebnisbeschreibung: Prüft, ob in Amazon Cloudwatch Aktionen definiert sind, wenn ein Alarm zwischen den Status „OK“, „ALARM“ und „INSUFFICIENT_DATA“ wechselt. Die Konfiguration von Aktionen für den Status ALARM in Amazon CloudWatch-Alarmen ist sehr wichtig, um eine sofortige Reaktion auszulösen, wenn überwachte Messwerte Schwellenwerte überschreiten. Alarme haben mindestens eine Aktion. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob für CloudWatch-Alarme mindestens eine Alarmaktion, eine INSUFFICIENT_DATA-Aktion oder eine OK-Aktion aktiviert ist.
|
|
Ergebnisbeschreibung: Mit dieser Prüfung wird sichergestellt, dass CloudWatch-Logs mit KMS konfiguriert sind. Loggruppendaten werden in CloudWatch Logs immer verschlüsselt. Standardmäßig verwendet CloudWatch Logs serverseitige Verschlüsselung für inaktive Logdaten. Alternativ können Sie für diese Verschlüsselung den AWS Key Management Service verwenden. In diesem Fall erfolgt die Verschlüsselung mit einem AWS KMS-Schlüssel. Die Verschlüsselung mit AWS KMS wird auf Loggruppenebene aktiviert, indem ein KMS-Schlüssel mit einer Loggruppe verknüpft wird, entweder beim Erstellen der Loggruppe oder danach. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob alle Loggruppen in Amazon CloudWatch-Logs mit KMS verschlüsselt sind
|
|
Ergebnisbeschreibung: Mit dieser Einstellung wird geprüft, ob CloudTrail-Pfade so konfiguriert sind, dass Logs an CloudWatch-Logs gesendet werden. Die Prüfung schlägt fehl, wenn das Attribut „CloudWatchLogsLogGroupArn“ des Trails leer ist. CloudTrail zeichnet AWS API-Aufrufe auf, die in einem bestimmten Konto erfolgen. Die aufgezeichneten Informationen umfassen Folgendes:
CloudTrail verwendet Amazon S3 für die Speicherung und Bereitstellung von Logdateien. Sie können CloudTrail-Logs in einem bestimmten S3-Bucket für die langfristige Analyse erfassen. Für Echtzeitanalysen können Sie CloudTrail so konfigurieren, dass Logs an CloudWatch Logs gesendet werden. Bei einem Trail, der in allen Regionen eines Kontos aktiviert ist, sendet CloudTrail Logdateien aus allen diesen Regionen an eine CloudWatch Logs-Loggruppe. Sicherheits-Hub empfiehlt, CloudTrail-Logs an CloudWatch Logs zu senden. Diese Empfehlung soll sicherstellen, dass Kontoaktivitäten erfasst, überwacht und entsprechende Warnungen ausgegeben werden. Sie können CloudWatch Logs verwenden, um dies mit Ihren AWS-Diensten einzurichten. Diese Empfehlung schließt die Verwendung einer anderen Lösung nicht aus. Wenn Sie CloudTrail-Logs an CloudWatch Logs senden, können Sie Echtzeit- und Verlaufsaktivitäten basierend auf Nutzer, API, Ressource und IP-Adresse protokollieren. Mit diesem Ansatz können Sie Alarme und Benachrichtigungen für anomale oder sensible Kontoaktivitäten einrichten. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob alle CloudTrail-Pfade für das Senden von Logs an AWS CloudWatch konfiguriert sind
|
|
Ergebnisbeschreibung: Damit wird geprüft, ob das Projekt die Umgebungsvariablen Authentifizierungsdaten ( Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob alle Projekte, die die Umgebungsvariablen AWS_ACCESS_KEY_ID und AWS_SECRET_ACCESS_KEY enthalten, nicht im Klartext vorliegen
|
|
Ergebnisbeschreibung: Prüft, ob die URL des Bitbucket-Quell-Repositorys eines AWS CodeBuild-Projekts persönliche Zugriffstokens oder einen Nutzernamen und ein Passwort enthält. Die Prüfung schlägt fehl, wenn die URL des Bitbucket-Quell-Repositorys persönliche Zugriffstokens oder einen Nutzernamen und ein Passwort enthält. Anmeldedaten dürfen nicht im Klartext gespeichert oder übertragen werden und nicht in der URL des Quell-Repositorys enthalten sein. Anstatt persönliche Zugriffstokens oder Anmeldedaten zu verwenden, sollten Sie in CodeBuild auf Ihren Quellanbieter zugreifen und die URL Ihres Quell-Repositorys so ändern, dass sie nur den Pfad zum Bitbucket-Repository-Speicherort enthält. Die Verwendung persönlicher Zugriffstokens oder Anmeldedaten kann zu unbeabsichtigter Datenoffenlegung oder unbefugtem Zugriff führen. Preisstufe: Enterprise Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüfen Sie, ob alle Projekte, die GitHub oder Bitbucket als Quelle nutzen, OAuth verwenden
|
|
Ergebnisbeschreibung: AWS IAM-Nutzer können mit verschiedenen Arten von Anmeldedaten, z. B. Passwörtern oder Zugriffsschlüsseln, auf AWS-Ressourcen zugreifen. Es wird empfohlen, alle Anmeldedaten, die seit mindestens 45 Tagen nicht verwendet wurden, zu deaktivieren oder zu entfernen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass Anmeldedaten, die seit mindestens 45 Tagen nicht verwendet wurden, deaktiviert werden
|
|
Ergebnisbeschreibung: Eine VPC verfügt über eine Standardsicherheitsgruppe, deren ursprüngliche Einstellungen den gesamten eingehenden Traffic ablehnen, den gesamten ausgehenden Traffic zulassen und den gesamten Traffic zwischen Instanzen zulassen, die der Sicherheitsgruppe zugewiesen sind. Wenn Sie beim Starten einer Instanz keine Sicherheitsgruppe angeben, wird die Instanz automatisch dieser Standardsicherheitsgruppe zugewiesen. Sicherheitsgruppen bieten eine zustandsorientierte Filterung des eingehenden/ausgehenden Netzwerk-Traffics zu AWS-Ressourcen. Es wird empfohlen, dass die Standardsicherheitsgruppe den gesamten Traffic einschränkt. Die Standardsicherheitsgruppe der Standard-VPC in jeder Region sollte aktualisiert werden, um die Compliance zu gewährleisten. Alle neu erstellten VPCs enthalten automatisch eine Standardsicherheitsgruppe, die korrigiert werden muss, um dieser Empfehlung zu entsprechen. HINWEIS: Bei der Implementierung dieser Empfehlung ist das VPC-Fluss-Logging von unschätzbarem Wert, um den Portzugriff mit den geringsten Berechtigungen zu ermitteln, der für die ordnungsgemäße Funktion von Systemen erforderlich ist. Das liegt daran, dass alle Paketannahmen und -ablehnungen, die unter den aktuellen Sicherheitsgruppen auftreten, protokolliert werden können. Dadurch wird die größte Hürde für die Entwicklung nach dem Prinzip der geringsten Berechtigung erheblich gesenkt: die Ermittlung der Mindestanzahl an Ports, die von Systemen in der Umgebung benötigt werden. Auch wenn die Empfehlung für VPC-Flusslogs in diesem Benchmark nicht als dauerhafte Sicherheitsmaßnahme übernommen wird, sollte sie während der Erkennung und Entwicklung von Sicherheitsgruppen mit den geringsten Berechtigungen verwendet werden. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass die Standardsicherheitsgruppe jeder VPC den gesamten Traffic einschränkt
|
|
Ergebnisbeschreibung: Prüft, ob AWS DMS-Replikationsinstanzen öffentlich sind. Dazu wird der Wert des Felds Eine private Replikationsinstanz hat eine private IP-Adresse, auf die Sie außerhalb des Replikationsnetzwerks nicht zugreifen können. Eine Replikationsinstanz sollte eine private IP-Adresse haben, wenn sich die Quell- und Zieldatenbanken im selben Netzwerk befinden. Das Netzwerk muss außerdem über ein VPN, AWS Direct Connect oder VPC-Peering mit der VPC der Replikationsinstanz verbunden sein. Weitere Informationen zu öffentlichen und privaten Replikationsinstanzen finden Sie im AWS Database Migration Service-Nutzerhandbuch unter Öffentliche und private Replikationsinstanzen. Außerdem sollten Sie dafür sorgen, dass der Zugriff auf die Konfiguration Ihrer AWS DMS-Instanz auf autorisierte Nutzer beschränkt ist. Beschränken Sie dazu die IAM-Berechtigungen der Nutzer zum Ändern von AWS DMS-Einstellungen und -Ressourcen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob Replikationsinstanzen von AWS Database Migration Service öffentlich sind
|
|
Ergebnisbeschreibung: In der AWS-Konsole sind beim Erstellen eines neuen IAM-Nutzers standardmäßig keine Kästchen ausgewählt. Beim Erstellen der IAM-Nutzeranmeldedaten müssen Sie festlegen, welche Art von Zugriff erforderlich ist. Programmatischer Zugriff: Der IAM-Nutzer muss möglicherweise API-Aufrufe ausführen, die AWS CLI verwenden oder die Tools für Windows PowerShell nutzen. Erstellen Sie in diesem Fall einen Zugriffsschlüssel (Zugriffsschlüssel-ID und geheimer Zugriffsschlüssel) für diesen Nutzer. Zugriff auf die AWS Management Console: Wenn der Nutzer auf die AWS Management Console zugreifen muss, erstellen Sie ein Passwort für ihn. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Richten Sie während der anfänglichen Nutzereinrichtung für alle IAM-Nutzer, die ein Console-Passwort haben, keine Zugriffsschlüssel ein
|
|
Ergebnisbeschreibung: Hier wird geprüft, ob eine Amazon DynamoDB-Tabelle ihre Lese- und Schreibkapazität nach Bedarf skalieren kann. Diese Prüfung ist erfolgreich, wenn die Tabelle entweder den On-Demand-Kapazitätsmodus oder den bereitgestellten Modus mit konfiguriertem Autoscaling verwendet. Durch die Skalierung der Kapazität je nach Bedarf werden Drosselungsausnahmen vermieden, was zur Aufrechterhaltung der Verfügbarkeit Ihrer Anwendungen beiträgt. DynamoDB-Tabellen im On-Demand-Kapazitätsmodus sind nur durch die Standardkontingente für den DynamoDB-Durchsatz begrenzt. Wenn Sie diese Kontingente erhöhen möchten, können Sie ein Support-Ticket über den AWS-Support einreichen. DynamoDB-Tabellen im bereitgestellten Modus mit Autoscaling passen die bereitgestellte Durchsatzkapazität dynamisch an die Trafficmuster an. Weitere Informationen zur Drosselung von DynamoDB-Anfragen finden Sie im Amazon DynamoDB-Entwicklerleitfaden unter „Request throttling and burst capacity“. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
DynamoDB-Tabellen sollten die Kapazität gemäß Nachfrage automatisch skalieren
|
|
Ergebnisbeschreibung: Mit dieser Einstellung wird geprüft, ob für eine DynamoDB-Tabelle ein Sicherungsplan vorhanden ist. Die Prüfung schlägt fehl, wenn für eine DynamoDB-Tabelle kein Sicherungsplan vorhanden ist. Diese Einstellung wertet nur DynamoDB-Tabellen aus, die den Status AKTIV haben. Sicherungen helfen Ihnen, sich schneller von einem Sicherheitsvorfall zu erholen. Außerdem stärken sie die Ausfallsicherheit Ihrer Systeme. Wenn Sie DynamoDB-Tabellen in einen Sicherungsplan aufnehmen, können Sie Ihre Daten vor unbeabsichtigtem Verlust oder Löschen schützen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Für DynamoDB-Tabellen sollte es einen Sicherungsplan geben
|
|
Ergebnisbeschreibung: Die Wiederherstellung zu einem bestimmten Zeitpunkt (Point In Time Recovery, PITR) ist einer der Mechanismen, die zum Sichern von DynamoDB-Tabellen verfügbar sind. Eine Sicherung zu einem bestimmten Zeitpunkt wird 35 Tage lang aufbewahrt. Wenn Sie eine längere Aufbewahrung benötigen, lesen Sie in der AWS-Dokumentation den Artikel Geplante Sicherungen für Amazon DynamoDB mit AWS Backup einrichten. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob die Wiederherstellung zu einem bestimmten Zeitpunkt für alle AWS DynamoDB-Tabellen aktiviert ist
|
|
Ergebnisbeschreibung: Prüft, ob alle DynamoDB-Tabellen mit einem vom Kunden verwalteten KMS-Schlüssel (nicht standardmäßig) verschlüsselt sind. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob alle DynamoDB-Tabellen mit AWS Key Management Service (KMS) verschlüsselt sind
|
|
Ergebnisbeschreibung: Prüft, ob die EBS-Optimierung für Ihre EC2-Instanzen aktiviert ist, die EBS-optimiert werden können Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob die EBS-Optimierung für alle Instanzen aktiviert ist, die diese unterstützen
|
|
Ergebnisbeschreibung: Prüft, ob Amazon Elastic Block Store-Snapshots nicht öffentlich sind. Die Prüfung schlägt fehl, wenn Amazon EBS-Snapshots von jedem wiederhergestellt werden können. Mit EBS-Snapshots werden die Daten auf Ihren EBS-Volumes zu einem bestimmten Zeitpunkt in Amazon S3 gesichert. Mit den Snapshots können Sie frühere Zustände von EBS-Volumes wiederherstellen. Es ist selten akzeptabel, einen Snapshot öffentlich freizugeben. In der Regel wurde die Entscheidung, einen Snapshot öffentlich freizugeben, versehentlich oder ohne vollständiges Verständnis der Auswirkungen getroffen. So wird sichergestellt, dass alle diese Freigaben vollständig geplant und beabsichtigt waren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Amazon EBS-Snapshots sollten nicht öffentlich wiederherstellbar sein
|
|
Ergebnisbeschreibung: Elastic Compute Cloud (EC2) unterstützt die Verschlüsselung ruhender Daten, wenn der Elastic Block Store-Dienst (EBS) verwendet wird. Die Verschlüsselung ist standardmäßig deaktiviert, kann aber beim Erstellen von EBS-Volumes erzwungen werden. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass die EBS-Volume-Verschlüsselung in allen Regionen aktiviert ist
|
|
Ergebnisbeschreibung: Amazon VPC bietet mehr Sicherheitsfunktionen als EC2 Classic. Es wird empfohlen, dass alle Knoten zu einer Amazon VPC gehören. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass alle Instanzen zu einer VPC gehören
|
|
Ergebnisbeschreibung: EC2-Instanzen mit einer öffentlichen IP-Adresse sind einem erhöhten Risiko von Angriffen ausgesetzt. Es wird empfohlen, EC2-Instanzen nicht mit einer öffentlichen IP-Adresse zu konfigurieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass keine Instanz eine öffentliche IP-Adresse hat
|
|
Ergebnisbeschreibung: Eine State Manager-Verknüpfung ist eine Konfiguration, die Ihren verwalteten Instanzen zugewiesen wird. Die Konfiguration definiert den Zustand, den Sie auf Ihren Instanzen beibehalten möchten. Eine Verknüpfung kann beispielsweise festlegen, dass auf Ihren Instanzen eine Antivirensoftware installiert und ausgeführt werden muss oder dass bestimmte Ports geschlossen sein müssen. EC2-Instanzen, die mit AWS Systems Manager verknüpft sind, werden von Systems Manager verwaltet. Dadurch lassen sich Patches einfacher anwenden, Fehlkonfigurationen beheben und auf Sicherheitsereignisse reagieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie den Compliancestatus der AWS Systems Manager-Verknüpfung
|
|
Ergebnisbeschreibung: Mit dieser Einstellung wird geprüft, ob der Status der AWS Systems Manager-Verknüpfungscompliance COMPLIANT oder NON_COMPLIANT ist, nachdem die Verknüpfung auf einer Instanz ausgeführt wurde. Die Prüfung schlägt fehl, wenn der Compliancestatus der Verknüpfung NON_COMPLIANT ist. Eine State Manager-Verknüpfung ist eine Konfiguration, die Ihren verwalteten Instanzen zugewiesen wird. Die Konfiguration definiert den Zustand, den Sie auf Ihren Instanzen beibehalten möchten. In einer Verknüpfung kann beispielsweise festgelegt werden, dass auf Ihren Instanzen eine Antivirensoftware installiert und ausgeführt werden muss oder dass bestimmte Ports geschlossen sein müssen. Nachdem Sie eine oder mehrere State Manager-Verknüpfungen erstellt haben, sind die Informationen zum Compliancestatus sofort verfügbar. Sie können den Compliancestatus in der Console oder als Antwort auf AWS CLI-Befehle oder entsprechende Systems Manager API-Aktionen aufrufen. Für Verknüpfungen wird in der Konfigurations-Compliance der Compliance-Status („Konform“ oder „Nicht konform“) angezeigt. Außerdem wird der Schweregrad angezeigt, der der Verknüpfung zugewiesen ist, z. B. „Kritisch“ oder „Mittel“. Weitere Informationen zur Compliance von State Manager-Verknüpfungen finden Sie im AWS Systems Manager-Nutzerhandbuch unter About State Manager association compliance. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie den Status der AWS Systems Manager-Patchcompliance
|
|
Ergebnisbeschreibung: Wenn der Metadatendienst auf AWS EC2-Instanzen aktiviert wird, können Nutzer entweder Instance Metadata Service Version 1 (IMDSv1; eine Anfrage/Antwort-Methode) oder Instance Metadata Service Version 2 (IMDSv2; eine sitzungsorientierte Methode) verwenden. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass der EC2-Metadatendienst nur IMDSv2 zulässt
|
|
Ergebnisbeschreibung: Nicht angehängte (nicht verwendete) EBS-Volumes (Elastic Block Store) in Ihrem AWS-Konto identifizieren und entfernen, um die Kosten Ihrer monatlichen AWS-Rechnung zu senken. Durch das Löschen nicht verwendeter EBS-Volumes wird auch das Risiko verringert, dass vertrauliche/sensible Daten Ihr Unternehmen verlassen. Außerdem wird mit dieser Einstellung geprüft, ob EC2-Instanzen so konfiguriert sind, dass Volumes beim Beenden gelöscht werden. Standardmäßig sind EC2-Instanzen so konfiguriert, dass die Daten in allen mit der Instanz verknüpften EBS-Volumes und das Root-EBS-Volume der Instanz gelöscht werden. Alle Nicht-Root-EBS-Volumes, die beim Start oder während der Ausführung an die Instanz angehängt sind, bleiben jedoch standardmäßig nach der Beendigung erhalten. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob EBS-Volumes an EC2-Instanzen angehängt und zum Löschen bei Instanzbeendigung konfiguriert sind
|
|
Ergebnisbeschreibung: Amazon EFS unterstützt zwei Formen der Verschlüsselung für Dateisysteme: die Verschlüsselung von Daten bei der Übertragung und die Verschlüsselung ruhender Daten. Es wird geprüft, ob alle EFS-Dateisysteme in allen aktivierten Regionen im Konto mit Verschlüsselung ruhender Daten konfiguriert sind. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob EFS zum Verschlüsseln von Dateidaten mit KMS konfiguriert ist
|
|
Ergebnisbeschreibung: Amazon empfiehlt, Backups für Ihre Elastic File Systems (EFS) zu konfigurieren. Dabei werden alle EFS in allen aktivierten Regionen in Ihrem AWS-Konto auf aktivierte Sicherungen geprüft. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob EFS-Dateisysteme in AWS-Sicherungsplänen enthalten sind
|
|
Ergebnisbeschreibung: Prüft, ob der klassische Load Balancer HTTPS-/SSL-Zertifikate verwendet, die von AWS Certificate Manager (ACM) bereitgestellt wurden. Die Prüfung schlägt fehl, wenn der mit einem HTTPS/SSL-Listener konfigurierte Classic Load Balancer kein von ACM bereitgestelltes Zertifikat verwendet. Zum Erstellen eines Zertifikats können Sie entweder ACM oder ein Tool verwenden, das die SSL- und TLS-Protokolle unterstützt, z. B. OpenSSL. Der Sicherheits-Hub empfiehlt, ACM zum Erstellen oder Importieren von Zertifikaten für Ihren Load Balancer zu verwenden. ACM lässt sich in Classic Load Balancer einbinden, sodass Sie das Zertifikat auf Ihrem Load Balancer bereitstellen können. Außerdem sollten Sie diese Zertifikate automatisch verlängern. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüft, ob alle klassischen Load Balancer SSL-Zertifikate verwenden, die von AWS Certificate Manager bereitgestellt wurden
|
|
Ergebnisbeschreibung: Prüft, ob für einen Application Load Balancer der Löschschutz aktiviert ist. Die Prüfung schlägt fehl, wenn der Löschschutz nicht konfiguriert ist. Aktivieren Sie den Löschschutz, um Ihren Application Load Balancer vor dem Löschen zu schützen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Der Löschschutz für Application Load Balancer sollte aktiviert sein
|
|
Ergebnisbeschreibung: Prüft, ob Logging für den Application Load Balancer und den Classic Load Balancer aktiviert ist. Die Prüfung schlägt fehl, wenn „access_logs.s3.enabled“ auf „false“ gesetzt ist. Elastic Load Balancing bietet Zugriffslogs, die detaillierte Informationen zu Anfragen erfassen, die an Ihren Load Balancer gesendet werden. Jedes Protokoll enthält Informationen wie den Zeitpunkt des Eingangs der Anfrage, die IP-Adresse des Clients, Latenzen, Anfragepfade und Serverantworten. Sie können diese Zugriffslogs verwenden, um Trafficmuster zu analysieren und Probleme zu beheben. Weitere Informationen finden Sie im Nutzerhandbuch für Classic Load Balancer unter Access logs for your Classic Load Balancer. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob Logging für klassische und Application Load Balancer aktiviert ist
|
|
Ergebnisbeschreibung: Mit dieser Prüfung wird sichergestellt, dass alle klassischen Load Balancer für die Verwendung einer sicheren Kommunikation konfiguriert sind. Ein Listener ist ein Prozess, der auf Verbindungsanfragen wartet. Er wird mit einem Protokoll und einem Port für Frontend-Verbindungen (Client zu Load Balancer) und einem Protokoll und einem Port für Backend-Verbindungen (Load Balancer zu Instanz) konfiguriert. Informationen zu den von Elastic Load Balancing unterstützten Ports, Protokollen und Listener-Konfigurationen finden Sie unter Listener für Ihren Classic Load Balancer. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob SSL- oder HTTPS-Listener für alle klassischen Load Balancer konfiguriert sind
|
|
Ergebnisbeschreibung: Prüft, ob die EBS-Volumes, die sich im Status „Angehängt“ befinden, verschlüsselt sind. Damit diese Prüfung bestanden wird, müssen EBS-Volumes verwendet und verschlüsselt werden. Wenn das EBS-Volume nicht angehängt ist, wird es nicht geprüft. Für eine zusätzliche Sicherheitsebene für Ihre sensiblen Daten in EBS-Volumes sollten Sie die Verschlüsselung ruhender Daten für EBS aktivieren. Die Amazon EBS-Verschlüsselung bietet eine unkomplizierte Verschlüsselungslösung für Ihre EBS-Ressourcen, ohne dass Sie eine eigene Infrastruktur für die Schlüsselverwaltung erstellen, verwalten und sichern müssen. Er verwendet KMS-Schlüssel, wenn verschlüsselte Volumes und Snapshots erstellt werden. Weitere Informationen zur Amazon EBS-Verschlüsselung finden Sie im Amazon EC2-Nutzerhandbuch für Linux-Instanzen unter „Amazon EBS-Verschlüsselung“. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Ruhende Daten von angehängten Amazon EBS-Volumes sollten verschlüsselt sein
|
|
Ergebnisbeschreibung: Verschlüsselte Amazon RDS-Datenbankinstanzen verwenden den branchenüblichen AES-256-Verschlüsselungsalgorithmus, um Ihre Daten auf dem Server zu verschlüsseln, auf dem Ihre Amazon RDS-Datenbankinstanzen gehostet werden. Nachdem Ihre Daten verschlüsselt wurden, übernimmt Amazon RDS die Authentifizierung des Zugriffs und die Entschlüsselung Ihrer Daten transparent und mit minimalen Auswirkungen auf die Leistung. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass die Verschlüsselung ruhender Daten für RDS-Instanzen aktiviert ist
|
|
Ergebnisbeschreibung: EFS-Daten sollten im Ruhezustand mit AWS KMS (Key Management Service) verschlüsselt werden. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass die Verschlüsselung für EFS-Dateisysteme aktiviert ist
|
|
Ergebnisbeschreibung: AWS ermöglicht benutzerdefinierte Passwortrichtlinien für Ihr AWS-Konto, um Komplexitätsanforderungen und obligatorische Rotationszeiträume für die Passwörter Ihrer IAM-Nutzer festzulegen. Wenn Sie keine benutzerdefinierte Passwortrichtlinie festlegen, müssen die Passwörter von IAM-Nutzern der standardmäßigen AWS-Passwortrichtlinie entsprechen. In den AWS-Sicherheits-Best-Practices werden die folgenden Anforderungen an die Passwortkomplexität empfohlen:
Mit dieser Einstellung werden alle angegebenen Anforderungen an die Passwortrichtlinie geprüft. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob die Richtlinie für Kontopasswörter für IAM-Nutzer den angegebenen Anforderungen entspricht
|
|
Ergebnisbeschreibung: IAM-Passwortrichtlinien können verhindern, dass ein bestimmtes Passwort von demselben Nutzer wiederverwendet wird. Es wird empfohlen, dass die Passwortrichtlinie die Wiederverwendung von Passwörtern verhindert. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass die IAM-Passwortrichtlinie die Wiederverwendung von Passwörtern verhindert
|
|
Ergebnisbeschreibung: Passwortrichtlinien werden unter anderem verwendet, um Anforderungen an die Passwortkomplexität durchzusetzen. Mit IAM-Passwortrichtlinien können Sie dafür sorgen, dass Passwörter mindestens eine bestimmte Länge haben. Es wird empfohlen, dass die Passwortrichtlinie eine Mindestlänge von 14 Zeichen erfordert. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass die IAM-Passwortrichtlinie eine Mindestlänge von 14 Zeichen verlangt
|
|
Ergebnisbeschreibung: IAM-Richtlinien sind das Mittel, mit dem Nutzern, Gruppen oder Rollen Berechtigungen gewährt werden. Es wird empfohlen und gilt als Standard-Sicherheitshinweis, die geringste Berechtigung zu gewähren, d. h. nur die Berechtigungen, die zum Ausführen einer Aufgabe erforderlich sind. Ermitteln Sie, was Nutzer tun müssen, und erstellen Sie dann Richtlinien, mit denen die Nutzer nur diese Aufgaben ausführen können, anstatt ihnen vollständige Administratorberechtigungen zu gewähren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass keine IAM-Richtlinien angehängt sind, die uneingeschränkte „*:*“-Administratorberechtigungen gewähren
|
|
Ergebnisbeschreibung: IAM-Nutzern wird über IAM-Richtlinien Zugriff auf Dienste, Funktionen und Daten gewährt. Es gibt vier Möglichkeiten, Richtlinien für einen Nutzer zu definieren: 1) Die Nutzerrichtlinie direkt bearbeiten, auch Inline- oder Nutzerrichtlinie genannt; 2) eine Richtlinie direkt an einen Nutzer anhängen; 3) den Nutzer einer IAM-Gruppe mit einer angehängten Richtlinie hinzufügen; 4) den Nutzer einer IAM-Gruppe mit einer Inlinerichtlinie hinzufügen. Nur die dritte Implementierung wird empfohlen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass IAM-Nutzer Berechtigungen nur über Gruppen erhalten
|
|
Ergebnisbeschreibung: IAM-Nutzer sollten immer Teil einer IAM-Gruppe sein, um die Best Practices für die IAM-Sicherheit einzuhalten. Wenn Sie Nutzer einer Gruppe hinzufügen, können Sie Richtlinien für verschiedene Nutzertypen freigeben. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob IAM-Nutzer Mitglieder von mindestens einer IAM-Gruppe sind
|
|
Ergebnisbeschreibung: Die Multi-Faktor-Authentifizierung (MFA) ist eine Best Practice, die zusätzlich zu Nutzernamen und Passwörtern eine weitere Schutzebene bietet. Wenn sich ein Nutzer mit der MFA in der AWS-Managementkonsole anmeldet, muss er einen zeitkritischen Authentifizierungscode angeben, der von einem registrierten virtuellen oder physischen Gerät bereitgestellt wird. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob für AWS IAM-Nutzer die Multi-Faktor-Authentifizierung (MFA) aktiviert ist
|
|
Ergebnisbeschreibung: Es wird geprüft, ob IAM-Passwörter oder aktive Zugriffsschlüssel vorhanden sind, die in den letzten 90 Tagen nicht verwendet wurden. Best Practices empfehlen, alle Anmeldedaten, die seit mindestens 90 Tagen nicht verwendet wurden, zu entfernen, zu deaktivieren oder zu rotieren. Dadurch wird die Zeitspanne verkürzt, in der Anmeldedaten, die mit einem manipulierten oder aufgegebenen Konto verknüpft sind, verwendet werden können. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob alle AWS IAM-Nutzer Passwörter oder aktive Zugriffsschlüssel haben, die in der unter „maxCredentialUsageAge“ angegebenen Anzahl von Tagen nicht verwendet wurden (Standardeinstellung: 90)
|
|
Ergebnisbeschreibung: Mit dieser Prüfung wird festgestellt, ob KMS-Schlüssel zum Löschen geplant sind. Die Prüfung schlägt fehl, wenn ein KMS-Schlüssel zum Löschen geplant ist. KMS-Schlüssel können nach dem Löschen nicht wiederhergestellt werden. Mit einem KMS-Schlüssel verschlüsselte Daten können auch nicht wiederhergestellt werden, wenn der KMS-Schlüssel gelöscht wird. Wenn wichtige Daten mit einem KMS-Schlüssel verschlüsselt wurden, der zum Löschen vorgemerkt ist, sollten Sie die Daten entschlüsseln oder mit einem neuen KMS-Schlüssel neu verschlüsseln, es sei denn, Sie führen absichtlich eine kryptografische Löschung durch. Wenn ein KMS-Schlüssel zum Löschen geplant ist, wird eine obligatorische Wartezeit erzwungen, damit das Löschen rückgängig gemacht werden kann, falls es fälschlicherweise geplant wurde. Die Standardwartezeit beträgt 30 Tage, kann aber auf bis zu 7 Tage verkürzt werden, wenn der KMS-Schlüssel zum Löschen vorgemerkt ist. Während der Wartezeit kann das geplante Löschen abgebrochen werden und der KMS-Schlüssel wird nicht gelöscht. Weitere Informationen zum Löschen von KMS-Schlüsseln finden Sie im AWS Key Management Service Entwicklerleitfaden unter Deleting KMS keys. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie alle CMKs darauf, dass sie nicht zum Löschen geplant sind
|
|
Ergebnisbeschreibung: Prüft, ob für die Lambda-Funktion das Limit für die gleichzeitige Ausführung auf Funktionsebene konfiguriert ist. Die Regel ist NON_COMPLIANT, wenn die Lambda-Funktion nicht mit einem Limit für die gleichzeitige Ausführung auf Funktionsebene konfiguriert ist. Preisstufe: Enterprise Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüfen Sie, ob für Lambda-Funktionen das Limit für die gleichzeitige Ausführung auf Funktionsebene konfiguriert ist
|
|
Ergebnisbeschreibung: Prüft, ob eine Lambda-Funktion mit einer Dead-Letter-Warteschlange konfiguriert ist. Die Regel ist NON_COMPLIANT, wenn die Lambda-Funktion nicht mit einer Dead-Letter-Warteschlange konfiguriert ist. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob Lambda-Funktionen mit einer Dead-Letter-Warteschlange konfiguriert sind
|
|
Ergebnisbeschreibung: Gemäß den AWS-Best Practices sollten Lambda-Funktionen nicht öffentlich zugänglich sein. Mit dieser Richtlinie werden alle Lambda-Funktionen geprüft, die in allen aktivierten Regionen in Ihrem Konto bereitgestellt sind. Sie schlägt fehl, wenn sie so konfiguriert sind, dass sie öffentlichen Zugriff zulassen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob die an die Lambda-Funktion angehängte Richtlinie den öffentlichen Zugriff verhindert
|
|
Ergebnisbeschreibung: Prüft, ob sich eine Lambda-Funktion in einer VPC befindet. Möglicherweise werden fehlgeschlagene Ergebnisse für Lambda@Edge-Ressourcen angezeigt. Die Routingkonfiguration des VPC-Subnetzes wird nicht ausgewertet, um die öffentliche Erreichbarkeit zu bestimmen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob Lambda-Funktionen in einer VPC vorhanden sind
|
|
Ergebnisbeschreibung: Wenn die MFA-Löschung für Ihren sensiblen und klassifizierten S3-Bucket aktiviert ist, muss der Nutzer zwei Formen der Authentifizierung haben. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass MFA-Löschungen für S3-Buckets aktiviert sind
|
|
Ergebnisbeschreibung: Das Root-Nutzerkonto ist das Nutzerkonto mit den meisten Berechtigungen in einem AWS-Konto. Die Multi-Faktor-Authentifizierung (MFA) bietet zusätzlich zu Nutzername und Passwort eine weitere Sicherheitsebene. Wenn die MFA aktiviert ist, wird ein Nutzer bei der Anmeldung auf einer AWS-Website nach seinem Nutzernamen und Passwort sowie nach einem Authentifizierungscode von seinem AWS-MFA-Gerät gefragt. Hinweis: Wenn die virtuelle MFA für „Root“-Konten verwendet wird, wird empfohlen, dass das verwendete Gerät KEIN privates Gerät ist, sondern ein dediziertes Mobilgerät (Tablet oder Smartphone), das unabhängig von privaten Geräten aufgeladen und gesichert wird. („nicht persönliche virtuelle MFA“) Dadurch wird das Risiko verringert, dass der Zugriff auf die MFA verloren geht, weil das Gerät verloren geht, eingetauscht wird oder die Person, der das Gerät gehört, nicht mehr im Unternehmen beschäftigt ist. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass MFA für das Root-Nutzerkonto aktiviert ist
|
|
Ergebnisbeschreibung: Die Multi-Faktor-Authentifizierung (MFA) bietet eine zusätzliche Authentifizierungsebene, die über herkömmliche Anmeldedaten hinausgeht. Wenn die MFA aktiviert ist, werden Nutzer bei der Anmeldung in der AWS-Konsole nach ihrem Nutzernamen und Passwort sowie nach einem Authentifizierungscode von ihrem physischen oder virtuellen MFA-Token gefragt. Es wird empfohlen, die MFA für alle Konten mit einem Console-Passwort zu aktivieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass die Multi-Faktor-Authentifizierung (MFA) für alle IAM-Nutzer aktiviert ist, die ein Console-Passwort haben
|
|
Ergebnisbeschreibung: Die Funktion „Network Access Control List“ (NACL) bietet eine zustandslose Filterung des eingehenden und ausgehenden Netzwerk-Traffics zu AWS-Ressourcen. Es wird empfohlen, dass keine NACL uneingeschränkten eingehenden Zugriff auf Remote-Server-Verwaltungsports wie SSH auf Port Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass keine Netzwerk-ACLs eingehenden Traffic von 0.0.0.0/0 an Remote-Serververwaltungsports zulassen
|
|
Ergebnisbeschreibung: Das Root-Nutzerkonto ist das Nutzerkonto mit den meisten Berechtigungen in einem AWS-Konto. AWS-Zugriffsschlüssel ermöglichen den programmatischen Zugriff auf ein bestimmtes AWS-Konto. Es wird empfohlen, alle Zugriffsschlüssel zu löschen, die mit dem Root-Nutzerkonto verknüpft sind. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass kein Zugriffsschlüssel für das Root-Nutzerkonto vorhanden ist
|
|
Ergebnisbeschreibung: Sicherheitsgruppen ermöglichen eine zustandsorientierte Filterung des eingehenden und ausgehenden Netzwerktraffics zu AWS-Ressourcen. Es wird empfohlen, dass keine Sicherheitsgruppe uneingeschränkten eingehenden Zugriff auf Remote-Serververwaltungsports wie SSH auf Port Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass keine Sicherheitsgruppen eingehenden Traffic von 0.0.0.0/0 an Remote-Serververwaltungsports zulassen
|
|
Ergebnisbeschreibung: Sicherheitsgruppen ermöglichen eine zustandsorientierte Filterung des eingehenden und ausgehenden Netzwerktraffics zu AWS-Ressourcen. Es wird empfohlen, dass keine Sicherheitsgruppe uneingeschränkten eingehenden Zugriff auf Remote-Serververwaltungsports zulässt, z. B. SSH auf Port Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass keine Sicherheitsgruppen eingehenden Traffic von ::/0 an Remote-Serververwaltungsports zulassen
|
|
Ergebnisbeschreibung: Zugriffsschlüssel sind langfristige Anmeldedaten für einen IAM-Nutzer oder den Root-Nutzer des AWS-Kontos. Sie können Zugriffsschlüssel verwenden, um programmatische Anfragen an die AWS-Befehlszeile oder die AWS API (direkt oder über das AWS SDK) zu signieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass pro IAM-Nutzer nur ein aktiver Zugriffsschlüssel verfügbar ist
|
|
Ergebnisbeschreibung: Achten Sie darauf, dass RDS-Datenbankinstanzen, die in Ihrem AWS-Konto bereitgestellt werden, den nicht autorisierten Zugriff einschränken, um Sicherheitsrisiken zu minimieren. Wenn Sie den Zugriff auf eine öffentlich zugängliche RDS-Datenbankinstanz einschränken möchten, müssen Sie das Flag „Öffentlich zugänglich“ der Datenbank deaktivieren und die mit der Instanz verknüpfte VPC-Sicherheitsgruppe aktualisieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass RDS-Instanzen keine öffentliche Zugriffsberechtigung gewährt wird
|
|
Ergebnisbeschreibung: Das erweiterte Monitoring liefert Echtzeitmesswerte zum Betriebssystem, auf dem die RDS-Instanz ausgeführt wird. Dazu wird ein Agent in der Instanz installiert. Weitere Informationen finden Sie unter Betriebssystemmesswerte mit erweitertem Monitoring überwachen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob erweitertes Monitoring für alle RDS-Datenbankinstanzen aktiviert ist
|
|
Ergebnisbeschreibung: Das Aktivieren des Löschschutzes für Instanzen bietet zusätzlichen Schutz vor versehentlichem Löschen der Datenbank oder Löschen durch eine nicht autorisierte Entität. Wenn der Löschschutz aktiviert ist, kann eine RDS-Datenbankinstanz nicht gelöscht werden. Bevor eine Löschanfrage erfolgreich sein kann, muss der Löschschutz deaktiviert werden. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob für alle RDS-Instanzen der Löschschutz aktiviert ist
|
|
Ergebnisbeschreibung: Bei dieser Prüfung wird ermittelt, ob für Amazon RDS-Datenbankinstanzen ein Sicherungsplan vorhanden ist. Diese Prüfung schlägt fehl, wenn für eine RDS-Datenbankinstanz kein Sicherungsplan vorhanden ist. AWS Backup ist ein vollständig verwalteter Sicherungsdienst, der die Sicherung von Daten über AWS-Dienste hinweg zentralisiert und automatisiert. Mit AWS Backup können Sie Sicherungsrichtlinien erstellen, die als Sicherungspläne bezeichnet werden. Mit diesen Plänen können Sie Ihre Sicherungsanforderungen definieren, z. B. wie oft Ihre Daten gesichert werden sollen und wie lange diese Sicherungen aufbewahrt werden sollen. Wenn Sie RDS-Datenbankinstanzen in einen Sicherungsplan aufnehmen, können Sie Ihre Daten vor unbeabsichtigtem Verlust oder Löschen schützen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Für die RDS-Datenbankinstanzen sollte es einen Sicherungsplan geben
|
|
Ergebnisbeschreibung: Hier wird geprüft, ob die folgenden Logs von Amazon RDS aktiviert sind und an CloudWatch gesendet werden. Für RDS-Datenbanken sollten relevante Logs aktiviert sein. Das Datenbank-Logging bietet detaillierte Informationen zu Anfragen, die an RDS gesendet wurden. Datenbanklogs können bei Sicherheits- und Zugriffsprüfungen helfen und bei der Diagnose von Verfügbarkeitsproblemen unterstützen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob exportierte Logs für alle RDS-Datenbankinstanzen aktiviert sind
|
|
Ergebnisbeschreibung: RDS-Datenbankinstanzen sollten für mehrere Verfügbarkeitszonen konfiguriert sein. So wird die Verfügbarkeit der gespeicherten Daten sichergestellt. Multi-AZ-Bereitstellungen ermöglichen ein automatisches Failover, wenn ein Problem mit der Verfügbarkeit der Verfügbarkeitszone auftritt und während der regulären RDS-Wartung. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob die Hochverfügbarkeit für alle RDS-Datenbankinstanzen aktiviert ist
|
|
Ergebnisbeschreibung: Dabei werden die wesentlichen Elemente eines Redshift-Clusters geprüft: Verschlüsselung ruhender Daten, Logging und Knotentyp. Diese Konfigurationselemente sind wichtig, um einen sicheren und beobachtbaren Redshift-Cluster zu verwalten. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob für alle Redshift-Cluster die Verschlüsselung ruhender Daten, das Logging und der Knotentyp konfiguriert sind.
|
|
Ergebnisbeschreibung: Automatische Upgrades der Hauptversion erfolgen gemäß dem Wartungsfenster Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob für alle Redshift-Cluster „allowVersionUpgrade“ aktiviert ist und Werte für „preferredMaintenanceWindow“ sowie „automatedSnapshotRetentionPeriod“ festgelegt sind
|
|
Ergebnisbeschreibung: Das Attribut „PubliclyAccessible“ der Amazon Redshift-Clusterkonfiguration gibt an, ob der Cluster öffentlich zugänglich ist. Wenn der Cluster mit „PubliclyAccessible“ auf „true“ konfiguriert ist, handelt es sich um eine Instanz mit Internetzugriff, die einen öffentlich auflösbaren DNS-Namen hat, der in eine öffentliche IP-Adresse aufgelöst wird. Wenn der Cluster nicht öffentlich zugänglich ist, handelt es sich um eine interne Instanz mit einem DNS-Namen, der in eine private IP-Adresse aufgelöst wird. Wenn Sie nicht möchten, dass Ihr Cluster öffentlich zugänglich ist, sollte „PubliclyAccessible“ nicht auf „true“ gesetzt sein. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob Redshift-Cluster öffentlich zugänglich sind
|
|
Ergebnisbeschreibung: Hier wird geprüft, ob uneingeschränkter eingehender Traffic für die Sicherheitsgruppen für die angegebenen Ports mit dem höchsten Risiko zugänglich ist. Diese Prüfung schlägt fehl, wenn eine der Regeln in einer Sicherheitsgruppe eingehenden Traffic von „0.0.0.0/0“ oder „::/0“ für diese Ports zulässt. Uneingeschränkter Zugriff (0.0.0.0/0) erhöht die Wahrscheinlichkeit böswilliger Aktivitäten wie Hacking, Denial-of-Service-Angriffe und Datenverlust. Sicherheitsgruppen ermöglichen eine zustandsorientierte Filterung des eingehenden und ausgehenden Netzwerktraffics zu AWS-Ressourcen. Keine Sicherheitsgruppe sollte uneingeschränkten eingehenden Zugriff auf die folgenden Ports zulassen:
Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Sicherheitsgruppen sollten keinen uneingeschränkten Zugriff auf Ports mit hohem Risiko zulassen
|
|
Ergebnisbeschreibung: Sicherheitsgruppen ermöglichen eine zustandsorientierte Filterung des eingehenden und ausgehenden Netzwerktraffics zu AWS-Ressourcen. Das CIS empfiehlt, dass keine Sicherheitsgruppe uneingeschränkten eingehenden Zugriff auf Port 22 zulässt. Wenn Sie die uneingeschränkte Verbindung zu Remote-Konsolendiensten wie SSH entfernen, verringert sich das Risiko für einen Server. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Sicherheitsgruppen sollten keinen eingehenden Traffic von 0.0.0.0/0 an Port 22 zulassen
|
|
Ergebnisbeschreibung: Prüft, ob die automatische Schlüsselrotation für jeden Schlüssel aktiviert ist, und gleicht sie mit der Schlüssel-ID des vom Kunden erstellten AWS-KMS-Schlüssels ab. Die Regel ist NICHT_KONFORM, wenn die AWS Config-Recorder-Rolle für eine Ressource nicht die Berechtigung „kms:DescribeKey“ hat. Preisstufe: Enterprise Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Achten Sie darauf, dass die Rotation für vom Kunden erstellte CMKs aktiviert ist
|
|
Ergebnisbeschreibung: Mit dem AWS Key Management Service (KMS) können Kunden den Sicherungsschlüssel rotieren. Dabei handelt es sich um Schlüsselmaterial, das im KMS gespeichert ist und mit der Schlüssel-ID des vom Kunden erstellten Kundenmasterschlüssels (CMK) verknüpft ist. Es ist der zugrunde liegende Schlüssel, der für kryptografische Vorgänge wie Ver- und Entschlüsselung verwendet wird. Bei der automatischen Schlüsselrotation werden derzeit alle vorherigen Sicherungsschlüssel beibehalten, damit die Entschlüsselung verschlüsselter Daten transparent erfolgen kann. Es wird empfohlen, die CMK-Schlüsselrotation für symmetrische Schlüssel zu aktivieren. Die Schlüsselrotation kann für asymmetrische CMKs nicht aktiviert werden. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass die Rotation für vom Kunden erstellte symmetrische CMKs aktiviert ist
|
|
Ergebnisbeschreibung: Prüft, ob Routingtabellen für VPC-Peering nach dem Prinzip der geringsten Berechtigung konfiguriert sind. Preisstufe: Enterprise Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Achten Sie darauf, dass Routingtabellen für VPC-Peering den geringsten Zugriff gewähren
|
|
Ergebnisbeschreibung: Amazon S3 Block Public Access bietet Einstellungen für Zugriffspunkte, Buckets und Konten, mit denen Sie den öffentlichen Zugriff auf Amazon S3-Ressourcen verwalten können. Standardmäßig ist der öffentliche Zugriff auf neue Buckets, Zugriffspunkte und Objekte nicht zulässig. Preisstufe: Enterprise Diese Ergebniskategorie ist keinen Compliancestandards zugeordnet. |
Prüfen Sie, ob die erforderlichen S3-Einstellungen zum Blockieren des öffentlichen Zugriffs auf Kontoebene konfiguriert sind
|
|
Ergebnisbeschreibung: Amazon S3 bietet Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass S3-Buckets mit
|
|
Ergebnisbeschreibung: Die S3-Bucket-Zugriffsprotokollierung generiert ein Protokoll, das Zugriffseinträge für jede Anfrage an Ihren S3-Bucket enthält. Ein Zugriffslogeintrag enthält Details zur Anfrage, z. B. den Anfragetyp, die in der Anfrage angegebenen Ressourcen und die Uhrzeit und das Datum, zu dem die Anfrage verarbeitet wurde. Es wird empfohlen, das Bucket-Zugriffs-Logging für den CloudTrail-S3-Bucket zu aktivieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass das S3-Bucket-Zugriffs-Logging im CloudTrail S3-Bucket aktiviert ist
|
|
Ergebnisbeschreibung: Mit der AWS S3-Server-Zugriffs-Logging-Funktion werden Zugriffsanfragen an Speicher-Buckets aufgezeichnet, was für Sicherheitsaudits nützlich ist. Standardmäßig ist das Serverzugriffs-Logging für S3-Buckets nicht aktiviert. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob Logging für alle S3-Buckets aktiviert ist
|
|
Ergebnisbeschreibung: Auf der Ebene des Amazon S3-Buckets können Sie Berechtigungen über eine Bucket-Richtlinie konfigurieren, sodass die Objekte nur über HTTPS zugänglich sind. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass die S3-Bucket-Richtlinie auf Ablehnen von HTTP-Anfragen festgelegt ist
|
|
Ergebnisbeschreibung: Mit diesem Steuerelement wird geprüft, ob für einen Amazon S3-Bucket die regionsübergreifende Replikation aktiviert ist. Die Prüfung schlägt fehl, wenn für den Bucket die regionsübergreifende Replikation nicht aktiviert ist oder wenn die Replikation innerhalb derselben Region ebenfalls aktiviert ist. Die Replikation ist das automatische, asynchrone Kopieren von Objekten zwischen Buckets in derselben oder in verschiedenen AWS-Regionen. Bei der Replikation werden neu erstellte Objekte und Objektaktualisierungen aus einem Quell-Bucket in einen oder mehrere Ziel-Buckets kopiert. Gemäß den Best Practices von AWS wird die Replikation für Quell- und Ziel-Buckets empfohlen, die demselben AWS-Konto gehören. Neben der Verfügbarkeit sollten Sie auch andere Einstellungen zur Systemhärtung berücksichtigen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob die regionsübergreifende Replikation für S3-Buckets aktiviert ist
|
|
Ergebnisbeschreibung: Damit wird geprüft, ob für Ihren S3-Bucket die Amazon S3-Standardverschlüsselung aktiviert ist oder ob die S3-Bucket-Richtlinie Put-Object-Anfragen ohne serverseitige Verschlüsselung explizit ablehnt. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass alle S3-Buckets die Verschlüsselung ruhender Daten verwenden
|
|
Ergebnisbeschreibung: Amazon S3 ist eine Möglichkeit, mehrere Varianten eines Objekts im selben Bucket zu speichern. So können Sie sich leichter von unbeabsichtigten Nutzeraktionen und Anwendungsfehlern erholen. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob die Versionsverwaltung für alle S3-Buckets aktiviert ist
|
|
Ergebnisbeschreibung: Prüft, ob die Amazon S3-Buckets mit AWS Key Management Service (AWS KMS) verschlüsselt sind Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob alle Buckets mit KMS verschlüsselt sind
|
|
Ergebnisbeschreibung: Prüft, ob ein AWS Key Management Service-Schlüssel (AWS KMS) für eine Amazon SageMaker-Notebookinstanz konfiguriert ist. Die Regel ist NICHT_KONFORM, wenn „KmsKeyId“ für die SageMaker-Notebookinstanz nicht angegeben ist. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob für alle SageMaker-Notebookinstanzen die Verwendung von KMS konfiguriert ist
|
|
Ergebnisbeschreibung: Prüft, ob der direkte Internetzugriff für eine SageMaker-Notebookinstanz deaktiviert ist. Dazu wird geprüft, ob das Feld „DirectInternetAccess“ für die Notebook-Instanz deaktiviert ist. Wenn Sie Ihre SageMaker-Instanz ohne VPC konfigurieren, ist der direkte Internetzugriff auf Ihrer Instanz standardmäßig aktiviert. Sie sollten Ihre Instanz mit einer VPC konfigurieren und die Standardeinstellung in „Deaktivieren – Zugriff auf das Internet über eine VPC“ ändern. Wenn Sie Modelle über ein Notebook trainieren oder hosten möchten, benötigen Sie Internetzugriff. Damit der Internetzugriff möglich ist, muss Ihre VPC ein NAT-Gateway haben und Ihre Sicherheitsgruppe muss ausgehende Verbindungen zulassen. Weitere Informationen zum Verbinden einer Notebook-Instanz mit Ressourcen in einer VPC finden Sie im Amazon SageMaker-Entwicklerleitfaden unter „Connect a notebook instance to resources in a VPC“. Außerdem sollten Sie dafür sorgen, dass nur autorisierte Nutzer Zugriff auf Ihre SageMaker-Konfiguration haben. Schränken Sie die IAM-Berechtigungen von Nutzern zum Ändern von SageMaker-Einstellungen und ‑Ressourcen ein. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob der direkte Internetzugriff für alle Amazon SageMaker-Notebookinstanzen deaktiviert ist
|
|
Ergebnisbeschreibung: Prüft, ob für ein in AWS Secrets Manager gespeichertes Secret die automatische Rotation konfiguriert ist. Die Prüfung schlägt fehl, wenn das Secret nicht mit automatischer Rotation konfiguriert ist. Wenn Sie einen benutzerdefinierten Wert für den Parameter Mit Secrets Manager können Sie den Sicherheitsstatus Ihrer Organisation verbessern. Secrets umfassen Datenbankanmeldedaten, Passwörter und API-Schlüssel von Drittanbietern. Mit Secret Manager können Sie Secrets zentral speichern, automatisch verschlüsseln, den Zugriff darauf steuern und sie sicher und automatisch rotieren. Secrets Manager kann Secrets rotieren. Sie können die Rotation verwenden, um langlebige Secrets durch kurzlebige zu ersetzen. Durch das Rotieren Ihrer Secrets wird die Zeit begrenzt, die ein nicht autorisierter Nutzer ein manipuliertes Secret verwenden kann. Aus diesem Grund sollten Sie Ihre Secrets regelmäßig rotieren. Weitere Informationen zur Rotation finden Sie im AWS Secrets Manager-Nutzerhandbuch unter „AWS Secrets Manager-Secrets rotieren“. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob für alle AWS Secrets Manager-Secrets die Rotation aktiviert ist
|
|
Ergebnisbeschreibung: Prüft, ob ein SNS-Thema im Ruhezustand mit AWS KMS verschlüsselt ist. Die Prüfung schlägt fehl, wenn ein SNS-Thema keinen KMS-Schlüssel für die serverseitige Verschlüsselung (SSE) verwendet. Durch die Verschlüsselung ruhender Daten wird das Risiko verringert, dass ein nicht bei AWS authentifizierter Nutzer auf die auf dem Datenspeicher gespeicherten Daten zugreift. Außerdem werden zusätzliche Zugriffssteuerungen hinzugefügt, um den Zugriff nicht autorisierter Nutzer auf die Daten einzuschränken. Beispielsweise sind API-Berechtigungen erforderlich, um die Daten zu entschlüsseln, bevor sie gelesen werden können. SNS-Themen sollten für eine zusätzliche Sicherheitsebene im Ruhezustand verschlüsselt werden. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob alle SNS-Themen mit KMS verschlüsselt sind
|
|
Ergebnisbeschreibung: Mit dieser Einstellung wird geprüft, ob die Standardsicherheitsgruppe einer VPC eingehenden oder ausgehenden Traffic zulässt. Die Prüfung schlägt fehl, wenn die Sicherheitsgruppe eingehenden oder ausgehenden Traffic zulässt. Die Regeln für die Standardsicherheitsgruppe lassen den gesamten ausgehenden und eingehenden Traffic von Netzwerkschnittstellen (und den zugehörigen Instanzen) zu, die derselben Sicherheitsgruppe zugewiesen sind. Wir empfehlen, die Standardsicherheitsgruppe nicht zu verwenden. Da die Standardsicherheitsgruppe nicht gelöscht werden kann, sollten Sie die Einstellung für die Standardsicherheitsgruppenregeln ändern, um eingehenden und ausgehenden Traffic einzuschränken. Dadurch wird unbeabsichtigter Traffic verhindert, wenn die Standardsicherheitsgruppe versehentlich für Ressourcen wie EC2-Instanzen konfiguriert wird. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass die Standardsicherheitsgruppe jeder VPC den gesamten Traffic einschränkt
|
|
Ergebnisbeschreibung: Mit VPC-Flusslogs können Sie Informationen zum IP-Traffic erfassen, der in Ihrer VPC an Netzwerkschnittstellen ein- oder ausgeht. Nachdem Sie ein Flusslog erstellt haben, können Sie die Daten in Amazon CloudWatch Logs aufrufen und abrufen. Es wird empfohlen, VPC-Flusslogs für Paket-„Ablehnungen“ für VPCs zu aktivieren. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Achten Sie darauf, dass VPC-Fluss-Logging in allen VPCs aktiviert ist
|
|
Ergebnisbeschreibung: Mit dieser Prüfung wird festgestellt, ob eine Amazon EC2-Sicherheitsgruppe uneingeschränkten eingehenden Traffic von nicht autorisierten Ports zulässt. Der Kontrollstatus wird so bestimmt: Wenn Sie den Standardwert für „authorizedTcpPorts“ verwenden, schlägt die Prüfung fehl, wenn die Sicherheitsgruppe uneingeschränkten eingehenden Traffic von einem anderen Port als den Ports 80 und 443 zulässt. Wenn Sie benutzerdefinierte Werte für „authorizedTcpPorts“ oder „authorizedUdpPorts“ angeben, schlägt die Prüfung fehl, wenn die Sicherheitsgruppe uneingeschränkten eingehenden Traffic von einem nicht aufgeführten Port zulässt. Wenn kein Parameter verwendet wird, schlägt die Prüfung für jede Sicherheitsgruppe fehl, die eine Regel für uneingeschränkten eingehenden Traffic hat. Sicherheitsgruppen bieten eine zustandsorientierte Filterung des eingehenden und ausgehenden Netzwerk-Traffics zu AWS. Sicherheitsgruppenregeln sollten dem Prinzip der geringsten Berechtigung folgen. Uneingeschränkter Zugriff (IP-Adresse mit dem Suffix „/0“) erhöht die Wahrscheinlichkeit böswilliger Aktivitäten wie Hacking, Denial-of-Service-Angriffe und Datenverlust. Sofern ein Port nicht ausdrücklich zugelassen ist, sollte er uneingeschränkten Zugriff verweigern. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob Sicherheitsgruppen mit 0.0.0.0/0 von VPCs nur bestimmten eingehenden TCP/UDP-Traffic zulassen
|
|
Ergebnisbeschreibung: Ein VPN-Tunnel ist eine verschlüsselte Verbindung, über die Daten im Rahmen einer AWS-Site-to-Site-VPN-Verbindung vom Kundennetzwerk zu AWS oder von AWS zum Kundennetzwerk übertragen werden können. Jede VPN-Verbindung umfasst zwei VPN-Tunnel, die Sie gleichzeitig für Hochverfügbarkeit verwenden können. Wenn Sie sicherstellen, dass beide VPN-Tunnel für eine VPN-Verbindung aktiv sind, können Sie eine sichere und hochverfügbare Verbindung zwischen einer AWS-VPC und Ihrem Remote-Netzwerk bestätigen. Mit dieser Einstellung wird geprüft, ob beide von AWS Site-to-Site VPN bereitgestellten VPN-Tunnel den Status UP haben. Die Prüfung schlägt fehl, wenn sich einer oder beide Tunnel im Status DOWN befinden. Preisstufe: Enterprise Security Command Center ordnet diesen Detektor den folgenden Compliancestandards zu:
|
Prüfen Sie, ob beide von AWS Site-to-Site bereitgestellten AWS-VPN-Tunnel den Status UP haben
|
Ergebnisse des AI Discovery-Dienstes in AI Protection
Der AI Discovery-Dienst ist ein Erkennungsdienst in AI Protection, der Komponenten und Risiken in Ihrer Google Cloud -Umgebung im Zusammenhang mit KI-Anwendungen identifiziert.
| Ergebnis | Zusammenfassung |
|---|---|
|
Beschreibung des Ergebnisses: In der Gemini Enterprise Agent Platform wurde ein Foundation Model erkannt, das durch Model Armor geschützt ist. Preisstufe: Premium |
|
Beschreibung des Ergebnisses: Ein in der Gemini Enterprise Agent Platform erkanntes Gemini-Foundation-Model wird nicht durch Model Armor geschützt. Preisstufe: Premium Konfigurieren Sie Model Armor für das erkannte Modell, um dieses Problem zu beheben. Weitere Informationen finden Sie unter Vorlagen erstellen und verwalten. |
|
Beschreibung des Ergebnisses: In der Gemini Enterprise Agent Platform wurde ein abgestimmtes Foundation Model erkannt, das durch Model Armor geschützt ist. Preisstufe: Premium |
|
Ergebnisbeschreibung: Ein in der Gemini Enterprise Agent Platform erkanntes abgestimmtes Modell ist nicht durch Model Armor geschützt. Preisstufe: Premium Konfigurieren Sie Model Armor für das erkannte Modell, um dieses Problem zu beheben. Weitere Informationen finden Sie unter Vorlagen erstellen und verwalten. |
Ergebnisse in der Google Cloud Console prüfen
-
Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
- Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
- Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option AI Discovery Service aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
- Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und – falls verfügbar – der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
- Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.
Web Security Scanner-Ergebnisse
Bei benutzerdefinierten und verwalteten Scans mit Web Security Scanner werden die folgenden Ergebnistypen identifiziert.
Benutzerdefinierte und verwaltete Web Security Scanner-Scans identifizieren die folgenden Ergebnistypen. In der Standard-Legacy-Stufe unterstützt Web Security Scanner benutzerdefinierte Scans von bereitgestellten Anwendungen mit öffentlichen URLs und IP-Adressen, die sich nicht hinter einer Firewall befinden.
| Kategorie | Ergebnisbeschreibung | Ergebniskategorie | OWASP 2017 Top 10 | OWASP 2021 Top 10 |
|---|---|---|---|---|
|
Ein Git-Repository ist öffentlich zugänglich. Um dieses Ergebnis zu korrigieren, entfernen Sie den unbeabsichtigten öffentlichen Zugriff auf das Git-Repository. Preisstufe: Premium oder Standard |
Sicherheitslücke | A5 | A01 |
|
Ein SVN-Repository ist öffentlich zugänglich. Um dieses Ergebnis zu korrigieren, entfernen Sie den unbeabsichtigten öffentlichen Zugriff auf das SVN-Repository. Preisstufe: Premium oder Standard |
Sicherheitslücke | A5 | A01 |
|
Eine ENV-Datei ist öffentlich zugänglich. Um dieses Ergebnis zu korrigieren, entfernen Sie den unbeabsichtigten öffentlichen Zugriff auf die ENV-Datei. Preisstufe: Premium oder Standard |
Sicherheitslücke | A5 | A01 |
|
In der Webanwendung eingegebene Passwörter können in einem normalen Browser-Cache statt in einem sicheren Passwortspeicher gespeichert werden. Preisstufe: Premium |
Sicherheitslücke | A3 | A04 |
|
Passwörter werden in Klartext übertragen und können abgefangen werden. Um dieses Ergebnis zu korrigieren, verschlüsseln Sie das über das Netzwerk übertragene Passwort. Preisstufe: Premium oder Standard |
Sicherheitslücke | A3 | A02 |
|
Ein Cross-Site-HTTP- oder -HTTPS-Endpunkt validiert nur ein Suffix des Anfrageheaders Preisstufe: Premium |
Sicherheitslücke | A5 | A01 |
|
Ein Cross-Site-HTTP- oder -HTTPS-Endpunkt validiert nur ein Präfix des Anfrageheaders Preisstufe: Premium |
Sicherheitslücke | A5 | A01 |
|
Die geladene Ressource stimmt nicht mit dem Content-Type HTTP-Header der Antwort überein. Um dieses Ergebnis zu korrigieren, legen Sie für den HTTP-Header Preisstufe: Premium oder Standard |
Sicherheitslücke | A6 | A05 |
|
Ein Sicherheitsheader hat einen Syntaxfehler und wird von Browsern ignoriert. Legen Sie die HTTP-Sicherheitsheader richtig fest, um das Problem zu beheben. Preisstufe: Premium oder Standard |
Sicherheitslücke | A6 | A05 |
|
Ein Sicherheitsheader hat doppelte, nicht übereinstimmende Werte, was zu nicht definiertem Verhalten führt. Legen Sie die HTTP-Sicherheitsheader richtig fest, um das Problem zu beheben. Preisstufe: Premium oder Standard |
Sicherheitslücke | A6 | A05 |
|
Ein Sicherheitsheader wurde falsch geschrieben und wird ignoriert. Legen Sie die HTTP-Sicherheitsheader richtig fest, um das Problem zu beheben. Preisstufe: Premium oder Standard |
Sicherheitslücke | A6 | A05 |
|
Ressourcen werden über HTTP auf einer HTTPS-Seite bereitgestellt. Achten Sie zur Behebung dieses Problems darauf, dass alle Ressourcen über HTTPS bereitgestellt werden. Preisstufe: Premium oder Standard |
Sicherheitslücke | A6 | A05 |
|
Es wurde eine Bibliothek mit bekannten Sicherheitslücken gefunden. Aktualisieren Sie die Bibliotheken auf eine neuere Version, um dieses Problem zu beheben. Preisstufe: Premium oder Standard |
Sicherheitslücke | A9 | A06 |
|
Es wurde eine serverseitige Fälschungsanfrage (SSRF) erkannt. Verwenden Sie eine Zulassungsliste, um die Domains und IP-Adressen zu beschränken, an die die Webanwendung Anfragen senden kann, und so das Problem zu beheben. Preisstufe: Premium oder Standard |
Sicherheitslücke | Nicht zutreffend | A10 |
|
Bei einer domainübergreifenden Anfrage enthält die Webanwendung die Sitzungs-ID des Nutzers im Anfrageheader Preisstufe: Premium |
Sicherheitslücke | A2 | A07 |
|
Eine potenzielle SQL-Injection-Sicherheitslücke wurde erkannt. Verwenden Sie parametrisierte Abfragen, um zu verhindern, dass Nutzereingaben die Struktur der SQL-Abfrage beeinflussen, um dieses Ergebnis anzusprechen. Preisstufe: Premium |
Sicherheitslücke | A1 | A03 |
|
Die Verwendung einer anfälligen Version von Apache Struts wurde erkannt. Aktualisieren Sie Apache Struts auf die aktuelle Version, um dieses Problem zu beheben. Preisstufe: Premium |
Sicherheitslücke | A8 | A08 |
|
Ein Feld in dieser Webanwendung ist anfällig für einen Cross-Site-Scripting-Angriff (XSS). Validieren und maskieren Sie nicht vertrauenswürdige vom Nutzer bereitgestellte Daten, um das Problem zu beheben. Preisstufe: Premium oder Standard |
Sicherheitslücke | A7 | A03 |
|
Ein vom Nutzer bereitgestellter String ist nicht maskiert und AngularJS kann ihn interpolieren. Validieren und maskieren Sie nicht vertrauenswürdige vom Nutzer bereitgestellte Daten, die vom Angular-Framework verarbeitet werden, um das Problem zu beheben. Preisstufe: Premium oder Standard |
Sicherheitslücke | A7 | A03 |
|
Ein Feld in dieser Webanwendung ist anfällig für einen Cross-Site-Scripting-Angriff. Validieren und maskieren Sie nicht vertrauenswürdige vom Nutzer bereitgestellte Daten, um das Problem zu beheben. Preisstufe: Premium oder Standard |
Sicherheitslücke | A7 | A03 |
|
Eine XXE-Sicherheitslücke (XML External Entity) wurde erkannt. Diese Sicherheitslücke kann dazu führen, dass die Webanwendung eine Datei auf dem Host offenlegt. Konfigurieren Sie Ihre XML-Parser so, dass externe Entitäten nicht zugelassen werden, um dieses Problem zu beheben. Preisstufe: Premium |
Sicherheitslücke | A4 | A05 |
|
Die Anwendung ist anfällig für Prototype Pollution. Diese Sicherheitslücke tritt auf, wenn den Attributen des Preisstufe: Premium oder Standard |
Sicherheitslücke | A1 | A03 |
|
Es wurde ein falsch konfigurierter HSTS-Header (HTTP Strict Transport Security) erkannt. Um das Risiko von Downgrades und Abhörangriffen bei HTTP-Verbindungen erheblich zu reduzieren, sollten Sie den falsch konfigurierten HSTS-Header korrigieren. HSTS-Header erzwingen Verbindungen über verschlüsselte Kanäle (TLS), sodass Klartext-HTTP-Verbindungen fehlschlagen. Weitere Informationen zu HSTS-Headern
Preisstufe: Premium |
Fehlerhafte Konfiguration | Nicht zutreffend | Nicht zutreffend |
|
Es wurde ein fehlender HTTP-Antwortheader für die Content Security Policy (CSP) erkannt. CSP-Header verringern die Ausnutzung gängiger Websicherheitslücken, insbesondere Cross-Site-Scripting (XSS), indem sie das Laden nicht vertrauenswürdiger Skripts oder Plug-ins verhindern. Ein strikter CSP-Header wird empfohlen. Weitere Informationen zu CSP-Headern
Preisstufe: Premium |
Fehlerhafte Konfiguration | Nicht zutreffend | Nicht zutreffend |
|
Es wurde ein falsch konfigurierter HTTP-Antwortheader für die Content Security Policy (CSP) erkannt. CSP-Header verringern die Ausnutzung gängiger Websicherheitslücken, insbesondere Cross-Site-Scripting (XSS), indem sie das Laden nicht vertrauenswürdiger Skripts oder Plug-ins verhindern. Ein strikter CSP-Header wird empfohlen. Weitere Informationen zu CSP-Headern
Preisstufe: Premium |
Fehlerhafte Konfiguration | Nicht zutreffend | Nicht zutreffend |
|
Es wurde ein fehlender COOP-HTTP-Header (Cross-Origin-Opener-Policy) erkannt. COOP ist ein Websicherheitsmechanismus, der verhindert, dass eine in einem neuen Fenster geöffnete Seite auf die Eigenschaften der ursprünglichen Seite zugreift. COOP bietet einen starken Schutz vor gängigen Webangriffen.
Preisstufe: Premium |
Fehlerhafte Konfiguration | Nicht zutreffend | Nicht zutreffend |
|
Es wurde ein fehlender Antwortheader erkannt. Implementieren Sie einen HTTP-Antwortheader wie
Preisstufe: Premium |
Fehlerhafte Konfiguration | Nicht zutreffend | Nicht zutreffend |
Notebook Security Scanner-Ergebnisse
Notebook Security Scanner erkennt Sicherheitslücken im Zusammenhang mit den Python-Paketen, die in Ihren Colab Enterprise-Notebooks verwendet werden, und veröffentlicht sie in der Kategorie Paketsicherheitslücke.
Ein Ergebnis zu einer Paketsicherheitslücke enthält Details zur Version eines Pakets mit bekannten Sicherheitslücken. Eine bestimmte Version eines Python-Pakets kann mehrere Paket-Sicherheitslücken aufweisen, die jeweils einer anderen bekannten Sicherheitslücke entsprechen.
Wenn Sie ein Ergebnis zu einer Paket-Sicherheitslücke beheben möchten, müssen Sie eine andere Version des Pakets verwenden, wie im Abschnitt Nächste Schritte des Ergebnisses empfohlen.
Weitere Informationen finden Sie unter Notebook Security Scanner aktivieren und verwenden.
IAM Recommender-Ergebnisse
In der folgenden Tabelle sind die Security Command Center-Ergebnisse aufgeführt, die vom IAM-Recommender generiert werden.
Jedes IAM-Recommender-Ergebnis enthält spezifische Empfehlungen zum Entfernen oder Ersetzen einer Rolle, die übermäßige Berechtigungen für ein Hauptkonto in IhrerGoogle Cloud -Umgebung enthält.
Die vom IAM-Recommender generierten Ergebnisse entsprechen den Empfehlungen, die in der Google Cloud Console auf der IAM-Seite des betroffenen Projekts, Ordners oder der betroffenen Organisation angezeigt werden.
Weitere Informationen zur Einbindung des IAM-Recommenders in das Security Command Center finden Sie unter Sicherheitsquellen.
| Detektor | Zusammenfassung |
|---|---|
|
Ergebnisbeschreibung: Der IAM-Recommender hat ein Dienstkonto mit einer oder mehreren IAM-Rollen erkannt, die dem Nutzerkonto nicht erforderliche Berechtigungen gewähren. Preisstufe: Premium Unterstützte Assets:
Dieses Ergebnis korrigieren : Verwenden Sie den IAM-Recommender, um die empfohlene Lösung für dieses Ergebnis anzuwenden. Gehen Sie dazu so vor:
Nachdem das Problem behoben wurde, aktualisiert der IAM-Recommender den Status des Ergebnisses innerhalb von 10 Tagen auf |
|
Ergebnisbeschreibung: Der IAM-Recommender hat erkannt, dass die ursprüngliche IAM-Standardrolle, die einem Dienst-Agent gewährt wurde, durch eine der einfachen IAM-Rollen ersetzt wurde: Inhaber, Bearbeiter oder Betrachter. Einfache Rollen sind Legacy-Rollen mit übermäßigen Berechtigungen und sollten Dienst-Agents nicht zugewiesen werden. Preisstufe: Premium Unterstützte Assets:
Dieses Ergebnis korrigieren : Verwenden Sie den IAM-Recommender, um die empfohlene Lösung für dieses Ergebnis anzuwenden. Gehen Sie dazu so vor:
Nachdem das Problem behoben wurde, aktualisiert der IAM-Recommender den Status des Ergebnisses innerhalb von 10 Tagen auf |
|
Ergebnisbeschreibung: Der IAM-Recommender hat erkannt, dass einem Dienst-Agent eine der einfachen IAM-Rollen Inhaber, Bearbeiter oder Betrachter zugewiesen wurde. Einfache Rollen sind Legacy-Rollen mit übermäßigen Berechtigungen und sollten Dienst-Agents nicht zugewiesen werden. Preisstufe: Premium Unterstützte Assets:
Dieses Ergebnis korrigieren : Verwenden Sie den IAM-Recommender, um die empfohlene Lösung für dieses Ergebnis anzuwenden. Gehen Sie dazu so vor:
Nachdem das Problem behoben wurde, aktualisiert der IAM-Recommender den Status des Ergebnisses innerhalb von 10 Tagen auf |
|
Ergebnisbeschreibung: Der IAM-Recommender hat ein Nutzerkonto mit einer IAM-Rolle erkannt, die in den letzten 90 Tagen nicht verwendet wurde. Preisstufe: Premium Unterstützte Assets:
Dieses Ergebnis korrigieren : Verwenden Sie den IAM-Recommender, um die empfohlene Lösung für dieses Ergebnis anzuwenden. Gehen Sie dazu so vor:
Nachdem das Problem behoben wurde, aktualisiert der IAM-Recommender den Status des Ergebnisses innerhalb von 10 Tagen auf |
CIEM-Ergebnisse
In der folgenden Tabelle sind die Security Command Center-Identitäts- und Zugriffs-Ergebnisse für AWS und Microsoft Azure aufgeführt, die von Cloud Infrastructure Entitlement Management (CIEM) generiert werden. Informationen zu den von Cloud Infrastructure Entitlement Management (CIEM) für Google Cloudgenerierten Ergebnissen finden Sie unter IAM-Recommender-Ergebnisse.
CIEM-Ergebnisse enthalten spezifische Empfehlungen zum Entfernen oder Ersetzen von IAM-Richtlinien (Identity and Access Management) mit weitreichenden Berechtigungen, die mit angenommenen Identitäten, Nutzern oder Gruppen in Ihren AWS- und Microsoft Azure-Umgebungen verknüpft sind.
Weitere Informationen zu CIEM finden Sie unter Übersicht über Cloud Infrastructure Entitlement Management.
| Detektor | Zusammenfassung |
|---|---|
|
Beschreibung des Ergebnisses: In Ihrer AWS- oder Microsoft Azure-Umgebung hat CIEM eine angenommene IAM-Rolle mit einer sehr weitreichenden Richtlinie erkannt, die gegen das Prinzip der geringsten Berechtigung verstößt und die Sicherheitsrisiken erhöht. Dieses Ergebnis basiert auf den neuesten Nutzungslogs der letzten 83 bis 90 Tage. Preisstufe: Enterprise Dieses Ergebnis korrigieren : Verwenden Sie je nach Ergebnis die AWS- oder Microsoft Azure-Tools, um eine der folgenden Abhilfemaßnahmen auszuführen:
In den Details des Ergebnisses finden Sie spezifische Schritte zur Problembehebung. |
|
Beschreibung des Ergebnisses: In Ihrer AWS- oder Microsoft Azure-Umgebung hat CIEM eine Gruppe mit einer oder mehreren Richtlinien mit weitreichenden Berechtigungen erkannt, die gegen das Prinzip der geringsten Berechtigung verstoßen und die Sicherheitsrisiken erhöhen. Dieses Ergebnis basiert auf den neuesten Nutzungslogs der letzten 83 bis 90 Tage. Preisstufe: Enterprise Dieses Ergebnis korrigieren : Verwenden Sie je nach Ergebnis die AWS- oder Microsoft Azure-Tools, um eine der folgenden Abhilfemaßnahmen auszuführen:
In den Details des Ergebnisses finden Sie spezifische Schritte zur Problembehebung. |
|
Ergebnisbeschreibung: In Ihrer AWS- oder Microsoft Azure-Umgebung hat CIEM einen Nutzer mit einer oder mehreren Richtlinien mit weitreichenden Berechtigungen erkannt, die gegen das Prinzip der geringsten Berechtigung verstoßen und die Sicherheitsrisiken erhöhen. Dieses Ergebnis basiert auf den neuesten Nutzungslogs der letzten 83 bis 90 Tage. Preisstufe: Enterprise Dieses Ergebnis korrigieren : Verwenden Sie je nach Ergebnis die AWS- oder Microsoft Azure-Tools, um eine der folgenden Abhilfemaßnahmen auszuführen:
In den Details des Ergebnisses finden Sie spezifische Schritte zur Problembehebung. |
|
Ergebnisbeschreibung: In Ihrer AWS- oder Microsoft Azure-Umgebung hat CIEM einen inaktiven Nutzer mit einer oder mehreren Berechtigungen erkannt. Dies verstößt gegen das Prinzip der geringsten Berechtigung und erhöht die Sicherheitsrisiken. Dieses Ergebnis basiert auf den neuesten Nutzungslogs der letzten 83 bis 90 Tage. Preisstufe: Enterprise Dieses Ergebnis korrigieren : Führen Sie je nach Ergebnis eine der folgenden Abhilfemaßnahmen aus:
In den Details des Ergebnisses finden Sie spezifische Schritte zur Problembehebung. |
|
Ergebnisbeschreibung: In Ihrer AWS- oder Microsoft Azure-Umgebung hat CIEM eine inaktive Gruppe mit einer oder mehreren Berechtigungen erkannt. Dies verstößt gegen das Prinzip der geringsten Berechtigung und erhöht die Sicherheitsrisiken. Dieses Ergebnis basiert auf den neuesten Nutzungslogs der letzten 83 bis 90 Tage. Preisstufe: Enterprise Dieses Ergebnis korrigieren : Führen Sie je nach Ergebnis eine der folgenden Abhilfemaßnahmen aus:
In den Details des Ergebnisses finden Sie spezifische Schritte zur Problembehebung. |
|
Beschreibung des Ergebnisses: In Ihrer AWS- oder Microsoft Azure-Umgebung hat CIEM eine angenommene IAM-Rolle erkannt, die inaktiv ist und eine oder mehrere Berechtigungen hat. Dies verstößt gegen das Prinzip der geringsten Berechtigung und erhöht die Sicherheitsrisiken. Dieses Ergebnis basiert auf den neuesten Nutzungslogs der letzten 83 bis 90 Tage. Preisstufe: Enterprise Dieses Ergebnis korrigieren : Führen Sie je nach Ergebnis eine der folgenden Abhilfemaßnahmen aus:
In den Details des Ergebnisses finden Sie spezifische Schritte zur Problembehebung. |
|
Beschreibung des Ergebnisses: In Ihrer AWS- oder Microsoft Azure-Umgebung hat CIEM eine zu freizügige Trust-Richtlinie erkannt, die für eine IAM-Rolle erzwungen wird. Dies verstößt gegen das Prinzip der geringsten Berechtigung und erhöht die Sicherheitsrisiken. Dieses Ergebnis basiert auf den neuesten Nutzungslogs der letzten 83 bis 90 Tage. Preisstufe: Enterprise Dieses Ergebnis korrigieren : Verwenden Sie die AWS- oder Microsoft Azure-Tools, um die Berechtigungen in der für die Rolle erzwungenen Trust-Richtlinie zu bearbeiten, damit das Prinzip der geringsten Berechtigung eingehalten wird. In den Details des Ergebnisses finden Sie spezifische Schritte zur Problembehebung. |
|
Beschreibung des Ergebnisses: In Ihrer AWS- oder Microsoft Azure-Umgebung hat CIEM eine oder mehrere Identitäten erkannt, die sich durch Identitätsübernahme lateral bewegen können. Dieses Ergebnis basiert auf den neuesten Nutzungslogs der letzten 83 bis 90 Tage. Preisstufe: Enterprise Dieses Ergebnis korrigieren : Verwenden Sie die AWS- oder Microsoft Azure-Tools, um die Richtlinie oder Richtlinien zu entfernen, die an die Identität oder Identitäten angehängt sind, die eine laterale Bewegung ermöglichen. In den Details des Ergebnisses finden Sie spezifische Schritte zur Problembehebung. |
Ergebnisse zur Verwaltung des Datensicherheitsstatus
Die Cloud-Kontrollen für den Datensicherheitsstatus sind die Ergebnisse, die die Datensicherheitsstatus-Verwaltung (Data Security Posture Management, DSPM) generiert, wenn gegen Regeln für Cloud-Kontrollen verstoßen wird. Informationen zu den Cloud-Kontrollen finden Sie unter Cloud-Kontrollen für die Datensicherheit.
Ergebnisse zur externen Gefährdung
External Exposure erstellt Ergebnisse der Klasse EXTERNAL_EXPOSURE, die externe IP-Adressen und exponierte Dienste identifizieren, die über das öffentliche Internet erreichbar sind.
Weitere Informationen zu diesen Ergebnissen finden Sie unter Offengelegte Ressourcen erkennen.
Diese Ergebnisse werden unter den folgenden detaillierten Risiko- und Expositionskategorien generiert:
EXTERNALLY_EXPOSED_UI: Identifiziert öffentlich zugängliche Verwaltungsbereiche, Dashboards oder Verwaltungskonsolen (z. B. Jupyter Notebooks oder Kubernetes-Dashboards).EXTERNALLY_EXPOSED_API: Identifiziert exponierte, nicht authentifizierte Endpunkt-APIs.EXTERNALLY_EXPOSED_WEAK_CREDENTIALS: Identifiziert freigegebene Ports oder Dienste, auf die mit Standardanmeldedaten oder leicht zu erratenden schwachen Anmeldedaten zugegriffen werden kann.EXTERNALLY_EXPOSED_RCE_VULNERABILITY: Identifiziert exponierte Endpunkte mit aktiv validierten Sicherheitslücken bei der Remote-Codeausführung (RCE).EXTERNALLY_EXPOSED_ARBITRARY_DATA_READ: Identifiziert Sicherheitslücken, die es einem Angreifer ermöglichen, beliebige Dateien oder Daten aus dem System zu lesen.EXTERNALLY_EXPOSED_VM_INSTANCE: Identifiziert Compute Engine- oder Google Kubernetes Engine-Ressourcen (GKE) mit einer direkten öffentlichen IP-Adresse, die den Zugriff auf das Host-Betriebssystem ermöglicht.EXTERNALLY_EXPOSED_SERVERLESS_WORKLOAD: Identifiziert exponierte Cloud Run-Arbeitslasten.EXTERNALLY_EXPOSED_DATABASE: Identifiziert direkt zugängliche Datenbankinstanzen (z. B. Cloud SQL oder AlloyDB for PostgreSQL).EXTERNALLY_EXPOSED_SERVICE_VIA_LOAD_BALANCER: Identifiziert Backend-Arbeitslasten, die von externen Load Balancern, nginx-ingress oder Istio-Gateways bereitgestellt werden.EXTERNALLY_EXPOSED_STORAGE_VIA_LOAD_BALANCER: Identifiziert Cloud Storage-Backend-Buckets, die direkt hinter Cloud Load Balancing bereitgestellt werden und die normale IAM-Autorisierung (Identity and Access Management) umgehen.
Ergebnisse des Sicherheitsstatus-Dienstes
In diesem Abschnitt werden die Security Command Center-Ergebnisse aufgeführt, die vom Sicherheitsstatusdienst generiert werden.
Der Sicherheitsstatus-Dienst generiert die folgenden Kategorien von Ergebnissen:
- Abweichung von einem bereitgestellten Sicherheitsstatus
- Ressource, die gegen einen bereitgestellten Sicherheitsstatus verstößt
Abweichung von einem bereitgestellten Sicherheitsstatus
In der folgenden Tabelle sind die Ergebnisse zum Sicherheitsstatus aufgeführt, die eine Abweichung von Ihrem definierten Sicherheitsstatus identifizieren.
| Ergebnis | Zusammenfassung |
|---|---|
|
Ergebnisbeschreibung: Der Sicherheitsstatusdienst hat eine Änderung an einem Security Health Analytics-Detektor erkannt, die außerhalb eines Statusupdates aufgetreten ist. Preisstufe: Premium
Dieses Ergebnis korrigieren : Bei diesem Ergebnis müssen Sie die Änderung akzeptieren oder rückgängig machen, damit die Detektoreinstellungen in Ihrem Status und Ihrer Umgebung übereinstimmen. Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können den Security Health Analytics-Detektor aktualisieren oder den Status und die Statusbereitstellung aktualisieren. Wenn Sie die Änderung rückgängig machen möchten, aktualisieren Sie den Security Health Analytics-Detektor in der Google Cloud Console. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren. So akzeptieren Sie die Änderung:
|
|
Ergebnisbeschreibung: Der Sicherheitsstatusdienst hat eine Änderung an einem benutzerdefinierten Security Health Analytics-Modul erkannt, die außerhalb eines Statusupdates aufgetreten ist. Preisstufe: Premium Dieses Ergebnis korrigieren : Bei diesem Ergebnis müssen Sie die Änderung akzeptieren oder rückgängig machen, damit die Einstellungen des benutzerdefinierten Moduls in Ihrem Status und Ihrer Umgebung übereinstimmen. Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können das benutzerdefinierte Security Health Analytics-Modul aktualisieren oder die Sicherheitsstatus und die Sicherheitsstatus-Bereitstellung aktualisieren. Wenn Sie die Änderung rückgängig machen möchten, aktualisieren Sie das benutzerdefinierte Security Health Analytics-Modul in der Google Cloud Console. Eine Anleitung finden Sie unter Benutzerdefiniertes Modul aktualisieren. So akzeptieren Sie die Änderung:
|
|
Ergebnisbeschreibung: Der Sicherheitsstatusdienst hat erkannt, dass ein benutzerdefiniertes Security Health Analytics-Modul gelöscht wurde. Dieser Löschvorgang erfolgte außerhalb eines Statusupdates. Preisstufe: Premium Dieses Ergebnis korrigieren : Bei diesem Ergebnis müssen Sie die Änderung akzeptieren oder rückgängig machen, damit die Einstellungen des benutzerdefinierten Moduls in Ihrem Status und Ihrer Umgebung übereinstimmen. Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können das benutzerdefinierte Security Health Analytics-Modul aktualisieren oder die Sicherheitsstatus und die Sicherheitsstatus-Bereitstellung aktualisieren. Wenn Sie die Änderung rückgängig machen möchten, aktualisieren Sie das benutzerdefinierte Security Health Analytics-Modul in der Google Cloud Console. Eine Anleitung finden Sie unter Benutzerdefiniertes Modul aktualisieren. So akzeptieren Sie die Änderung:
|
|
Ergebnisbeschreibung: Der Sicherheitsstatus-Dienst hat eine Änderung an einer Organisationsrichtlinie erkannt, die außerhalb eines Statusupdates aufgetreten ist. Preisstufe: Premium Dieses Ergebnis korrigieren : Bei diesem Ergebnis müssen Sie die Änderung akzeptieren oder rückgängig machen, damit die Definitionen der Organisationsrichtlinien in Ihrem Status und Ihrer Umgebung übereinstimmen. Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die Organisationsrichtlinie aktualisieren oder die Sicherheitsstatus und die Sicherheitsstatus-Bereitstellung aktualisieren. Wenn Sie die Änderung rückgängig machen möchten, aktualisieren Sie die Organisationsrichtlinie in der Google Cloud Console. Eine Anleitung finden Sie unter Richtlinien erstellen und bearbeiten. So akzeptieren Sie die Änderung:
|
|
Ergebnisbeschreibung: Der Dienst für den Sicherheitsstatus hat erkannt, dass eine Organisationsrichtlinie gelöscht wurde. Dieser Löschvorgang fand außerhalb einer Statusaktualisierung statt. Preisstufe: Premium Dieses Ergebnis korrigieren : Bei diesem Ergebnis müssen Sie die Änderung akzeptieren oder rückgängig machen, damit die Definitionen der Organisationsrichtlinien in Ihrem Status und Ihrer Umgebung übereinstimmen. Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die Organisationsrichtlinie aktualisieren oder die Sicherheitsstatus und die Sicherheitsstatus-Bereitstellung aktualisieren. Wenn Sie die Änderung rückgängig machen möchten, aktualisieren Sie die Organisationsrichtlinie in der Google Cloud Console. Eine Anleitung finden Sie unter Richtlinien erstellen und bearbeiten. So akzeptieren Sie die Änderung:
|
|
Ergebnisbeschreibung: Der Dienst für den Sicherheitsstatus hat eine Änderung an einer benutzerdefinierten Organisationsrichtlinie erkannt, die außerhalb eines Statusupdates vorgenommen wurde. Preisstufe: Premium Dieses Ergebnis korrigieren : Bei diesem Ergebnis müssen Sie die Änderung akzeptieren oder rückgängig machen, damit die benutzerdefinierten Definitionen der Organisationsrichtlinie in Ihrem Status und Ihrer Umgebung übereinstimmen. Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die benutzerdefinierte Organisationsrichtlinie aktualisieren oder die Status- und Statusbereitstellung aktualisieren. Wenn Sie die Änderung rückgängig machen möchten, aktualisieren Sie die benutzerdefinierte Organisationsrichtlinie in der Google Cloud Console. Eine Anleitung hierzu finden Sie unter Benutzerdefinierte Einschränkung aktualisieren. So akzeptieren Sie die Änderung:
|
|
Ergebnisbeschreibung: Der Sicherheitsstatus-Dienst hat erkannt, dass eine benutzerdefinierte Organisationsrichtlinie gelöscht wurde. Dieser Löschvorgang fand außerhalb einer Statusaktualisierung statt. Preisstufe: Premium Dieses Ergebnis korrigieren : Bei diesem Ergebnis müssen Sie die Änderung akzeptieren oder rückgängig machen, damit die benutzerdefinierten Definitionen der Organisationsrichtlinie in Ihrem Status und Ihrer Umgebung übereinstimmen. Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die benutzerdefinierte Organisationsrichtlinie aktualisieren oder die Status- und Statusbereitstellung aktualisieren. Wenn Sie die Änderung rückgängig machen möchten, aktualisieren Sie die benutzerdefinierte Organisationsrichtlinie in der Google Cloud Console. Eine Anleitung hierzu finden Sie unter Benutzerdefinierte Einschränkung aktualisieren. So akzeptieren Sie die Änderung:
|
Ressource, die gegen einen bereitgestellten Sicherheitsstatus verstößt
Der Sicherheitsstatus-Dienst und Security Health Analytics generieren die folgenden Ergebnisse, die Instanzen von Ressourcen identifizieren, die gegen den von Ihnen definierten Sicherheitsstatus verstoßen.
| Ergebnis | Zusammenfassung |
|---|---|
|
Ergebnisbeschreibung: Der Sicherheitsstatus-Dienst hat erkannt, dass für ein Subnetzwerk eine externe IPv6-Adresse aktiviert ist. Preisstufe: Premium Dieses Ergebnis korrigieren : Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die Ressource löschen, die gegen die Richtlinie verstößt, oder Sie können die Sicherheitsstatus aktualisieren und neu bereitstellen. Führen Sie die folgenden Schritte aus, um die Ressource zu löschen:
Wenn Sie die Ressource in derselben Konfiguration beibehalten möchten, müssen Sie den Status aktualisieren. So aktualisieren Sie den Status:
|
|
Ergebnisbeschreibung: Der Sicherheitsstatus-Dienst hat erkannt, dass für ein Subnetzwerk eine interne IPv6-Adresse aktiviert ist. Preisstufe: Premium Dieses Ergebnis korrigieren : Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die Ressource löschen, die gegen die Richtlinie verstößt, oder Sie können die Sicherheitsstatus aktualisieren und neu bereitstellen. Führen Sie die folgenden Schritte aus, um die Ressource zu löschen:
Wenn Sie die Ressource in derselben Konfiguration beibehalten möchten, müssen Sie den Status aktualisieren. So aktualisieren Sie den Status:
|
|
Ergebnisbeschreibung: Der Dienst für den Sicherheitsstatus hat erkannt, dass OS Login in einer VM-Instanz deaktiviert ist. Preisstufe: Premium Dieses Ergebnis korrigieren : Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die verletzende Ressource aktualisieren oder den Status aktualisieren und neu bereitstellen. So aktualisieren Sie die Ressource:
Wenn Sie die Ressource in derselben Konfiguration beibehalten möchten, müssen Sie den Status aktualisieren. So aktualisieren Sie den Status:
|
|
Ergebnisbeschreibung: Der Dienst für den Sicherheitsstatus hat erkannt, dass einer SQL-Instanz ein autorisiertes Netzwerk hinzugefügt wurde. Preisstufe: Premium Dieses Ergebnis korrigieren : Bei diesem Ergebnis müssen Sie den Verstoß beheben oder den Status aktualisieren. Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die Ressource aktualisieren, die gegen die Richtlinie verstößt, oder die Sicherheitsstatus aktualisieren und neu bereitstellen. So aktualisieren Sie die Ressource:
Wenn Sie die Ressource in derselben Konfiguration beibehalten möchten, müssen Sie den Status aktualisieren. So aktualisieren Sie den Status:
|
|
Ergebnisbeschreibung: Der Sicherheitsstatusdienst hat erkannt, dass für eine Cloud Run Functions-Instanz kein VPC-Connector aktiviert ist. Preisstufe: Premium Dieses Ergebnis korrigieren : Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die verletzende Ressource aktualisieren oder den Status aktualisieren und neu bereitstellen. So aktualisieren Sie die Ressource:
Wenn Sie die Ressource in derselben Konfiguration beibehalten möchten, müssen Sie den Status aktualisieren. So aktualisieren Sie den Status:
|
|
Ergebnisbeschreibung: Der Dienst für den Sicherheitsstatus hat erkannt, dass der Zugriff auf den seriellen Port einer VM-Instanz aktiviert ist. Preisstufe: Premium Dieses Ergebnis korrigieren : Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die verletzende Ressource aktualisieren oder den Status aktualisieren und neu bereitstellen. So aktualisieren Sie die Ressource:
Wenn Sie die Ressource in derselben Konfiguration beibehalten möchten, müssen Sie den Status aktualisieren. So aktualisieren Sie den Status:
|
|
Ergebnisbeschreibung: Der Sicherheitsstatusdienst hat erkannt, dass ein Standardnetzwerk erstellt wurde. Preisstufe: Premium Dieses Ergebnis korrigieren : Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die Ressource löschen, die gegen die Richtlinie verstößt, oder Sie können die Sicherheitsstatus aktualisieren und neu bereitstellen. Führen Sie die folgenden Schritte aus, um die Ressource zu löschen:
Wenn Sie die Ressource in derselben Konfiguration beibehalten möchten, müssen Sie den Status aktualisieren. So aktualisieren Sie den Status:
|
|
Ergebnisbeschreibung: Der Dienst für den Sicherheitsstatus hat erkannt, dass ein Cloud Run-Dienst nicht den angegebenen Einstellungen für eingehenden Traffic entspricht. Preisstufe: Premium Dieses Ergebnis korrigieren : Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die verletzende Ressource aktualisieren oder den Status aktualisieren und neu bereitstellen. So aktualisieren Sie die Ressource:
Wenn Sie die Ressource in derselben Konfiguration beibehalten möchten, müssen Sie den Status aktualisieren. So aktualisieren Sie den Status:
|
|
Ergebnisbeschreibung: Der Sicherheitsstatus-Dienst hat festgestellt, dass der Zugriff auf Bucket-Ebene detailliert und nicht einheitlich ist. Preisstufe: Premium Dieses Ergebnis korrigieren : Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die verletzende Ressource aktualisieren oder den Status aktualisieren und neu bereitstellen. So aktualisieren Sie die Ressource:
Wenn Sie die Ressource in derselben Konfiguration beibehalten möchten, müssen Sie den Status aktualisieren. So aktualisieren Sie den Status:
|
|
Ergebnisbeschreibung: Der Sicherheitsstatusdienst hat festgestellt, dass ein Cloud Run-Dienst nicht den angegebenen Einstellungen für ausgehenden Traffic entspricht. Preisstufe: Premium Dieses Ergebnis korrigieren : Sie haben zwei Möglichkeiten, dieses Ergebnis zu beheben: Sie können die verletzende Ressource aktualisieren oder den Status aktualisieren und neu bereitstellen. So aktualisieren Sie die Ressource:
Wenn Sie die Ressource in derselben Konfiguration beibehalten möchten, müssen Sie den Status aktualisieren. So aktualisieren Sie den Status:
|
Model Armor-Ergebnisse
Model Armor ist ein vollständig verwalteter Google Cloud-Dienst, der die Sicherheit von KI-Anwendungen verbessert, indem er LLM-Prompts und ‑Antworten auf verschiedene Sicherheitsrisiken prüft.
In der folgenden Tabelle sind die Security Command Center-Ergebnisse aufgeführt, die von Model Armor generiert werden.
| Ergebnis | Zusammenfassung |
|---|---|
|
Ergebnisbeschreibung: Ein Verstoß gegen die Mindesteinstellungen, der auftritt, wenn eine Model Armor-Vorlage die in den Mindesteinstellungen der Ressourcenhierarchie definierten Mindestsicherheitsstandards nicht erfüllt. Ergebnisklasse: Fehlkonfiguration Preisstufe: Premium Dieses Ergebnis erfordert, dass Sie die Model Armor-Vorlage aktualisieren, damit sie den in der Ressourcenhierarchie definierten Mindesteinstellungen entspricht. |
Ergebnisse in der Google Cloud Console prüfen
-
Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
- Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
- Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option Model Armor aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
- Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und – falls verfügbar – der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
- Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.
Model Armor-Ergebnisse beheben
Das Ergebnis FLOOR_SETTINGS_VIOLATION gibt an, dass die Model Armor-Vorlage die Mindestsicherheitsstandards nicht erfüllt, die in den Mindesteinstellungen der Ressourcenhierarchie definiert sind.
So können Sie dieses Ergebnis beheben:
- Rufen Sie in der Google Cloud Console die Seite Model Armor auf.
- Prüfen Sie, ob Sie das Projekt aufrufen, für das Sie Model Armor aktiviert haben. Die Seite „Model Armor“ wird angezeigt. Dort sind die für Ihr Projekt erstellten Vorlagen aufgeführt.
- Klicken Sie auf die Vorlage, die Sie ändern möchten.
- Ändern Sie die Vorlage gemäß den in der Ressourcenhierarchie definierten Mindesteinstellungen.
- Klicken Sie auf Speichern.
VM Manager
VM Manager besteht aus Tools zur Verwaltung von Betriebssystemen für eine große Anzahl von VM-Flotten (virtuelle Maschine), auf denen Windows und Linux in Compute Engine ausgeführt werden.
Wenn Sie VM Manager auf Organisationsebene aktivieren, schreibt VM Manager Ergebnisse aus seinen Berichten zu Sicherheitslücken (Vorschau) in Security Command Center. In den Berichten werden Sicherheitslücken in Betriebssystemen identifiziert, die auf VMs installiert sind, einschließlich Common Vulnerabilities and Exposures (CVEs).
Wenn Sie VM Manager mit Aktivierungen auf Projektebene von Security Command Center Premium verwenden möchten, aktivieren Sie Security Command Center Standard in der übergeordneten Organisation.
Berichte zu Sicherheitslücken sind für Security Command Center Standard nicht verfügbar.
Ergebnisse vereinfachen die Verwendung der Patch-Compliance-Funktion von VM Manager (Vorschau). Mit dieser Funktion können Sie das Patchmanagement auf Organisationsebene für alle Ihre Projekte durchführen.
Der Schweregrad der von VM Manager empfangenen Ergebnisse zu Sicherheitslücken ist immer entweder CRITICAL oder HIGH.
VM Manager-Ergebnisse
Sicherheitslücken dieses Typs beziehen sich alle auf installierte Betriebssystempakete in unterstützten Compute Engine-VMs.
| Detektor | Fazit | Asset-Scaneinstellungen |
|---|---|---|
|
Ergebnisbeschreibung: VM Manager hat eine Sicherheitslücke im installierten Betriebssystempaket für eine Compute Engine-VM erkannt. Preisstufe: Premium Unterstützte Assets |
Die Berichte zu Sicherheitslücken von VM Manager enthalten detaillierte Informationen zu Sicherheitslücken in installierten Betriebssystempaketen für Compute Engine-VMs, einschließlich Common Vulnerabilities and Exposures (CVEs). Eine vollständige Liste der unterstützten Betriebssysteme finden Sie unter Details zu Betriebssystemen. Die Ergebnisse werden kurz nach dem Erkennen der Sicherheitslücken in Security Command Center angezeigt. Berichte zu Sicherheitslücken werden in VM Manager so erstellt:
|
Ergebnisse in der Console prüfen
-
Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
- Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
- Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option VM Manager aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
- Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und – falls verfügbar – der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
- Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.
Korrekturmaßnahmen für VM-Manager-Ergebnisse
Ein OS_VULNERABILITY-Ergebnis gibt an, dass VM Manager eine Sicherheitslücke in den installierten Betriebssystempaketen in einer Compute Engine-VM gefunden hat.
So können Sie dieses Ergebnis beheben:
Öffnen Sie ein
OS vulnerability-Ergebnis und rufen Sie die JSON-Definition auf.Kopieren Sie den Wert des Felds
externalUri. Dieser Wert ist der URI für die Seite Betriebssysteminformationen der Compute Engine-VM-Instanz, auf der das anfällige Betriebssystem installiert ist.Wenden Sie alle entsprechenden Patches für das Betriebssystem an, das im Abschnitt Grundlegende Informationen angezeigt wird. Eine Anleitung zum Bereitstellen von Patches finden Sie unter Patchjobs erstellen.
Weitere Informationen zu den unterstützten Assets und Scaneinstellungen für diesen Ergebnistyp.
VM Manager-Ergebnisse ausblenden
Möglicherweise möchten Sie einige oder alle VM Manager-Ergebnisse im Security Command Center ausblenden, wenn sie für Ihre Sicherheitsanforderungen nicht relevant sind.
Sie können VM Manager-Ergebnisse ausblenden, indem Sie eine Ausblendungsregel erstellen und Abfrageattribute hinzufügen, die für die VM Manager-Ergebnisse spezifisch sind, die Sie ausblenden möchten.
Informationen zum Erstellen einer Ausblendungsregel finden Sie unter Ausblendungsregel erstellen.
Wenn Sie beispielsweise bestimmte CVE-IDs in den VM Manager-Sicherheitslücken-Ergebnissen ausblenden möchten, wählen Sie Sicherheitslücke > CVE-ID und dann die CVE-IDs aus, die Sie ausblenden möchten.
Das Feld Ergebnisabfrage für Ihre Ausblendungsregel sieht in etwa so aus:
parent_display_name="VM Manager"
AND vulnerability.cve.id="CVE-2025-26923" OR vulnerability.cve.id="CVE-2025-27635"
Ergebnisse der Sicherheitslückenbewertung für die Agent Platform
Erkennung von Sicherheitslücken
Die Agent Platform-Sicherheitslückenbewertung identifiziert Software-Sicherheitslücken (CVEs) in agentischen Arbeitslasten, die mit der Gemini Enterprise Agent Platform bereitgestellt werden.
Ergebnisse haben die Klasse VULNERABILITY und den Schweregrad HIGH oder CRITICAL.
Um ein Ergebnis zu beheben, aktualisieren Sie die Anforderungen Ihres Agents oder die Definition des benutzerdefinierten Containers, um eine sichere Version des Pakets zu verwenden, wie im Feld Korrigiertes Paket angegeben.
Secret-Erkennung
Die Agent Platform Vulnerability Assessment bietet kontinuierliche, automatisierte Scans auf Klartext-Secrets in von Kunden bereitgestellten Agent Platform-Images und generiert Ergebnisse im Security Command Center.
Für jedes Ergebnis werden der Agent Platform-URI, das Image-Repository, der Secret-Typ und der Pfad angegeben.
Ergebnisse haben die Klasse SECRET und den Schweregrad CRITICAL.
Referenz zu Ergebnissen
| Detektor | Zusammenfassung |
|---|---|
|
Ergebnisbeschreibung: In einer agentischen Arbeitslast, die mit der Agent Platform bereitgestellt wurde, wurde eine Softwaresicherheitslücke (CVE) erkannt. Dieser Scanner bewertet automatisch benutzerdefinierten Code und Abhängigkeiten innerhalb der operativen Instanz. Preisstufe: Premium oder Enterprise Dieses Ergebnis korrigieren : Sehen Sie sich die Details des Ergebnisses an, um das betroffene Paket und die betroffene Version zu identifizieren. Um das Problem zu beheben, aktualisieren Sie die Anforderungen Ihres KI-Agenten oder die benutzerdefinierte Containerdefinition, um eine sichere Version des Pakets zu verwenden, und stellen Sie die Agent Platform-Instanz dann noch einmal bereit. |
|
Ergebnisbeschreibung: In der Bildebene unter dem Pfad Preisstufe: Premium oder Enterprise Dieses Ergebnis korrigieren :
|
Weitere Informationen finden Sie unter KI-Schutz konfigurieren.
Ergebnisse der Artifact Registry-Sicherheitslückenbewertung
In der folgenden Tabelle sind Ergebnisse aufgeführt, die Sie auf potenzielle Sicherheitslücken in Ihren Container-Images hinweisen. Diese Ergebnisse werden nur für anfällige Container-Images generiert, die in Artifact Registry gespeichert und in einem der folgenden Assets bereitgestellt werden:
- Google Kubernetes Engine-Cluster
- Cloud Run-Dienst
- Cloud Run-Job
- App Engine
Diese Ergebnisse werden als HIGH oder CRITICAL eingestuft.
Informationen zum Aktivieren, Deaktivieren und Aufrufen der Ergebnisse der Artifact Registry-Sicherheitslückenbewertung in der Google Cloud Console finden Sie unter Artifact Registry-Sicherheitslückenbewertungs-Erkennungsdienst.
| Detektor | Zusammenfassung |
|---|---|
|
Ergebnisbeschreibung: In einem Container-Image, das in Artifact Registry gescannt wurde, wurde eine Sicherheitslücke erkannt. Dieses Image wird in einem der folgenden Assets bereitgestellt:
Preisstufe: Standard, Premium oder Enterprise Dieses Ergebnis korrigieren : Gehen Sie je nach Ressourcentyp so vor:
In den Details des Ergebnisses finden Sie spezifische Schritte zur Behebung, die auf der entsprechenden Laufzeitressource basieren. Für Kunden der Standard-Legacy-Stufe wird die Verwendung der Asset-Abfragefunktion von Cloud Asset Inventory, um zu ermitteln, wo das anfällige Container-Image bereitgestellt wird, nicht unterstützt. Wir empfehlen ein Upgrade auf die Premium- oder Enterprise-Stufe, um detailliertere Informationen zu erhalten. |
Sensitive Data Protection
In diesem Abschnitt werden die von Sensitive Data Protection generierten Ergebnisse zu Sicherheitslücken, die unterstützten Compliancestandards und die Behebung der Ergebnisse beschrieben.
Sensitive Data Protection sendet auch Beobachtungsergebnisse an Security Command Center. Weitere Informationen zu den Beobachtungsergebnissen und zum Schutz sensibler Daten finden Sie unter Schutz sensibler Daten.
Informationen zum Aufrufen der Ergebnisse finden Sie unter Ergebnisse des Schutzes sensibler Daten in der Google Cloud Console prüfen.
Ergebnisse zu Sicherheitslücken aus Sensitive Data Protection
Mit dem Sensitive Data Protection-Erkennungsdienst können Sie feststellen, ob Sie hochsensible Daten speichern, die nicht geschützt sind.
| Kategorie | Zusammenfassung |
|---|---|
|
Ergebnisbeschreibung: Die angegebene Ressource enthält Daten mit hoher Vertraulichkeit, auf die jeder im Internet zugreifen kann. Unterstützte Assets:
Abhilfe: Entfernen Sie für Google Cloud -Daten Konfigurieren Sie für Amazon S3-Daten die Einstellungen zum Blockieren des öffentlichen Zugriffs oder aktualisieren Sie die ACL des Objekts, um den öffentlichen Lesezugriff zu verweigern. Weitere Informationen finden Sie in der AWS-Dokumentation unter Einstellungen zum Blockieren des öffentlichen Zugriffs für Ihre S3-Buckets konfigurieren und ACLs konfigurieren. Entfernen Sie bei Azure Blob Storage-Daten den öffentlichen Zugriff auf den Container und die Blobs. Weitere Informationen finden Sie in der Azure-Dokumentation unter Übersicht: Anonymen Lesezugriff für Blob-Daten korrigieren. Compliance-Standards: Nicht zugeordnet |
|
Ergebnisbeschreibung: In Umgebungsvariablen sind Secrets wie Passwörter, Authentifizierungstokens und Google Cloud -Anmeldedaten enthalten. Informationen zum Aktivieren dieses Detektors finden Sie in der Dokumentation zu Sensitive Data Protection unter Secrets in Umgebungsvariablen an Security Command Center melden. Unterstützte Assets: Abhilfe: Entfernen Sie das Secret bei Umgebungsvariablen für Cloud Run Functions aus der Umgebungsvariablen und speichern Sie es stattdessen in Secret Manager. Verschieben Sie bei Umgebungsvariablen für Cloud Run-Dienstversionen den gesamten Traffic von der Version und löschen Sie dann die Version. Compliance standards:
|
|
Ergebnisbeschreibung: In der angegebenen Ressource befinden sich Secrets wie Passwörter, Authentifizierungstokens und Cloud-Anmeldedaten. Unterstützte Assets:
Abhilfe:
Compliance-Standards: Nicht zugeordnet |
Ergebnisse zu Fehlkonfigurationen aus Sensitive Data Protection
Mit dem Sensitive Data Protection-Erkennungsdienst können Sie feststellen, ob Fehlkonfigurationen vorliegen, die sensible Daten gefährden könnten.
| Kategorie | Zusammenfassung |
|---|---|
|
Ergebnisbeschreibung: Die angegebene Ressource enthält Daten mit hoher oder mittlerer Sensitivität und die Ressource verwendet keinen kundenverwalteten Verschlüsselungsschlüssel (CMEK). Unterstützte Assets:
Abhilfe:
Compliance-Standards: Nicht zugeordnet |
Beobachtungsergebnisse aus Sensitive Data Protection
Mit dem Sensitive Data Protection-Erkennungsdienst können Sie feststellen, ob Ihre Daten bestimmte infoTypes enthalten und wo sie sich in Ihrer Organisation, Ihren Ordnern und Ihren Projekten befinden. Es generiert die folgenden Beobachtungsergebniskategorien in Security Command Center:
| Kategorie | Zusammenfassung |
|---|---|
|
Ergebnisbeschreibung: Ein Hinweis auf die Vertraulichkeitsstufe der Daten in einem bestimmten Daten-Asset. Daten sind vertraulich, wenn sie personenidentifizierbare Informationen oder andere Elemente enthalten, die unter Umständen eine zusätzliche Steuerung oder Verwaltung erfordern. Der Schweregrad des Ergebnisses ist die Vertraulichkeitsstufe, die Sensitive Data Protection beim Erstellen des Datenprofils berechnet hat. |
|
Beschreibung des Ergebnisses: Das Risiko, das mit den Daten in ihrem aktuellen Zustand verbunden ist. Bei der Berechnung des Datenrisikos berücksichtigt Sensitive Data Protection die Vertraulichkeitsstufe der Daten im Daten-Asset und das Vorhandensein von Zugriffssteuerungen zum Schutz dieser Daten. Der Schweregrad des Ergebnisses ist die Datenrisikostufe, die Sensitive Data Protection beim Erstellen des Datenprofils berechnet hat. |
Policy Controller
Mit Policy Controller können Sie programmierbare Richtlinien für Ihre Kubernetes-Cluster anwenden und erzwingen, die als Flottenmitglieder registriert sind. Richtlinien dienen als Schutzmaßnahmen und können Sie beim Verwalten von Best Practices, der Sicherheit und der Compliance in Ihren Clustern und Ihrer Flotte unterstützen.
Auf dieser Seite werden nicht alle einzelnen Policy Controller-Ergebnisse aufgeführt. Die Informationen zu den Ergebnissen der Klasse Misconfiguration, die Policy Controller in Security Command Center schreibt, sind jedoch mit den Clusterverstößen identisch, die für jedes Policy Controller-Bundle dokumentiert sind. Die Dokumentation zu den einzelnen Policy Controller-Ergebnistypen finden Sie in den folgenden Policy Controller-Bundles:
CIS-Kubernetes-Benchmark v1.5.1, eine Reihe von Empfehlungen zur Konfiguration von Kubernetes, um ein hohes Sicherheitsniveau zu gewährleisten. Informationen zu diesem Bundle finden Sie auch im GitHub-Repository für
cis-k8s-v1.5.1.PCI-DSS v3.2.1, ein Bundle, mit dem die Compliance Ihrer Clusterressourcen mit einigen Aspekten des Payment Card Industry Data Security Standard (PCI-DSS) v3.2.1 bewertet wird. Informationen zu diesem Bundle finden Sie auch im GitHub-Repository für
pci-dss-v3.
Diese Funktion ist nicht mit VPC Service Controls-Dienstperimetern um die Stackdriver API kompatibel.
Policy Controller-Ergebnisse finden und beheben
Die Policy Controller-Kategorien entsprechen den Einschränkungsnamen, die in der Dokumentation zu Policy Controller-Bundles aufgeführt sind. Das Ergebnis require-namespace-network-policies weist beispielsweise darauf hin, dass ein Namespace gegen die Richtlinie verstößt, dass jeder Namespace in einem Cluster eine NetworkPolicy haben muss.
So beheben Sie ein Ergebnis:
-
Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.
- Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
- Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option Policy Controller On-Cluster aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
- Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um Details zu einem bestimmten Ergebnis aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
- Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, der betroffenen Ressource und – falls verfügbar – der Schritte, die Sie zur Behebung des Ergebnisses ausführen können.
- Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.
Nächste Schritte
Informationen zum Lebenszyklus eines Ergebnisses finden Sie unter Übersicht über den Lebenszyklus von Ergebnissen.
Informationen zu den Scanintervallen für die einzelnen Dienste finden Sie unter Wann Ergebnisse im Security Command Center zu erwarten sind.
Weitere Informationen finden Sie im Index der Ergebnisse zu Sicherheitslücken.
Lesen Sie die Vorschläge zur Behebung von Security Health Analytics-Ergebnissen und zur Behebung von Web Security Scanner-Ergebnissen.