Cada servicio crea hallazgos con clases diferentes. La clase de hallazgo se determina según la condición de seguridad que ha creado el hallazgo.
La posibilidad de ver y editar hallazgos depende de los roles y permisos de Gestión de Identidades y Accesos (IAM) que tengas asignados. Para obtener más información sobre los roles de gestión de identidades y accesos en Security Command Center, consulta Control de acceso.
Detectores y cumplimiento
Security Command Center monitoriza tu cumplimiento con detectores que se asignan a los controles de una amplia variedad de estándares de seguridad.
Para cada estándar de seguridad admitido, Security Command Center comprueba un subconjunto de los controles. En el caso de los controles marcados, Security Command Center te muestra cuántos se han superado. En el caso de los controles que no se superan, Security Command Center muestra una lista de hallazgos que describen los fallos de control.
El CIS revisa y certifica las asignaciones de los detectores de Security Command Center a cada versión compatible de CIS Google Cloud Foundations Benchmark. Las asignaciones de cumplimiento adicionales se incluyen solo con fines de referencia.
Security Command Center añade compatibilidad con nuevas versiones y estándares de comparativas periódicamente. Las versiones anteriores siguen siendo compatibles, pero con el tiempo quedan obsoletas. Te recomendamos que uses la comparativa o el estándar más recientes que estén disponibles.
Con el servicio de posición de seguridad, puedes asignar políticas de organización y detectores de Security Health Analytics a los estándares y controles que se aplican a tu empresa. Después de crear una posición de seguridad, puedes monitorizar cualquier cambio en el entorno que pueda afectar al cumplimiento de tu empresa.
Con Gestor de Cumplimiento, puedes desplegar marcos que asignen controles normativos a controles en la nube. Una vez que hayas creado un marco, puedes monitorizar los cambios en el entorno que puedan afectar al cumplimiento de tu empresa y auditarlo.
Para obtener más información sobre cómo gestionar el cumplimiento, consulta Evaluar e informar sobre el cumplimiento de los estándares de seguridad.
Estándares de seguridad admitidos
Google Cloud
Security Command Center asigna detectores de Google Cloud a uno o varios de los siguientes estándares de cumplimiento:
- Controles 8.0 del Center for Information Security (CIS)
- CIS Google Cloud Computing Foundations Benchmark v2.0.0, v1.3.0, v1.2.0, v1.1.0 y v1.0.0
- CIS Kubernetes Benchmark v1.5.1
- Cloud Controls Matrix (CCM) 4
- Ley de transferencia y responsabilidad de los seguros médicos de EE. UU. (Health Insurance Portability and Accountability Act, HIPAA)
- Organización Internacional de Normalización (ISO) 27001, 2022 y 2013
- Instituto Nacional de Normas y Tecnología (NIST) 800-53 R5 y R4
- Framework de ciberseguridad (CSF) 1.0 del Instituto Nacional de Normas y Tecnología de Estados Unidos (NIST)
- Open Web Application Security Project (OWASP) Top Ten, 2021 y 2017
- Estándar de seguridad de los datos del sector de las tarjetas de pago (PCI DSS) 4.0 y 3.2.1
- Controles de sistemas y organizaciones (SOC) 2 Criterios de servicios de confianza (TSC) del 2017
AWS
En el nivel de servicio Enterprise (obsoleto), Security Command Center asigna los detectores de Amazon Web Services (AWS) a uno o varios de los siguientes estándares de cumplimiento:
- CIS Amazon Web Services Foundations 2.0.0
- Controles de seguridad críticos de CIS, versión 8.0
- Cloud Controls Matrix (CCM) 4
- Ley de transferencia y responsabilidad de los seguros médicos de EE. UU. (Health Insurance Portability and Accountability Act, HIPAA)
- Organización Internacional de Normalización (ISO) 27001, 2022
- Instituto Nacional de Normas y Tecnología (NIST) 800-53 R5
- Framework de ciberseguridad (CSF) 1.0 del Instituto Nacional de Normas y Tecnología de Estados Unidos (NIST)
- Estándar de seguridad de los datos del sector de las tarjetas de pago (PCI DSS) 4.0 y 3.2.1
- Controles de sistemas y organizaciones (SOC) 2 Criterios de servicios de confianza (TSC) del 2017
Para obtener instrucciones sobre cómo ver y exportar informes de cumplimiento, consulta el artículo Evaluar e informar sobre el cumplimiento de los estándares de seguridad.
Resultados de Security Health Analytics
Los detectores de Security Health Analytics monitorizan un subconjunto de recursos de Inventario de Recursos de Cloud (CAI) y reciben notificaciones de cambios en los recursos y en las políticas de Gestión de Identidades y Accesos (IAM). Algunos detectores obtienen datos llamando directamente a APIs, Google Cloud como se indica en las tablas que aparecen más adelante en esta página.
Para obtener más información sobre Security Health Analytics, las programaciones de análisis y la compatibilidad de Security Health Analytics con los detectores de módulos integrados y personalizados, consulta Descripción general de Security Health Analytics.
En las siguientes tablas se describen los detectores de Security Health Analytics, los recursos y los estándares de cumplimiento que admiten, los ajustes que usan para los análisis y los tipos de hallazgos que generan. Puedes filtrar los hallazgos por varios atributos en las siguientes Google Cloud páginas de la consola:
- Página Vulnerabilidades
- Página Vista general de riesgos > Panel de control Vulnerabilidades
Para obtener instrucciones sobre cómo corregir los hallazgos y proteger tus recursos, consulta Corregir hallazgos de Security Health Analytics.
Hallazgos de vulnerabilidades de claves de API
El detector API_KEY_SCANNER identifica vulnerabilidades relacionadas con las claves de API que se usan en tu despliegue en la nube.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: Hay claves de API que se están usando de forma demasiado generalizada. Para solucionar este problema, limita el uso de la clave de API para permitir solo las APIs que necesite la aplicación. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Obtiene la propiedad
|
|
Descripción del hallazgo: Se están usando claves de API sin restricciones, lo que permite que las use cualquier aplicación que no sea de confianza. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Obtiene la propiedad
|
|
Descripción del hallazgo: un proyecto usa claves de API en lugar de la autenticación estándar. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Obtiene todas las claves de API que pertenecen a un proyecto.
|
|
Descripción del hallazgo: La clave de API no se ha rotado durante más de 90 días. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Obtiene la marca de tiempo que contiene la propiedad
|
Hallazgos de vulnerabilidades de Inventario de Recursos de Cloud
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de Inventario de Recursos de Cloud y pertenecen al tipo CLOUD_ASSET_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: La captura de Google Cloud recursos y políticas de gestión de identidades y accesos (IAM) por parte de Inventario de Recursos de Cloud permite hacer análisis de seguridad, un seguimiento de los cambios en los recursos y auditorías de cumplimiento. Se recomienda habilitar el servicio Inventario de Recursos de Cloud en todos los proyectos. Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta el artículo Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el servicio Inventario de Recursos de Cloud está habilitado.
|
Hallazgos de vulnerabilidades de almacenamiento
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de los segmentos de Cloud Storage y pertenecen al tipo STORAGE_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: un segmento no está cifrado con claves de cifrado gestionadas por el cliente (CMEK). Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba el campo
|
|
Descripción del hallazgo: No se ha configurado el acceso uniforme a nivel de segmento, que antes se llamaba "Solo política de segmento". Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: Un segmento de Cloud Storage es accesible públicamente. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la política de permisos de gestión de identidades y accesos de un segmento para roles públicos,
|
|
Descripción del hallazgo: un segmento de almacenamiento que se utiliza como sumidero de registros es de acceso público. Este hallazgo no está disponible para las activaciones a nivel de proyecto. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la política de permisos de gestión de identidades y accesos de un segmento para las entidades principales
|
Hallazgos de vulnerabilidades de imágenes de Compute Engine
El detector COMPUTE_IMAGE_SCANNER identifica vulnerabilidades relacionadas con las configuraciones de imágenes deGoogle Cloud .
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: Se puede acceder públicamente a una imagen de Compute Engine. Nivel de precios: Premium o Standard
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba la política de permisos de gestión de identidades y accesos en los metadatos de recursos de las entidades principales
|
Hallazgos de vulnerabilidades de instancias de computación
El detector COMPUTE_INSTANCE_SCANNER identifica vulnerabilidades relacionadas con las configuraciones de instancias de Compute Engine.
Los detectores de COMPUTE_INSTANCE_SCANNER no informan de hallazgos en instancias de Compute Engine creadas por GKE. Estas instancias tienen nombres que empiezan por "gke-", que los usuarios no pueden editar. Para proteger estas instancias, consulta la sección Hallazgos de vulnerabilidades de contenedores.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: Confidential Computing está inhabilitado en una instancia de Compute Engine. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se usan claves SSH de proyecto, lo que permite iniciar sesión en todas las instancias del proyecto. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba el objeto
|
|
Descripción del hallazgo: Esta VM blindada no tiene habilitado el arranque seguro. El arranque seguro te ayuda a proteger las instancias de máquinas virtuales contra amenazas avanzadas, como rootkits y bootkits. Nivel de precios: Premium Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba la propiedad
|
|
Descripción del hallazgo: Los puertos serie están habilitados para una instancia, lo que permite las conexiones a la consola en serie de la instancia. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba el objeto
|
|
Descripción del hallazgo: Se ha configurado una instancia para que use la cuenta de servicio predeterminada. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Los discos de esta VM no están cifrados con claves de cifrado gestionadas por el cliente (CMEK). Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba el campo
|
|
Descripción del hallazgo: los discos de esta VM no están cifrados con claves de cifrado proporcionadas por el cliente (CSEK). Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta Detector de casos especiales. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba el campo
|
|
Descripción del hallazgo: Se ha configurado una instancia para que use la cuenta de servicio predeterminada con acceso completo a todas las APIs de Google Cloud. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Obtiene el campo
|
|
Descripción del hallazgo: una instancia usa un balanceador de carga que está configurado para usar un proxy HTTP de destino en lugar de un proxy HTTPS de destino. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Determina si la propiedad
|
|
Descripción del hallazgo: OS Login está inhabilitado en esta instancia. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos
Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: El reenvío de IP está habilitado en las instancias. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: OS Login está inhabilitado en este proyecto. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba el objeto
|
|
Descripción del hallazgo: Una instancia tiene una dirección IP pública. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: La VM blindada está inhabilitada en esta instancia. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Una instancia tiene una política de SSL débil. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si
|
Hallazgos de vulnerabilidades de contenedores
Todos estos tipos de hallazgos están relacionados con las configuraciones de contenedores de GKE y pertenecen al tipo de detector CONTAINER_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: Las funciones de clúster alfa están habilitadas para un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: La función de reparación automática de un clúster de GKE, que mantiene los nodos en un estado correcto y en funcionamiento, está inhabilitada. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: La función de actualización automática de un clúster de GKE, que mantiene los clústeres y los grupos de nodos en la versión estable más reciente de Kubernetes, está inhabilitada. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: La autorización binaria está inhabilitada en el clúster de GKE o la política de autorización binaria está configurada para permitir que se desplieguen todas las imágenes. Nivel de precios: Premium
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba lo siguiente:
|
|
Descripción del hallazgo: El registro no está habilitado en un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: la monitorización está inhabilitada en los clústeres de GKE. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: Los hosts del clúster no están configurados para usar solo direcciones IP internas privadas para acceder a las APIs de Google. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: El cifrado de secretos de la capa de aplicación está inhabilitado en un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Los nodos de GKE blindados no están habilitados en un clúster. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Las VMs de Compute Engine no usan el Container-Optimized OS diseñado para ejecutar contenedores de Docker de forma segura. Google Cloud Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: La supervisión de la integridad está inhabilitada en un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: La visibilidad intranodo está inhabilitada en un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha creado un clúster de GKE con los intervalos de IPs de alias inhabilitados. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo
|
|
Descripción del hallazgo: la autorización antigua está habilitada en los clústeres de GKE. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: los metadatos antiguos están habilitados en los clústeres de GKE. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Las redes autorizadas del plano de control no están habilitadas en los clústeres de GKE. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: La política de red está inhabilitada en los clústeres de GKE. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba el campo
|
|
Descripción del hallazgo: Los discos de arranque de este grupo de nodos no están cifrados con claves de cifrado gestionadas por el cliente (CMEK). Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba la propiedad
|
|
Descripción del hallazgo: El arranque seguro está inhabilitado en un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: una cuenta de servicio tiene un acceso demasiado amplio a un proyecto en un clúster. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Evalúa la propiedad
|
|
Descripción del hallazgo: Una cuenta de servicio de nodo tiene permisos de acceso amplios. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el permiso de acceso que aparece en la propiedad config.oauthScopes de un grupo de nodos es un permiso de acceso limitado de una cuenta de servicio: https://www.googleapis.com/auth/devstorage.read_only, https://www.googleapis.com/auth/logging.write o https://www.googleapis.com/auth/monitoring.
|
|
Descripción del hallazgo: PodSecurityPolicy está inhabilitado en un clúster de GKE. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Un clúster de GKE tiene un clúster privado inhabilitado. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo
|
|
Descripción del hallazgo: Un clúster de GKE no está suscrito a un canal de lanzamiento. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: La interfaz web de GKE (panel de control) está habilitada. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba el campo
|
|
Descripción del hallazgo: Workload Identity Federation for GKE está inhabilitado en un clúster de GKE. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si se ha definido la propiedad
|
Hallazgos de vulnerabilidades de Managed Service for Apache Spark
Las vulnerabilidades de este tipo de detector están relacionadas con Managed Service for Apache Spark y pertenecen al tipo de detector DATAPROC_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: Se ha creado un clúster de Managed Service for Apache Spark sin una configuración de cifrado de CMEK. Con las CMEKs, las claves que creas y gestionas en Cloud Key Management Service envuelven las claves que usa Google Cloud para cifrar tus datos, lo que te permite tener más control sobre el acceso a tus datos. Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta el artículo Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo
|
|
Descripción del hallazgo: Se ha creado un clúster de Managed Service for Apache Spark con una versión de imagen de Managed Service for Apache Spark que se ve afectada por las vulnerabilidades de seguridad de la utilidad Apache Log4j 2 (CVE-2021-44228 y CVE-2021-45046). Nivel de precios: Premium o Standard
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba si el campo
|
Hallazgos de vulnerabilidades en conjuntos de datos
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de conjuntos de datos de BigQuery y pertenecen al tipo de detector DATASET_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: Una tabla de BigQuery no está configurada para usar una clave de cifrado gestionada por el cliente (CMEK). Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo
|
|
Descripción del hallazgo: un conjunto de datos de BigQuery no está configurado para usar una CMEK predeterminada. Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo
|
|
Descripción del hallazgo: Un conjunto de datos está configurado para que sea de acceso público. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la política de permisos de gestión de identidades y accesos en los metadatos de recursos de las entidades principales
|
Hallazgos de vulnerabilidades de DNS
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de Cloud DNS y pertenecen al tipo de detector DNS_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del resultado: DNSSEC está desactivado en las zonas DNS de Cloud DNS. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo
|
|
Descripción del hallazgo: Se usa RSASHA1 para firmar claves en zonas de Cloud DNS. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el objeto
|
Hallazgos de vulnerabilidades de cortafuegos
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de cortafuegos y pertenecen al tipo de detector FIREWALL_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: No se ha definido una regla de denegación de salida en un cortafuegos. Se deben configurar reglas de denegación de salida para bloquear el tráfico de salida no deseado. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: El almacenamiento de registros de reglas de cortafuegos está inhabilitado. El registro de reglas de cortafuegos debe estar habilitado para poder auditar el acceso a la red. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto de Cassandra abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto CISCOSECURE_WEBSM abierto que permita el acceso genérico. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto DIRECTORY_SERVICES abierto que permita el acceso genérico. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto DNS abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto ELASTICSEARCH abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que esté abierto al acceso público. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba las propiedades
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto FTP abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto HTTP abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto LDAP abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto MEMCACHED abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto de MONGODB abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto MYSQL abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto NETBIOS abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto ORACLEDB abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto POP3 abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto de PostgreSQL abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto RDP abierto que permita el acceso genérico. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto REDIS abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto SMTP abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto SSH abierto que permita el acceso genérico. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: Se ha configurado un cortafuegos para que tenga un puerto TELNET abierto que permita el acceso genérico. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
Hallazgos de vulnerabilidades de IAM
Las vulnerabilidades de este tipo de detector están relacionadas con la configuración de Gestión de Identidades y Accesos (IAM) y pertenecen al tipo de detector IAM_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: Google Cloud Transparencia de acceso está inhabilitada en tu organización. Transparencia de acceso registra cuándo Google Cloud acceden los empleados a los proyectos de tu organización para proporcionar asistencia. Habilita Transparencia de acceso para registrar quién de Google Cloud accede a tu información, cuándo y por qué. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si tu organización tiene habilitada la función Transparencia de acceso.
|
|
Descripción del hallazgo: una cuenta de servicio tiene privilegios de administrador, propietario o editor. Estos roles no se deben asignar a cuentas de servicio creadas por usuarios. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la política de permisos de gestión de identidades y accesos en los metadatos de recursos de cualquier cuenta de servicio creada por un usuario (indicada por el prefijo ) que tenga asignado
|
|
Descripción del hallazgo: Tu organización no ha designado a ninguna persona ni grupo para recibir notificaciones de Google Cloud sobre eventos importantes, como ataques, vulnerabilidades e incidentes de datos en tu organización de Google Cloud . Te recomendamos que designes como contacto esencial a una o varias personas o grupos de tu organización empresarial. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que se haya especificado un contacto para las siguientes categorías de contactos esenciales:
|
|
Descripción del hallazgo: No se aplica la separación de funciones y hay un usuario que tiene el rol Administrador de Cloud KMS y cualquiera de los siguientes roles de Cloud Key Management Service (Cloud KMS) al mismo tiempo: Encargado del cifrado y descifrado de claves de CryptoKey, Encargado del cifrado, Encargado del descifrado, Lector de claves públicas, Firmante o Firmante/Verificador. Este hallazgo no está disponible para las activaciones a nivel de proyecto. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba las políticas de permisos de gestión de identidades y accesos en los metadatos de los recursos y obtiene los principales asignados a cualquiera de los siguientes roles al mismo tiempo: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier y roles/cloudkms.publicKeyViewer.
|
|
Descripción del hallazgo: Hay un usuario que no utiliza credenciales de la organización. Según CIS GCP Foundations 1.0, actualmente este detector solo se activa con identidades que tengan direcciones de correo terminadas en @gmail.com. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Compara las direcciones de correo @gmail.com del campo
|
|
Descripción del hallazgo: Se usa una cuenta de Grupos de Google a la que se puede unir sin aprobación como principal de una política de permisos de gestión de identidades y accesos. Nivel de precios: Premium o Estándar
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba la política de gestión de identidades y accesos en los metadatos de recursos para ver si hay vinculaciones que contengan un miembro (principal) con el prefijo group. Si el grupo es abierto, Security Health Analytics genera este hallazgo.
|
|
Descripción del hallazgo: un usuario tiene el rol Usuario de cuenta de servicio o Creador de tokens de cuenta de servicio a nivel de proyecto, en lugar de para una cuenta de servicio concreta. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la política de permisos de gestión de identidades y accesos en los metadatos de los recursos para ver si hay principales asignados con el rol roles/iam.serviceAccountUser o roles/iam.serviceAccountTokenCreator a nivel de proyecto.
|
|
Descripción del hallazgo: Un usuario tiene uno de los siguientes roles básicos:
Estos roles son demasiado permisivos y no se deben usar. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la política de permisos de gestión de identidades y accesos en los metadatos de los recursos para ver si hay principales que tengan asignado un rol de
|
|
Descripción del hallazgo: Se ha asignado un rol de gestión de identidades y accesos de Redis a nivel de organización o de carpeta. Este hallazgo no está disponible para las activaciones a nivel de proyecto. Nivel de precios: Premium
Recursos admitidos
Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la política de permisos de gestión de identidades y accesos en los metadatos de recursos de los principales asignados
|
|
Descripción del hallazgo: Se han asignado los roles Administrador de cuentas de servicio y Usuario de cuenta de servicio a un usuario. Esto infringe el principio de "segregación de funciones". Este hallazgo no está disponible para las activaciones a nivel de proyecto. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la política de permisos de gestión de identidades y accesos en los metadatos de los recursos para ver si hay principales que tengan asignados roles/iam.serviceAccountUser y roles/iam.serviceAccountAdmin.
|
|
Descripción del hallazgo: una clave de cuenta de servicio no se ha rotado durante más de 90 días. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Evalúa la marca de tiempo de creación de la clave registrada en la propiedad
|
|
Descripción del hallazgo: un usuario gestiona una clave de cuenta de servicio. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
Hallazgos de vulnerabilidades de KMS
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de Cloud KMS y pertenecen al tipo de detector KMS_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: La rotación no está configurada en una clave de cifrado de Cloud KMS. Las claves se deben rotar en un periodo de 90 días. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si en los metadatos de los recursos hay propiedades
|
|
Descripción del hallazgo: un usuario tiene el permiso Propietario en un proyecto que tiene claves criptográficas. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la política de permisos de gestión de identidades y accesos en los metadatos del proyecto para las entidades principales asignadas
|
|
Descripción del hallazgo: una clave criptográfica de Cloud KMS es de acceso público. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la política de permisos de gestión de identidades y accesos en los metadatos de recursos de las entidades principales
|
|
Descripción del hallazgo: Hay más de tres usuarios de claves criptográficas. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba las políticas de permisos de gestión de identidades y accesos (IAM) de los conjuntos de claves, proyectos y organizaciones, y obtiene los principales con roles que les permiten cifrar, descifrar o firmar datos con claves de Cloud KMS: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer y roles/cloudkms.signerVerifier.
|
Registrar hallazgos de vulnerabilidades
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de registro y pertenecen al tipo de detector LOGGING_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: Se han inhabilitado los registros de auditoría de este recurso. Este hallazgo no está disponible para las activaciones a nivel de proyecto. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la política de permisos de gestión de identidades y accesos en los metadatos de los recursos para ver si existe un objeto
|
|
Descripción del hallazgo: Hay un segmento de almacenamiento que no tiene habilitado el registro. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo
|
|
Descripción del hallazgo: No se ha definido una política de retención bloqueada para los registros. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo
|
|
Descripción del hallazgo: Hay un recurso que no tiene configurado un sumidero de registros adecuado. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos
Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Obtiene un objeto
|
|
Descripción del hallazgo: La gestión de versiones de objetos no está habilitada en un segmento de almacenamiento donde se han configurado sumideros. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo
|
Monitorizar los hallazgos de vulnerabilidades
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de monitorización y pertenecen al tipo MONITORING_SCANNER. Todas las propiedades de hallazgos de detectores de Monitoring incluyen:
-
El
RecommendedLogFilterque se usará para crear las métricas de registro. -
Los
QualifiedLogMetricNamesque cumplen las condiciones que se indican en el filtro de registro recomendado. -
AlertPolicyFailureReasonsque indica si el proyecto no tiene políticas de alertas creadas para ninguna de las métricas de registro aptas o si las políticas de alertas que tiene no tienen la configuración recomendada.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: las métricas de registro y las alertas no están configuradas para monitorizar los cambios en la configuración de auditoría. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto tiene el valor protoPayload.methodName="SetIamPolicy" AND
protoPayload.serviceData.policyDelta.auditConfigDeltas:* y, si se especifica resource.type, que el valor sea global.
El detector también busca un recurso alertPolicy correspondiente y comprueba que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
|
Descripción del hallazgo: Las métricas de registro y las alertas no están configuradas para monitorizar los cambios en los permisos de gestión de identidades y accesos de Cloud Storage. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto tiene asignado el valor resource.type=gcs_bucket AND
protoPayload.methodName="storage.setIamPermissions".
El detector también busca un recurso alertPolicy correspondiente y comprueba que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
|
Descripción del resultado: Las métricas de registro y las alertas no están configuradas para supervisar los cambios en roles personalizados. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto tiene asignado el valor resource.type="iam_role" AND
(protoPayload.methodName="google.iam.admin.v1.CreateRole"
OR
protoPayload.methodName="google.iam.admin.v1.DeleteRole"
OR
protoPayload.methodName="google.iam.admin.v1.UpdateRole").
El detector también busca un recurso alertPolicy correspondiente y comprueba que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
|
Descripción del resultado: Las métricas de registro y las alertas no están configuradas para supervisar los cambios en las reglas de cortafuegos de redes de nube privada virtual (VPC). En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto tiene asignado el valor
resource.type="gce_firewall_rule"
AND (protoPayload.methodName:"compute.firewalls.insert"
OR protoPayload.methodName:"compute.firewalls.patch"
OR protoPayload.methodName:"compute.firewalls.delete").
El detector también busca un recurso alertPolicy correspondiente y comprueba que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
|
Descripción del hallazgo: Las métricas de registro y las alertas no están configuradas para monitorizar los cambios en la red de VPC. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto tiene asignado el valor
resource.type="gce_network"
AND (protoPayload.methodName:"compute.networks.insert"
OR protoPayload.methodName:"compute.networks.patch"
OR protoPayload.methodName:"compute.networks.delete"
OR protoPayload.methodName:"compute.networks.removePeering"
OR protoPayload.methodName:"compute.networks.addPeering").
El detector también busca un recurso alertPolicy correspondiente y comprueba que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
|
Descripción del hallazgo: Las métricas de registro y las alertas no están configuradas para monitorizar las asignaciones o los cambios en la propiedad del proyecto. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto tiene el valor (protoPayload.serviceName="cloudresourcemanager.googleapis.com")
AND ( (ProjectOwnership OR projectOwnerInvitee) OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner")
OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") ) y, si se especifica resource.type, que el valor sea global.
El detector también busca un recurso alertPolicy correspondiente y comprueba que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
|
Descripción del hallazgo: Las métricas de registro y las alertas no están configuradas para monitorizar los cambios en las rutas de redes de VPC. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto tiene asignado el valor
resource.type="gce_route"
AND (protoPayload.methodName:"compute.routes.delete"
OR protoPayload.methodName:"compute.routes.insert").
El detector también busca un recurso alertPolicy correspondiente y comprueba que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
|
Descripción del hallazgo: las métricas de registro y las alertas no están configuradas para monitorizar los cambios en la configuración de las instancias de Cloud SQL. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto tiene el valor
protoPayload.methodName="cloudsql.instances.update"
OR protoPayload.methodName="cloudsql.instances.create"
OR protoPayload.methodName="cloudsql.instances.delete" y, si se especifica resource.type, que el valor sea global.
El detector también busca un recurso alertPolicy correspondiente y comprueba que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Hallazgos de la autenticación multifactor
El detector MFA_SCANNER identifica vulnerabilidades relacionadas con la autenticación multifactor de los usuarios.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Hay usuarios que no utilizan la verificación en dos pasos. Si tomas medidas para solucionar este hallazgo, los análisis de Security Health Analytics pueden tardar hasta 24 horas en completarse y en actualizarse. Google Workspace te permite especificar un periodo de gracia de registro para los usuarios nuevos durante el cual deben registrarse en la verificación en dos pasos. Este detector crea hallazgos para los usuarios durante el periodo de gracia de registro. Este detector puede generar hallazgos en organizaciones con un gran número de usuarios (normalmente,450.000 o más), incluso si se ha implementado la verificación en dos pasos para todos los usuarios. Si crees que un hallazgo es un falso positivo, ponte en contacto con Cloud Customer Care para que lo desactive. Este detector antes se llamaba Este hallazgo no está disponible para las activaciones a nivel de proyecto. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Evalúa las políticas de gestión de identidades de las organizaciones y la configuración de usuario de las cuentas gestionadas en Cloud Identity.
|
Hallazgos de vulnerabilidades de red
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de red de una organización y pertenecen al tipo NETWORK_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: La red predeterminada existe en un proyecto. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: El almacenamiento de registros de DNS en una red de VPC no está habilitado. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba todos los
|
|
Descripción del hallazgo: Hay una red antigua en un proyecto. En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba los metadatos de red para ver si existe la propiedad
|
|
Descripción del hallazgo: Está inhabilitado el almacenamiento de registros del balanceador de carga. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
Hallazgos de vulnerabilidades de la política de organización
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de las restricciones de Organization Policy y pertenecen al tipo ORG_POLICY.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo:
Un recurso de Compute Engine no cumple la política de organización
constraints/compute.restrictNonConfidentialComputing
. Para obtener más información sobre esta restricción de la política de organización, consulta Aplicar restricciones de políticas de organización en máquinas virtuales confidenciales.
En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba si la propiedad
|
|
Descripción del hallazgo:
Un recurso de Compute Engine no cumple la restricción constraints/gcp.resourceLocations. Para obtener más información sobre esta restricción de la política de organización, consulta Aplicar restricciones de políticas de organización.
En el caso de las activaciones a nivel de proyecto del nivel Security Command Center Premium, este hallazgo solo está disponible si el nivel Standard antiguo está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba la propiedad
|
|
Recursos admitidos para ORG_POLICY_LOCATION_RESTRICTION
Compute Engine
GKE
Cloud Storage
Cloud KMS
Managed Service for Apache Spark
BigQuery
Dataflow
Cloud SQL
Managed Airflow
Logging
Pub/Sub
Plataforma de agentes
Artifact Registry 1 Como los recursos de Cloud KMS no se pueden eliminar, no se consideran fuera de la región si se han destruido sus datos. 2 Como las tareas de importación de Cloud KMS tienen un ciclo de vida controlado y no se pueden finalizar antes de tiempo, no se considera que un ImportJob esté fuera de la región si la tarea ha caducado y ya no se puede usar para importar claves. 3 Como no se puede gestionar el ciclo de vida de las tareas de Dataflow, una tarea no se considera fuera de la región una vez que ha alcanzado un estado final (detenida o vaciada), en el que ya no se puede usar para procesar datos. |
||
Hallazgos de vulnerabilidades de Pub/Sub
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de Pub/Sub y pertenecen al tipo PUBSUB_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: un tema de Pub/Sub no se ha cifrado con claves de cifrado gestionadas por el cliente (CMEK). Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba el campo
|
Hallazgos de vulnerabilidades de SQL
En las siguientes secciones se describen los hallazgos de vulnerabilidades de AlloyDB para PostgreSQL y Cloud SQL.
Hallazgos de vulnerabilidades de AlloyDB para PostgreSQL
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de AlloyDB para PostgreSQL y pertenecen al tipo SQL_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: un clúster de AlloyDB para PostgreSQL no tiene habilitadas las copias de seguridad automáticas. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: un clúster de AlloyDB para PostgreSQL no tiene habilitadas las copias de seguridad. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si las propiedades
|
|
Descripción del hallazgo: un clúster de AlloyDB no está cifrado con claves de cifrado gestionadas por el cliente (CMEK). Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba el campo
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Para garantizar que los registros cubran adecuadamente los tipos de mensajes, se genera un hallazgo si el campo
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, genera un hallazgo si el campo
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Para garantizar que los registros cubran adecuadamente los tipos de mensajes, se genera un hallazgo si el campo
|
|
Descripción del hallazgo: Una instancia de base de datos de AlloyDB para PostgreSQL tiene una dirección IP pública. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo de la propiedad
|
|
Descripción del hallazgo: una instancia de base de datos de AlloyDB para PostgreSQL no requiere que todas las conexiones entrantes usen SSL. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
Hallazgos de vulnerabilidades de Cloud SQL
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de Cloud SQL y pertenecen al tipo SQL_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: una base de datos de Cloud SQL no tiene habilitadas las copias de seguridad automáticas. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: una instancia de base de datos de Cloud SQL acepta conexiones de todas las direcciones IP. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: una instancia de base de datos de Cloud SQL no requiere que todas las conexiones entrantes utilicen SSL. Nivel de precios: Premium o Standard
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: una instancia de base de datos SQL no está cifrada con claves de cifrado gestionadas por el cliente (CMEK). Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba el campo
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: la marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: la marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el campo
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Para asegurar una cobertura adecuada de los tipos de mensajes en los registros, se genera un hallazgo si el campo
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: una base de datos de Cloud SQL que tiene una dirección IP pública no tiene una contraseña configurada para la cuenta raíz. Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
|
Descripción del hallazgo: una base de datos de Cloud SQL tiene una dirección IP pública. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el tipo de dirección IP de una base de datos de Cloud SQL es
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo:
La marca de base de datos Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba la propiedad
|
|
Descripción del hallazgo: una base de datos de Cloud SQL que tiene una dirección IP pública también tiene una contraseña poco segura configurada para la cuenta raíz. Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Compara la contraseña de la cuenta raíz de tu base de datos de Cloud SQL con una lista de contraseñas habituales.
|
Hallazgos de vulnerabilidades de subred
Las vulnerabilidades de este tipo de detector están relacionadas con las configuraciones de subred de una organización y pertenecen al tipo SUBNETWORK_SCANNER.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: hay una subred de VPC que tiene inhabilitados los registros de flujo. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si falta la propiedad
|
|
Descripción del hallazgo: En una subred de VPC, el servicio Registros de flujo de VPC está desactivado o no está configurado conforme a las recomendaciones del CIS Benchmark 1.3. Este detector requiere una configuración adicional para habilitarse. Para obtener instrucciones, consulta Habilitar e inhabilitar detectores. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si falta la propiedad
|
|
Descripción del hallazgo: Hay subredes privadas que no tienen acceso a las APIs públicas de Google. Nivel de precios: Premium
Recursos admitidos Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la propiedad
|
Hallazgos de AWS
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: AWS CloudShell es una forma cómoda de ejecutar comandos de la CLI en servicios de AWS. Una política de gestión de identidades y accesos (IAM) gestionada ("AWSCloudShellFullAccess") proporciona acceso completo a CloudShell, lo que permite subir y descargar archivos entre el sistema local de un usuario y el entorno de CloudShell. En el entorno de Cloud Shell, los usuarios tienen permisos de sudo y pueden acceder a Internet. Por lo tanto, es posible instalar software de transferencia de archivos (por ejemplo) y transferir datos de Cloud Shell a servidores de Internet externos. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que el acceso a AWSCloudShellFullAccess esté restringido
|
|
Descripción del hallazgo: Las claves de acceso constan de un ID de clave de acceso y una clave de acceso secreta, que se usan para firmar las solicitudes programáticas que haces a AWS. Los usuarios de AWS necesitan sus propias claves de acceso para hacer llamadas programáticas a AWS desde la interfaz de línea de comandos de AWS (AWS CLI), las herramientas de Windows PowerShell, los SDKs de AWS o las llamadas HTTP directas mediante las APIs de servicios de AWS concretos. Se recomienda rotar todas las claves de acceso periódicamente. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que las claves de acceso se roten cada 90 días o menos
|
|
Descripción del hallazgo: Para habilitar las conexiones HTTPS a tu sitio web o aplicación en AWS, necesitas un certificado de servidor SSL/TLS. Puedes usar ACM o IAM para almacenar y desplegar certificados de servidor. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que se hayan eliminado todos los certificados SSL/TLS caducados almacenados en IAM de AWS
|
|
Descripción del hallazgo: Comprueba si los grupos de Auto Scaling asociados a un balanceador de carga usan comprobaciones del estado de Elastic Load Balancing. De esta forma, el grupo puede determinar el estado de una instancia en función de las pruebas adicionales que proporcione el balanceador de carga. Usar las comprobaciones del estado de Elastic Load Balancing puede ayudar a mantener la disponibilidad de las aplicaciones que usan grupos de autoescalado de EC2. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todos los grupos de autoescalado asociados a un balanceador de carga usen comprobaciones del estado
|
|
Descripción del hallazgo: Asegúrate de que las instancias de base de datos de RDS tengan habilitada la marca de actualización automática de versión secundaria para recibir automáticamente las actualizaciones secundarias del motor durante la ventana de mantenimiento especificada. De esta forma, las instancias de RDS pueden obtener las nuevas funciones, correcciones de errores y parches de seguridad para sus motores de base de datos. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que la función de actualización automática de versión secundaria esté habilitada en las instancias de RDS
|
|
Descripción del hallazgo: AWS Config es un servicio web que realiza la gestión de configuraciones de los recursos de AWS admitidos en tu cuenta y te envía archivos de registro. La información registrada incluye el elemento de configuración (recurso de AWS), las relaciones entre los elementos de configuración (recursos de AWS) y cualquier cambio de configuración entre los recursos. Se recomienda habilitar AWS Config en todas las regiones. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que AWS Config esté habilitado en todas las regiones
|
|
Descripción del hallazgo: Centro de Seguridad recoge datos de seguridad de todas las cuentas, servicios y productos de partners de terceros de AWS compatibles, y te ayuda a analizar tus tendencias de seguridad e identificar los problemas de seguridad más prioritarios. Cuando habilitas Security Hub, empieza a consumir, agregar, organizar y priorizar los hallazgos de los servicios de AWS que hayas habilitado, como Amazon GuardDuty, Amazon Inspector y Amazon Macie. También puedes habilitar integraciones con productos de seguridad de partners de AWS. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que AWS Security Hub esté habilitado
|
|
Descripción del hallazgo: AWS CloudTrail es un servicio web que registra las llamadas a la API de AWS de una cuenta y pone esos registros a disposición de los usuarios y recursos de acuerdo con las políticas de gestión de identidades y accesos (IAM). AWS Key Management Service (KMS) es un servicio gestionado que ayuda a crear y controlar las claves de cifrado que se usan para cifrar los datos de las cuentas, y utiliza módulos de seguridad de hardware (HSM) para proteger la seguridad de las claves de cifrado. Los registros de CloudTrail se pueden configurar para que usen el encriptado del lado del servidor (SSE) y las claves maestras creadas por el cliente (CMK) de KMS para proteger aún más los registros de CloudTrail. Se recomienda configurar CloudTrail para que use SSE-KMS. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que los registros de CloudTrail estén encriptados en reposo con CMKs de KMS
|
|
Descripción del hallazgo: La validación de archivos de registro de CloudTrail crea un archivo de resumen firmado digitalmente que contiene un hash de cada registro que CloudTrail escribe en S3. Estos archivos de resumen se pueden usar para determinar si un archivo de registro se ha modificado, eliminado o no se ha modificado después de que CloudTrail haya entregado el registro. Se recomienda habilitar la validación de archivos en todos los CloudTrails. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que la validación de archivos de registro de CloudTrail esté habilitada
|
|
Descripción del hallazgo: AWS CloudTrail es un servicio web que registra las llamadas a la API de AWS realizadas en una cuenta de AWS determinada. La información registrada incluye la identidad de la persona que hace la llamada a la API, la hora de la llamada, la dirección IP de origen de la persona que hace la llamada, los parámetros de la solicitud y los elementos de respuesta devueltos por el servicio de AWS. CloudTrail utiliza Amazon S3 para almacenar y enviar archivos de registro, por lo que estos se almacenan de forma duradera. Además de capturar registros de CloudTrail en un bucket de S3 específico para analizarlos a largo plazo, se pueden realizar análisis en tiempo real configurando CloudTrail para que envíe registros a CloudWatch Logs. En el caso de un registro que esté habilitado en todas las regiones de una cuenta, CloudTrail envía los archivos de registro de todas esas regiones a un grupo de registros de CloudWatch Logs. Se recomienda enviar los registros de CloudTrail a CloudWatch Logs. Nota: El objetivo de esta recomendación es asegurarse de que la actividad de la cuenta de AWS se registre, se monitorice y se avise de forma adecuada. CloudWatch Logs es una forma nativa de hacerlo con los servicios de AWS, pero no impide el uso de una solución alternativa. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que los registros de CloudTrail estén integrados con CloudWatch Logs
|
|
Descripción del hallazgo: Comprueba si Amazon Cloudwatch tiene acciones definidas cuando una alarma cambia entre los estados "OK", "ALARM" e "INSUFFICIENT_DATA". Configurar acciones para el estado ALARM en las alarmas de Amazon CloudWatch es muy importante para activar una respuesta inmediata cuando las métricas monitorizadas superen los umbrales. Las alarmas tienen al menos una acción. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si las alarmas de CloudWatch tienen al menos una acción de alarma, una acción INSUFFICIENT_DATA o una acción OK habilitada.
|
|
Descripción del hallazgo: Esta comprobación asegura que los registros de CloudWatch estén configurados con KMS. Los datos de los grupos de registros siempre están cifrados en CloudWatch Logs. De forma predeterminada, CloudWatch Logs usa el cifrado del lado del servidor para los datos de registro en reposo. Como alternativa, puedes usar AWS Key Management Service para este cifrado. Si lo haces, el cifrado se realiza con una clave de AWS KMS. El cifrado con AWS KMS se habilita a nivel de grupo de registros asociando una clave de KMS a un grupo de registros, ya sea al crear el grupo de registros o después de que exista. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todos los grupos de registros de Amazon CloudWatch Logs estén encriptados con KMS
|
|
Descripción del hallazgo: Este control comprueba si los registros de CloudTrail están configurados para enviar registros a CloudWatch Logs. El control falla si la propiedad CloudWatchLogsLogGroupArn del registro de seguimiento está vacía. CloudTrail registra las llamadas a la API de AWS que se realizan en una cuenta determinada. La información registrada incluye lo siguiente:
CloudTrail usa Amazon S3 para almacenar y enviar archivos de registro. Puedes recoger registros de CloudTrail en un segmento de S3 específico para analizarlos a largo plazo. Para hacer análisis en tiempo real, puedes configurar CloudTrail para que envíe registros a CloudWatch Logs. En el caso de un registro habilitado en todas las regiones de una cuenta, CloudTrail envía los archivos de registro de todas esas regiones a un grupo de registros de CloudWatch Logs. Security Hub recomienda que envíes los registros de CloudTrail a CloudWatch Logs. Ten en cuenta que esta recomendación tiene como objetivo asegurar que la actividad de la cuenta se registre, se monitorice y se avise de forma adecuada. Puedes usar CloudWatch Logs para configurar esta opción con tus servicios de AWS. Esta recomendación no impide el uso de otra solución. Enviar registros de CloudTrail a CloudWatch Logs facilita el registro de actividad en tiempo real e histórico en función del usuario, la API, el recurso y la dirección IP. Puedes usar este enfoque para establecer alarmas y notificaciones de actividad anómala o sensible de la cuenta. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todos los registros de CloudTrail estén configurados para enviar registros a AWS CloudWatch
|
|
Descripción del hallazgo: Comprueba si el proyecto contiene las variables de entorno Las credenciales de autenticación Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que el texto de todos los proyectos que contienen las variables de entorno AWS_ACCESS_KEY_ID y AWS_SECRET_ACCESS_KEY no sea texto sin formato
|
|
Descripción del hallazgo: Comprueba si la URL de un repositorio de origen de Bitbucket de un proyecto de AWS CodeBuild contiene tokens de acceso personal o un nombre de usuario y una contraseña. El control falla si la URL del repositorio de origen de Bitbucket contiene tokens de acceso personal o un nombre de usuario y una contraseña. Las credenciales de inicio de sesión no deben almacenarse ni transmitirse en texto claro ni aparecer en la URL del repositorio de origen. En lugar de usar tokens de acceso personal o credenciales de inicio de sesión, debes acceder a tu proveedor de origen en CodeBuild y cambiar la URL de tu repositorio de origen para que solo contenga la ruta a la ubicación del repositorio de Bitbucket. El uso de tokens de acceso personal o de credenciales de inicio de sesión podría dar lugar a la exposición de datos no deseada o al acceso no autorizado. Nivel de precios: Enterprise Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba que todos los proyectos que tengan GitHub o Bitbucket como origen usen OAuth
|
|
Descripción del hallazgo: Los usuarios de AWS IAM pueden acceder a los recursos de AWS con diferentes tipos de credenciales, como contraseñas o claves de acceso. Se recomienda desactivar o eliminar todas las credenciales que no se hayan usado durante 45 días o más. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que las credenciales que no se hayan usado durante 45 días o más estén inhabilitadas
|
|
Descripción del hallazgo: Una VPC incluye un grupo de seguridad predeterminado cuya configuración inicial deniega todo el tráfico entrante, permite todo el tráfico saliente y permite todo el tráfico entre las instancias asignadas al grupo de seguridad. Si no especificas un grupo de seguridad al lanzar una instancia, se le asignará automáticamente este grupo de seguridad predeterminado. Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que el grupo de seguridad predeterminado restrinja todo el tráfico. La VPC predeterminada de cada región debe tener su grupo de seguridad predeterminado actualizado para cumplir los requisitos. Las VPCs que se creen contendrán automáticamente un grupo de seguridad predeterminado que deberá corregirse para cumplir esta recomendación. NOTA: Al implementar esta recomendación, el registro de flujo de VPC es muy útil para determinar el acceso a los puertos con los mínimos accesos que necesitan los sistemas para funcionar correctamente, ya que puede registrar todas las aceptaciones y rechazos de paquetes que se producen en los grupos de seguridad actuales. Esto reduce drásticamente la principal barrera para la ingeniería de mínimos accesos: descubrir los puertos mínimos que necesitan los sistemas del entorno. Aunque la recomendación de registro de flujos de VPC de este benchmark no se adopte como medida de seguridad permanente, debe usarse durante cualquier periodo de descubrimiento e ingeniería para los grupos de seguridad con los mínimos accesos. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que el grupo de seguridad predeterminado de cada VPC restrinja todo el tráfico
|
|
Descripción del hallazgo: Comprueba si las instancias de replicación de AWS DMS son públicas. Para ello, examina el valor del campo Una instancia de replicación privada tiene una dirección IP privada a la que no puedes acceder fuera de la red de replicación. Una instancia de replicación debe tener una dirección IP privada cuando las bases de datos de origen y de destino se encuentran en la misma red. La red también debe estar conectada a la VPC de la instancia de replicación mediante una VPN, AWS Direct Connect o un emparejamiento de VPC. Para obtener más información sobre las instancias de replicación públicas y privadas, consulta el artículo Instancias de replicación públicas y privadas de la guía de usuario de AWS Database Migration Service. También debes asegurarte de que el acceso a la configuración de tu instancia de AWS DMS esté limitado únicamente a los usuarios autorizados. Para ello, restringe los permisos de gestión de identidades y accesos de los usuarios para modificar la configuración y los recursos de AWS DMS. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si las instancias de replicación de AWS Database Migration Service son públicas
|
|
Descripción del hallazgo: De forma predeterminada, la consola de AWS no tiene ninguna casilla seleccionada al crear un usuario de IAM. Al crear las credenciales de usuario de IAM, debes determinar qué tipo de acceso necesitan. Acceso programático: es posible que el usuario de IAM deba hacer llamadas a la API, usar la CLI de AWS o usar las herramientas de Windows PowerShell. En ese caso, crea una clave de acceso (ID de clave de acceso y clave de acceso secreta) para ese usuario. Acceso a la consola de administración de AWS: si el usuario necesita acceder a la consola de administración de AWS, crea una contraseña para él. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
No configures las claves de acceso durante la configuración inicial de todos los usuarios de IAM que tengan una contraseña de consola
|
|
Descripción del hallazgo: Comprueba si una tabla de Amazon DynamoDB puede escalar su capacidad de lectura y escritura según sea necesario. Este control se supera si la tabla usa el modo de capacidad bajo demanda o el modo aprovisionado con el autoescalado configurado. Si se escala la capacidad en función de la demanda, se evitan las excepciones de limitación, lo que ayuda a mantener la disponibilidad de las aplicaciones. Las tablas de DynamoDB en modo de capacidad bajo demanda solo están limitadas por las cuotas de tabla predeterminadas de rendimiento de DynamoDB. Para aumentar estas cuotas, puedes abrir una incidencia a través de AWS Support. Las tablas de DynamoDB en modo aprovisionado con autoescalado ajustan la capacidad de procesamiento reservada de forma dinámica en respuesta a los patrones de tráfico. Para obtener más información sobre la limitación de solicitudes de DynamoDB, consulta el artículo sobre la limitación de solicitudes y la capacidad de ráfaga de la guía para desarrolladores de Amazon DynamoDB. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Las tablas de DynamoDB deberían escalar automáticamente la capacidad según la demanda
|
|
Descripción del hallazgo: Este control evalúa si una tabla de DynamoDB está cubierta por un plan de copia de seguridad. El control falla si una tabla de DynamoDB no está cubierta por un plan de copia de seguridad. Este control solo evalúa las tablas de DynamoDB que están en estado ACTIVE. Las copias de seguridad te ayudan a recuperarte más rápidamente de un incidente de seguridad. También refuerzan la resiliencia de tus sistemas. Incluir tablas de DynamoDB en un plan de copias de seguridad te ayuda a proteger tus datos frente a pérdidas o eliminaciones no deseadas. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Las tablas de DynamoDB deben estar cubiertas por un plan de copia de seguridad
|
|
Descripción del hallazgo: La recuperación a un momento dado (PITR) es uno de los mecanismos disponibles para crear copias de seguridad de las tablas de DynamoDB. La copia de seguridad de un momento concreto se conserva durante 35 días. Si necesitas conservar los datos durante más tiempo, consulta el artículo Configurar copias de seguridad programadas para Amazon DynamoDB con AWS Backup en la documentación de AWS. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que la recuperación a un momento dado (PITR) esté habilitada en todas las tablas de AWS DynamoDB
|
|
Descripción del hallazgo: Comprueba si todas las tablas de DynamoDB están encriptadas con una clave de KMS gestionada por el cliente (no predeterminada). Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todas las tablas de DynamoDB estén encriptadas con AWS Key Management Service (KMS)
|
|
Descripción del hallazgo: Comprueba si la optimización de EBS está habilitada en tus instancias de EC2 que se pueden optimizar para EBS Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que la optimización de EBS esté habilitada en todas las instancias que admiten la optimización de EBS
|
|
Descripción del hallazgo: Comprueba si las capturas de Amazon Elastic Block Store no son públicas. El control falla si cualquier usuario puede restaurar las capturas de Amazon EBS. Las instantáneas de EBS se utilizan para hacer copias de seguridad de los datos de tus volúmenes de EBS en Amazon S3 en un momento concreto. Puedes usar las instantáneas para restaurar estados anteriores de volúmenes de EBS. No suele ser aceptable compartir una instantánea con el público. Normalmente, la decisión de compartir una instantánea públicamente se toma por error o sin comprender del todo las implicaciones. Esta comprobación ayuda a asegurar que todo el contenido se ha compartido de forma totalmente planificada e intencionada. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Las capturas de Amazon EBS no deben poder restaurarse públicamente
|
|
Descripción del hallazgo: Elastic Compute Cloud (EC2) admite el cifrado en reposo cuando se usa el servicio Elastic Block Store (EBS). Aunque está inhabilitado de forma predeterminada, se puede forzar el cifrado al crear volúmenes de EBS. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que el encriptado de volúmenes de EBS esté habilitado en todas las regiones
|
|
Descripción del hallazgo: Amazon VPC ofrece más funciones de seguridad que EC2 Classic. Se recomienda que todos los nodos pertenezcan a una VPC de Amazon. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Se asegura de que todas las instancias pertenezcan a una VPC
|
|
Descripción del hallazgo: Las instancias de EC2 que tienen una dirección IP pública corren un mayor riesgo de vulneración. Se recomienda no configurar las instancias de EC2 con una dirección IP pública. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Se asegura de que ninguna instancia tenga una IP pública
|
|
Descripción del hallazgo: Una asociación de State Manager es una configuración que se asigna a tus instancias gestionadas. La configuración define el estado que quieres mantener en tus instancias. Por ejemplo, una asociación puede especificar que el software antivirus debe estar instalado y ejecutándose en tus instancias, o que ciertos puertos deben estar cerrados. Las instancias de EC2 que tienen una asociación con AWS Systems Manager están gestionadas por Systems Manager, lo que facilita la aplicación de parches, la corrección de configuraciones erróneas y la respuesta a eventos de seguridad. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba el estado de cumplimiento de la asociación de AWS Systems Manager
|
|
Descripción del hallazgo: Este control comprueba si el estado de cumplimiento de la asociación de AWS Systems Manager es COMPLIANT o NON_COMPLIANT después de que la asociación se ejecute en una instancia. El control falla si el estado de cumplimiento de la asociación es NON_COMPLIANT. Una asociación de State Manager es una configuración que se asigna a tus instancias gestionadas. La configuración define el estado que quieres mantener en tus instancias. Por ejemplo, una asociación puede especificar que el software antivirus debe estar instalado y ejecutándose en tus instancias o que ciertos puertos deben estar cerrados. Después de crear una o varias asociaciones de State Manager, la información sobre el estado de cumplimiento estará disponible de inmediato. Puedes consultar el estado de cumplimiento en la consola o en respuesta a los comandos de la CLI de AWS o a las acciones correspondientes de la API de Systems Manager. En el caso de las asociaciones, Cumplimiento de la configuración muestra el estado de cumplimiento (Cumple o No cumple). También se muestra el nivel de gravedad asignado a la asociación, como Crítica o Media. Para obtener más información sobre el cumplimiento de las asociaciones de State Manager, consulta Acerca del cumplimiento de las asociaciones de State Manager en la guía de usuario de AWS Systems Manager. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba el estado de cumplimiento de parches de AWS Systems Manager
|
|
Descripción del hallazgo: Al habilitar el servicio de metadatos en instancias de AWS EC2, los usuarios pueden usar la versión 1 del servicio de metadatos de instancias (IMDSv1, un método de solicitud/respuesta) o la versión 2 del servicio de metadatos de instancias (IMDSv2, un método orientado a sesiones). Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que el servicio de metadatos de EC2 solo permita IMDSv2
|
|
Descripción del hallazgo: Identificar y eliminar volúmenes de Elastic Block Store (EBS) no conectados (sin usar) en tu cuenta de AWS para reducir el coste de tu factura mensual de AWS. Eliminar los volúmenes de EBS que no se usan también reduce el riesgo de que los datos confidenciales o sensibles salgan de tus instalaciones. Además, este control también comprueba si las instancias de EC2 archivadas están configuradas para eliminar volúmenes cuando finalicen. De forma predeterminada, las instancias de EC2 están configuradas para eliminar los datos de cualquier volumen de EBS asociado a la instancia y para eliminar el volumen de EBS raíz de la instancia. Sin embargo, los volúmenes de EBS que no sean raíz y que estén vinculados a la instancia, ya sea en el momento del lanzamiento o durante la ejecución, se conservan de forma predeterminada después de la finalización. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si los volúmenes de EBS están conectados a instancias de EC2 y configurados para eliminarse cuando finalice la instancia
|
|
Descripción del hallazgo: Amazon EFS admite dos formas de cifrado para los sistemas de archivos: el cifrado de datos en tránsito y el cifrado en reposo. Comprueba que todos los sistemas de archivos de EFS estén configurados con el cifrado en reposo en todas las regiones habilitadas de la cuenta. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si EFS está configurado para encriptar datos de archivos con KMS
|
|
Descripción del hallazgo: Las prácticas recomendadas de Amazon recomiendan configurar copias de seguridad para tus sistemas de archivos elásticos (EFS). Esto comprueba todos los EFS de todas las regiones habilitadas de tu cuenta de AWS para ver si hay copias de seguridad habilitadas. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si los sistemas de archivos de EFS están incluidos en los planes de AWS Backup
|
|
Descripción del hallazgo: Comprueba si el balanceador de carga clásico usa certificados HTTPS/SSL proporcionados por AWS Certificate Manager (ACM). El control falla si el balanceador de carga clásico configurado con un procesador HTTPS/SSL no usa un certificado proporcionado por ACM. Para crear un certificado, puedes usar ACM o una herramienta que admita los protocolos SSL y TLS, como OpenSSL. Centro de Seguridad recomienda usar ACM para crear o importar certificados para tu balanceador de carga. ACM se integra con los balanceadores de carga clásicos para que puedas desplegar el certificado en tu balanceador de carga. También deberías renovar automáticamente estos certificados. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todos los balanceadores de carga clásicos usen certificados SSL proporcionados por AWS Certificate Manager
|
|
Descripción del hallazgo: Comprueba si un balanceador de carga de aplicación tiene habilitada la protección contra la eliminación. El control falla si no se ha configurado la protección contra la eliminación. Habilita la protección contra la eliminación para proteger tu balanceador de carga de aplicación. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
La protección contra la eliminación del balanceador de carga de aplicación debe estar habilitada
|
|
Descripción del hallazgo: Comprueba si el balanceador de carga de aplicación y el balanceador de carga clásico tienen el registro habilitado. El control falla si access_logs.s3.enabled es false. Elastic Load Balancing proporciona registros de acceso que recogen información detallada sobre las solicitudes enviadas a tu balanceador de carga. Cada registro contiene información como la hora en que se recibió la solicitud, la dirección IP del cliente, las latencias, las rutas de solicitud y las respuestas del servidor. Puedes usar estos registros de acceso para analizar patrones de tráfico y solucionar problemas. Para obtener más información, consulta Registros de acceso de Classic Load Balancer en la guía de usuario de Classic Load Balancer. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si los balanceadores de carga de aplicación y los clásicos tienen el registro habilitado
|
|
Descripción del hallazgo: Esta comprobación asegura que todos los balanceadores de carga clásicos estén configurados para usar una comunicación segura. Un agente de escucha es un proceso que comprueba las solicitudes de conexión. Se configura con un protocolo y un puerto para las conexiones de frontend (del cliente al balanceador de carga) y un protocolo y un puerto para las conexiones de backend (del balanceador de carga a la instancia). Para obtener información sobre los puertos, los protocolos y las configuraciones de escucha que admite Elastic Load Balancing, consulta el artículo Listeners for your Classic Load Balancer (Agentes de escucha para Classic Load Balancer). Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todos los balanceadores de carga clásicos estén configurados con procesadores SSL o HTTPS
|
|
Descripción del hallazgo: Comprueba si los volúmenes de EBS que están conectados están cifrados. Para superar esta comprobación, los volúmenes de EBS deben estar en uso y encriptados. Si el volumen de EBS no está conectado, no se somete a esta comprobación. Para añadir una capa de seguridad a tus datos sensibles en volúmenes de EBS, debes habilitar el cifrado en reposo de EBS. El cifrado de Amazon EBS ofrece una solución de cifrado sencilla para tus recursos de EBS que no requiere que crees, mantengas ni protejas tu propia infraestructura de gestión de claves. Usa claves de KMS al crear volúmenes e instantáneas cifrados. Para obtener más información sobre el cifrado de Amazon EBS, consulta el artículo sobre el cifrado de Amazon EBS de la guía de usuario de Amazon EC2 para instancias de Linux. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Los volúmenes de Amazon EBS conectados deben estar encriptados en reposo
|
|
Descripción del hallazgo: Las instancias de base de datos cifradas de Amazon RDS usan el algoritmo de cifrado AES-256, que es el estándar del sector, para cifrar los datos en el servidor que aloja las instancias de base de datos de Amazon RDS. Una vez que se han cifrado tus datos, Amazon RDS gestiona la autenticación del acceso y el descifrado de tus datos de forma transparente con un impacto mínimo en el rendimiento. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que el encriptado en reposo esté habilitado en las instancias de RDS
|
|
Descripción del hallazgo: Los datos de EFS deben cifrarse en reposo con AWS KMS (servicio de gestión de claves). Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que el encriptado esté habilitado en los sistemas de archivos de EFS
|
|
Descripción del hallazgo: AWS permite definir políticas de contraseñas personalizadas en tu cuenta de AWS para especificar los requisitos de complejidad y los periodos de rotación obligatorios de las contraseñas de tus usuarios de IAM. Si no defines una política de contraseñas personalizada, las contraseñas de los usuarios de IAM deben cumplir la política de contraseñas predeterminada de AWS. Las prácticas recomendadas de seguridad de AWS recomiendan los siguientes requisitos de complejidad de las contraseñas:
Este control comprueba todos los requisitos de la política de contraseñas especificados. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la política de contraseñas de la cuenta de los usuarios de IAM cumple los requisitos especificados
|
|
Descripción del hallazgo: Las políticas de contraseñas de gestión de identidades y accesos (IAM) pueden impedir que un mismo usuario reutilice una contraseña determinada. Se recomienda que la política de contraseñas impida que se reutilicen las contraseñas. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que la política de contraseñas de IAM impida que se reutilicen las contraseñas
|
|
Descripción del hallazgo: Las políticas de contraseñas se usan, en parte, para implementar requisitos de complejidad de las contraseñas. Las políticas de contraseñas de IAM se pueden usar para asegurarse de que las contraseñas tengan una longitud mínima determinada. Se recomienda que la política de contraseñas requiera una longitud mínima de 14 caracteres. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que la política de contraseñas de IAM requiera una longitud mínima de 14 caracteres
|
|
Descripción del hallazgo: Las políticas de gestión de identidades y accesos (IAM) son el medio por el que se conceden privilegios a usuarios, grupos o roles. Se recomienda y se considera un consejo de seguridad estándar conceder los mínimos accesos, es decir, solo los permisos necesarios para realizar una tarea. Determina qué deben hacer los usuarios y, a continuación, crea políticas que les permitan realizar solo esas tareas, en lugar de concederles privilegios de administrador completos. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que no se hayan asociado políticas de IAM que permitan privilegios administrativos completos de "*:*"
|
|
Descripción del hallazgo: A los usuarios de IAM se les concede acceso a servicios, funciones y datos mediante políticas de IAM. Hay cuatro formas de definir políticas para un usuario: 1) editar la política de usuario directamente, también conocida como política insertada o de usuario; 2) adjuntar una política directamente a un usuario; 3) añadir el usuario a un grupo de gestión de identidades y accesos que tenga una política adjunta; 4) añadir el usuario a un grupo de gestión de identidades y accesos que tenga una política insertada. Solo se recomienda la tercera implementación. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que los usuarios de IAM solo reciban permisos a través de grupos
|
|
Descripción del hallazgo: Los usuarios de IAM siempre deben formar parte de un grupo de IAM para cumplir las prácticas recomendadas de seguridad de IAM. Si añades usuarios a un grupo, puedes compartir políticas entre tipos de usuarios. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si los usuarios de IAM son miembros de al menos un grupo de IAM
|
|
Descripción del hallazgo: La autenticación multifactor (MFA) es una práctica recomendada que añade una capa de protección adicional a los nombres de usuario y las contraseñas. Con la MFA, cuando un usuario inicia sesión en la consola de gestión de AWS, debe proporcionar un código de autenticación que caduca al cabo de un tiempo y que se proporciona mediante un dispositivo virtual o físico registrado. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si los usuarios de AWS IAM tienen habilitada la autenticación multifactor (MFA)
|
|
Descripción del hallazgo: Comprueba si hay contraseñas de IAM o claves de acceso activas que no se hayan usado en los últimos 90 días. Las prácticas recomendadas sugieren que quites, desactives o rotes todas las credenciales que no se hayan usado durante 90 días o más. De esta forma, se reduce la posibilidad de que se usen las credenciales asociadas a una cuenta vulnerada o abandonada. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todos los usuarios de AWS IAM tengan contraseñas o claves de acceso activas que no se hayan usado en maxCredentialUsageAge días (90 días de forma predeterminada)
|
|
Descripción del hallazgo: Este control comprueba si se ha programado la eliminación de claves de KMS. El control falla si se ha programado la eliminación de una clave de KMS. Las claves de KMS no se pueden recuperar una vez eliminadas. Los datos cifrados con una clave de KMS tampoco se podrán recuperar de forma permanente si se elimina la clave de KMS. Si se han cifrado datos significativos con una clave de KMS cuya eliminación se ha programado, puedes descifrar los datos o volver a cifrarlos con una nueva clave de KMS, a menos que estés realizando un borrado criptográfico de forma intencionada. Cuando se programa la eliminación de una clave de KMS, se aplica un periodo de espera obligatorio para que haya tiempo de revertir la eliminación si se ha programado por error. El periodo de espera predeterminado es de 30 días, pero se puede reducir a 7 días cuando se programa la eliminación de la clave de KMS. Durante el periodo de espera, se puede cancelar la eliminación programada y la clave de KMS no se eliminará. Para obtener más información sobre cómo eliminar claves de KMS, consulta el artículo Eliminar claves de KMS de la guía para desarrolladores de AWS Key Management Service. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que no se haya programado la eliminación de todos los CMKs
|
|
Descripción del hallazgo: Comprueba si la función Lambda está configurada con un límite de ejecución simultánea a nivel de función. La regla es NON_COMPLIANT si la función de Lambda no está configurada con un límite de ejecución simultánea a nivel de función. Nivel de precios: Enterprise Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba si las funciones de Lambda están configuradas con un límite de ejecución simultánea a nivel de función
|
|
Descripción del hallazgo: Comprueba si una función de Lambda está configurada con una cola de mensajes fallidos. La regla es NON_COMPLIANT si la función de Lambda no está configurada con una cola de mensajes fallidos. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si las funciones de Lambda están configuradas con una cola de mensajes fallidos
|
|
Descripción del hallazgo: Las prácticas recomendadas de AWS recomiendan que la función Lambda no se exponga públicamente. Esta política comprueba todas las funciones Lambda desplegadas en todas las regiones habilitadas de tu cuenta y fallará si están configuradas para permitir el acceso público. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la política adjunta a la función Lambda prohíbe el acceso público
|
|
Descripción del hallazgo: Comprueba si una función Lambda está en una VPC. Es posible que veas hallazgos fallidos en los recursos de Lambda@Edge. No evalúa la configuración de enrutamiento de la subred de VPC para determinar la accesibilidad pública. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si las funciones Lambda existen en una VPC
|
|
Descripción del hallazgo: Una vez que se haya habilitado la eliminación de MFA en tu bucket de S3 sensible y clasificado, el usuario deberá tener dos formas de autenticación. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que la eliminación de MFA esté habilitada en los buckets de S3
|
|
Descripción del hallazgo: La cuenta de usuario "root" es el usuario con más privilegios de una cuenta de AWS. La autenticación multifactor (MFA) añade una capa de protección adicional al nombre de usuario y la contraseña. Con la MFA habilitada, cuando un usuario inicia sesión en un sitio web de AWS, se le pide su nombre de usuario y contraseña, así como un código de autenticación de su dispositivo de MFA de AWS. Nota: Cuando se usa la MFA virtual para cuentas raíz, se recomienda que el dispositivo utilizado NO sea un dispositivo personal, sino un dispositivo móvil específico (tablet o teléfono) que se gestione para que se mantenga cargado y protegido de forma independiente de cualquier dispositivo personal. ("MFA virtual no personal"). De esta forma, se reducen los riesgos de perder el acceso a la MFA debido a la pérdida o el cambio del dispositivo, o si la persona propietaria del dispositivo ya no trabaja en la empresa. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que la MFA esté habilitada para la cuenta de usuario raíz
|
|
Descripción del hallazgo: La autenticación multifactor (MFA) añade una capa adicional de seguridad de autenticación más allá de las credenciales tradicionales. Con la MFA habilitada, cuando un usuario inicie sesión en la consola de AWS, se le pedirá su nombre de usuario y contraseña, así como un código de autenticación de su token de MFA físico o virtual. Se recomienda habilitar la MFA en todas las cuentas que tengan una contraseña de consola. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que la autenticación multifactor (MFA) esté habilitada para todos los usuarios de IAM que tengan una contraseña de consola
|
|
Descripción del hallazgo: La función de lista de control de acceso de red (NACL) proporciona un filtrado sin estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ninguna LCA de red permita el acceso de entrada sin restricciones a los puertos de administración de servidores remotos, como el puerto Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que ninguna LCA de red permita la entrada desde 0.0.0.0/0 a los puertos de administración de servidores remotos
|
|
Descripción del hallazgo: La cuenta de usuario "root" es el usuario con más privilegios de una cuenta de AWS. Las claves de acceso de AWS proporcionan acceso programático a una cuenta de AWS determinada. Se recomienda eliminar todas las claves de acceso asociadas a la cuenta de usuario raíz. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que no haya ninguna clave de acceso de la cuenta de usuario raíz
|
|
Descripción del hallazgo: Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones a los puertos de administración de servidores remotos, como SSH al puerto Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que ningún grupo de seguridad permita la entrada desde 0.0.0.0/0 a los puertos de administración de servidores remotos
|
|
Descripción del hallazgo: Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones a los puertos de administración de servidores remotos, como SSH al puerto Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que ningún grupo de seguridad permita la entrada desde ::/0 a los puertos de administración de servidores remotos
|
|
Descripción del hallazgo: Las claves de acceso son credenciales a largo plazo para un usuario de IAM o para el usuario raíz de la cuenta de AWS. Puedes usar claves de acceso para firmar solicitudes programáticas a la CLI de AWS o a la API de AWS (directamente o mediante el SDK de AWS). Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que solo haya una clave de acceso activa disponible para cada usuario de IAM
|
|
Descripción del hallazgo: Asegúrate de que las instancias de base de datos de RDS aprovisionadas en tu cuenta de AWS restrinjan el acceso no autorizado para minimizar los riesgos de seguridad. Para restringir el acceso a cualquier instancia de base de datos de RDS de acceso público, debes inhabilitar la marca Publicly Accessible de la base de datos y actualizar el grupo de seguridad de VPC asociado a la instancia. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que no se haya dado acceso público a la instancia de RDS
|
|
Descripción del hallazgo: La monitorización mejorada proporciona métricas en tiempo real sobre el sistema operativo en el que se ejecuta la instancia de RDS, a través de un agente instalado en la instancia. Para obtener más información, consulta Monitorizar métricas de SO con Monitorización mejorada. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la monitorización mejorada está habilitada en todas las instancias de bases de datos de RDS
|
|
Descripción del hallazgo: Habilitar la protección contra la eliminación de instancias es una capa adicional de protección contra la eliminación accidental de bases de datos o la eliminación por parte de una entidad no autorizada. Mientras la protección contra la eliminación esté habilitada, no se podrá eliminar una instancia de base de datos de RDS. Para que una solicitud de eliminación se complete correctamente, la protección contra la eliminación debe estar inhabilitada. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si todas las instancias de RDS tienen habilitada la protección contra la eliminación
|
|
Descripción del hallazgo: Esta comprobación evalúa si las instancias de bases de datos de Amazon RDS están cubiertas por un plan de copias de seguridad. Este control falla si una instancia de base de datos de RDS no está cubierta por un plan de copias de seguridad. AWS Backup es un servicio de respaldo totalmente gestionado que centraliza y automatiza la creación de copias de seguridad de datos en los servicios de AWS. Con AWS Backup, puedes crear políticas de copia de seguridad, llamadas planes de copia de seguridad. Puedes usar estos planes para definir tus requisitos de copia de seguridad, como la frecuencia con la que se crean copias de seguridad de tus datos y durante cuánto tiempo se conservan. Incluir instancias de bases de datos de RDS en un plan de copias de seguridad te ayuda a proteger tus datos frente a pérdidas o eliminaciones no deseadas. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Las instancias de bases de datos de RDS deben estar cubiertas por un plan de copias de seguridad
|
|
Descripción del hallazgo: Comprueba si los siguientes registros de Amazon RDS están habilitados y se envían a CloudWatch. Las bases de datos de RDS deben tener habilitados los registros pertinentes. Los registros de bases de datos ofrecen información detallada sobre las solicitudes que ha recibido RDS. Los registros de bases de datos pueden ayudar con las auditorías de seguridad y acceso, así como a diagnosticar problemas de disponibilidad. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si los registros exportados están habilitados en todas las instancias de bases de datos de RDS
|
|
Descripción del hallazgo: Las instancias de bases de datos de RDS deben configurarse para varias zonas de disponibilidad. De esta forma, se asegura la disponibilidad de los datos almacenados. Los despliegues en varias zonas de disponibilidad permiten la conmutación por error automática si hay un problema con la disponibilidad de la zona de disponibilidad y durante el mantenimiento habitual de RDS. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si la alta disponibilidad está habilitada en todas las instancias de bases de datos de RDS
|
|
Descripción del hallazgo: Comprueba los elementos esenciales de un clúster de Redshift: cifrado en reposo, almacenamiento de registros y tipo de nodo. Estos elementos de configuración son importantes para mantener un clúster de Redshift seguro y observable. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todos los clústeres de Redshift tengan encriptado en reposo, almacenamiento de registros y tipo de nodo.
|
|
Descripción del hallazgo: Las actualizaciones automáticas de versiones principales se realizan según la ventana de mantenimiento Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todos los clústeres de Redshift tengan habilitada la opción allowVersionUpgrade y que se hayan establecido preferredMaintenanceWindow y automatedSnapshotRetentionPeriod
|
|
Descripción del hallazgo: El atributo PubliclyAccessible de la configuración del clúster de Amazon Redshift indica si el clúster es de acceso público. Cuando el clúster se configura con el valor PubliclyAccessible establecido en true, se trata de una instancia orientada a Internet que tiene un nombre de DNS que se puede resolver públicamente y que se resuelve en una dirección IP pública. Si el clúster no es de acceso público, se trata de una instancia interna con un nombre de DNS que se resuelve en una dirección IP privada. A menos que quieras que tu clúster sea de acceso público, no debes configurarlo con el valor PubliclyAccessible establecido en true. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si los clústeres de Redshift son de acceso público
|
|
Descripción del hallazgo: Se comprueba si el tráfico entrante sin restricciones de los grupos de seguridad puede acceder a los puertos especificados que tienen el mayor riesgo. Este control falla si alguna de las reglas de un grupo de seguridad permite el tráfico de entrada desde "0.0.0.0/0" o "::/0" para esos puertos. El acceso sin restricciones (0.0.0.0/0) aumenta las posibilidades de que se produzcan actividades maliciosas, como hackeos, ataques de denegación de servicio y pérdida de datos. Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Ningún grupo de seguridad debe permitir el acceso de entrada sin restricciones a los siguientes puertos:
Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Los grupos de seguridad no deben permitir el acceso sin restricciones a puertos de alto riesgo
|
|
Descripción del hallazgo: Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. CIS recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones al puerto 22. Si se elimina la conectividad sin restricciones a los servicios de consola remota, como SSH, se reduce la exposición de un servidor a los riesgos. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Los grupos de seguridad no deben permitir la entrada desde 0.0.0.0/0 al puerto 22
|
|
Descripción del hallazgo: Comprueba si la rotación automática de claves está habilitada para cada clave y coincide con el ID de clave de la clave de AWS KMS creada por el cliente. La regla es NON_COMPLIANT si el rol de grabadora de AWS Config de un recurso no tiene el permiso kms:DescribeKey. Nivel de precios: Enterprise Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba que la rotación de las CMKs creadas por el cliente esté habilitada
|
|
Descripción del hallazgo: AWS Key Management Service (KMS) permite a los clientes rotar la clave de respaldo, que es el material de clave almacenado en el KMS que está vinculado al ID de clave de la clave maestra de cliente (CMK) creada por el cliente. Es la clave de respaldo que se usa para realizar operaciones criptográficas, como el cifrado y el descifrado. La rotación de claves automatizada conserva todas las claves de respaldo anteriores para que el descifrado de los datos cifrados se pueda realizar de forma transparente. Se recomienda habilitar la rotación de claves CMK para las claves simétricas. No se puede habilitar la rotación de claves en ninguna CMK asimétrica. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que la rotación de las CMKs simétricas creadas por el cliente esté habilitada
|
|
Descripción del hallazgo: Comprueba si las tablas de rutas del emparejamiento de VPCs están configuradas con el principio de los mínimos accesos. Nivel de precios: Enterprise Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Asegúrate de que las tablas de enrutamiento del emparejamiento de VPCs tengan el nivel de acceso mínimo
|
|
Descripción del hallazgo: La función de bloqueo de acceso público de Amazon S3 ofrece ajustes para puntos de acceso, buckets y cuentas que te ayudan a gestionar el acceso público a los recursos de Amazon S3. De forma predeterminada, los nuevos buckets, puntos de acceso y objetos no permiten el acceso público. Nivel de precios: Enterprise Esta categoría de hallazgo no está asignada a ningún estándar de cumplimiento. |
Comprueba si la configuración de bloqueo de acceso público de S3 necesaria está definida a nivel de cuenta
|
|
Descripción del hallazgo: Amazon S3 ofrece Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que los buckets de S3 estén configurados con
|
|
Descripción del hallazgo: El registro de acceso a segmentos de S3 genera un registro que contiene los registros de acceso de cada solicitud realizada a tu segmento de S3. Un registro de acceso contiene detalles sobre la solicitud, como el tipo de solicitud, los recursos especificados en la solicitud y la hora y la fecha en que se procesó la solicitud. Se recomienda habilitar el almacenamiento de registros de acceso al bucket de S3 de CloudTrail. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que el almacenamiento de registros de acceso al bucket de S3 esté habilitado en el bucket de S3 de CloudTrail
|
|
Descripción del hallazgo: La función de registro de acceso al servidor de AWS S3 registra las solicitudes de acceso a los segmentos de almacenamiento, lo que resulta útil para las auditorías de seguridad. De forma predeterminada, el registro de acceso al servidor no está habilitado en los buckets de S3. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el almacenamiento de registros está habilitado en todos los buckets de S3
|
|
Descripción del hallazgo: A nivel de segmento de Amazon S3, puedes configurar permisos mediante una política de segmentos que permita acceder a los objetos solo a través de HTTPS. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que la política de buckets de S3 esté configurada para denegar las solicitudes HTTP
|
|
Descripción del hallazgo: Este control comprueba si un bucket de Amazon S3 tiene habilitada la opción Replicación entre regiones. El control falla si el segmento no tiene habilitada la opción Replicación entre regiones o si también tiene habilitada la opción Replicación en la misma región. La replicación es la copia automática y asíncrona de objetos entre segmentos de la misma región de AWS o de regiones diferentes. La replicación copia los objetos recién creados y las actualizaciones de objetos de un segmento de origen a uno o varios segmentos de destino. Las prácticas recomendadas de AWS recomiendan la replicación de los segmentos de origen y de destino que pertenecen a la misma cuenta de AWS. Además de la disponibilidad, debes tener en cuenta otros ajustes de refuerzo de los sistemas. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si los buckets de S3 tienen habilitada la opción Replicación entre regiones
|
|
Descripción del hallazgo: Comprueba que el bucket de S3 tenga habilitado el cifrado predeterminado de Amazon S3 o que la política de buckets de S3 deniegue explícitamente las solicitudes de colocación de objetos sin cifrado del lado del servidor. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que todos los buckets de S3 usen el encriptado en reposo
|
|
Descripción del hallazgo: Amazon S3 es un medio para mantener varias variantes de un objeto en el mismo segmento y puede ayudarte a recuperarte más fácilmente de acciones de usuario no deseadas y de fallos de aplicaciones. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que la gestión de versiones esté habilitada en todos los buckets de S3
|
|
Descripción del hallazgo: Comprueba si los buckets de Amazon S3 están cifrados con AWS Key Management Service (AWS KMS) Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todos los buckets estén encriptados con KMS
|
|
Descripción del hallazgo: Comprueba si se ha configurado una clave de AWS Key Management Service (AWS KMS) para una instancia de bloc de notas de Amazon SageMaker. La regla es NON_COMPLIANT si no se especifica "KmsKeyId" en la instancia de bloc de notas de SageMaker. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todas las instancias de bloc de notas de SageMaker estén configuradas para usar KMS
|
|
Descripción del hallazgo: Comprueba si el acceso directo a Internet está inhabilitado en una instancia de bloc de notas de SageMaker. Para ello, comprueba si el campo DirectInternetAccess está inhabilitado en la instancia de bloc de notas. Si configuras tu instancia de SageMaker sin una VPC, el acceso directo a Internet estará habilitado de forma predeterminada en tu instancia. Debes configurar tu instancia con una VPC y cambiar el ajuste predeterminado a Inhabilitar: acceder a Internet a través de una VPC. Para entrenar o alojar modelos desde un cuaderno, necesitas acceso a Internet. Para habilitar el acceso a Internet, asegúrate de que tu VPC tenga una pasarela NAT y de que tu grupo de seguridad permita las conexiones salientes. Para obtener más información sobre cómo conectar una instancia de cuaderno a recursos de una VPC, consulta el artículo sobre cómo conectar una instancia de cuaderno a recursos de una VPC de la guía para desarrolladores de Amazon SageMaker. También debes asegurarte de que el acceso a tu configuración de SageMaker esté limitado únicamente a los usuarios autorizados. Restringe los permisos de gestión de identidades y accesos de los usuarios para modificar la configuración y los recursos de SageMaker. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba si el acceso a Internet directo está inhabilitado en todas las instancias de bloc de notas de Amazon SageMaker
|
|
Descripción del hallazgo: Comprueba si un secreto almacenado en AWS Secrets Manager está configurado con rotación automática. El control falla si el secreto no está configurado con la rotación automática. Si proporcionas un valor personalizado para el parámetro Secrets Manager te ayuda a mejorar la posición de seguridad de tu organización. Los secretos incluyen credenciales de bases de datos, contraseñas y claves de API de terceros. Puedes usar Secrets Manager para almacenar secretos de forma centralizada, cifrarlos automáticamente, controlar el acceso a ellos y rotarlos de forma segura y automática. Secrets Manager puede rotar secretos. Puedes usar la rotación para sustituir los secretos a largo plazo por otros a corto plazo. La rotación de tus secretos limita el tiempo que un usuario no autorizado puede usar un secreto vulnerado. Por este motivo, debes rotar tus secretos con frecuencia. Para obtener más información sobre la rotación, consulta el artículo sobre cómo rotar los secretos de AWS Secrets Manager en la guía de usuario de AWS Secrets Manager. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todos los secretos de AWS Secrets Manager tengan la rotación habilitada
|
|
Descripción del hallazgo: Comprueba si un tema de SNS está cifrado en reposo con AWS KMS. Los controles fallan si un tema de SNS no usa una clave de KMS para el encriptado del lado del servidor (SSE). El cifrado de datos en reposo reduce el riesgo de que un usuario no autenticado en AWS acceda a los datos almacenados en el disco. También añade otro conjunto de controles de acceso para limitar la capacidad de los usuarios no autorizados de acceder a los datos. Por ejemplo, se necesitan permisos de API para descifrar los datos antes de poder leerlos. Los temas de SNS deben estar cifrados en reposo para añadir una capa de seguridad. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que todos los temas de SNS estén encriptados con KMS
|
|
Descripción del hallazgo: Este control comprueba si el grupo de seguridad predeterminado de una VPC permite el tráfico entrante o saliente. El control falla si el grupo de seguridad permite el tráfico entrante o saliente. Las reglas del grupo de seguridad predeterminado permiten todo el tráfico saliente y entrante de las interfaces de red (y sus instancias asociadas) que están asignadas al mismo grupo de seguridad. Te recomendamos que no uses el grupo de seguridad predeterminado. Como el grupo de seguridad predeterminado no se puede eliminar, debes cambiar la configuración de las reglas del grupo de seguridad predeterminado para restringir el tráfico entrante y saliente. De esta forma, se evita el tráfico no deseado si el grupo de seguridad predeterminado se configura accidentalmente para recursos como instancias de EC2. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que el grupo de seguridad predeterminado de cada VPC restrinja todo el tráfico
|
|
Descripción del hallazgo: Los registros de flujo de VPC son una función que te permite obtener información sobre el tráfico de IPs que entra y sale de las interfaces de red de tu VPC. Una vez que hayas creado un registro de flujo, podrás ver y obtener sus datos en Amazon CloudWatch Logs. Se recomienda habilitar los registros de flujo de VPC para los paquetes rechazados de las VPCs. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Asegúrate de que el registro de flujo de VPC esté habilitado en todas las VPCs
|
|
Descripción del hallazgo: Este control comprueba si un grupo de seguridad de Amazon EC2 permite el tráfico entrante sin restricciones desde puertos no autorizados. El estado de control se determina de la siguiente manera: Si usas el valor predeterminado de authorizedTcpPorts, el control fallará si el grupo de seguridad permite el tráfico entrante sin restricciones desde cualquier puerto que no sea el 80 o el 443. Si proporcionas valores personalizados para authorizedTcpPorts o authorizedUdpPorts, el control fallará si el grupo de seguridad permite el tráfico entrante sin restricciones desde cualquier puerto que no aparezca en la lista. Si no se usa ningún parámetro, el control fallará en cualquier grupo de seguridad que tenga una regla de tráfico entrante sin restricciones. Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a AWS. Las reglas de los grupos de seguridad deben seguir el principio de mínimos accesos. El acceso sin restricciones (dirección IP con un sufijo /0) aumenta la posibilidad de que se produzcan actividades maliciosas, como hackeos, ataques de denegación de servicio y pérdida de datos. A menos que se permita un puerto específico, el puerto debe denegar el acceso sin restricciones. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que cualquier grupo de seguridad con 0.0.0.0/0 de cualquier VPC solo permita tráfico TCP/UDP entrante específico
|
|
Descripción del hallazgo: Un túnel VPN es un enlace cifrado por el que pueden pasar datos de la red del cliente a AWS o viceversa dentro de una conexión VPN de sitio a sitio de AWS. Cada conexión VPN incluye dos túneles VPN que puedes usar simultáneamente para disfrutar de una alta disponibilidad. Asegurarse de que ambos túneles VPN estén activos para una conexión VPN es importante para confirmar que la conexión entre una VPC de AWS y tu red remota sea segura y tenga una alta disponibilidad. Este control comprueba que los dos túneles VPN proporcionados por la VPN de sitio a sitio de AWS estén activos. El control falla si uno o ambos túneles están en estado DOWN. Nivel de precios: Enterprise Security Command Center asigna este detector a los siguientes estándares de cumplimiento:
|
Comprueba que los dos túneles VPN de AWS proporcionados por la conexión de sitio a sitio de AWS estén activos
|
Hallazgos del servicio AI Discovery en AI Protection
El servicio AI Discovery es un servicio de detección de AI Protection que identifica componentes y riesgos en tu Google Cloud entorno relacionados con las aplicaciones de IA.
| Hallazgo | Resumen |
|---|---|
|
Descripción del hallazgo: se ha detectado un modelo fundacional en Gemini Enterprise Agent Platform y está protegido por Model Armor. Nivel de precios: Premium |
|
Descripción del hallazgo: un modelo fundacional de Gemini detectado en Gemini Enterprise Agent Platform no está protegido por Model Armor. Nivel de precios: Premium Para solucionar este hallazgo, configura Model Armor para el modelo detectado. Para obtener más información, consulta Crear y gestionar plantillas. |
|
Descripción del hallazgo: se ha detectado un modelo fundacional ajustado en Gemini Enterprise Agent Platform y está protegido por Model Armor. Nivel de precios: Premium |
|
Descripción del hallazgo: un modelo ajustado detectado en Gemini Enterprise Agent Platform no está protegido por Model Armor. Nivel de precios: Premium Para solucionar este hallazgo, configura Model Armor para el modelo detectado. Para obtener más información, consulta Crear y gestionar plantillas. |
Revisar los hallazgos en la consola de Google Cloud
-
En la consola de Google Cloud , ve a la página Hallazgos de Security Command Center.
- Selecciona tu Google Cloud proyecto u organización.
- En la sección Filtros rápidos, en el apartado Nombre visible de la fuente, selecciona AI Discovery Service. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
- Para ver los detalles de un hallazgo concreto, haz clic en su nombre en la columna Categoría. Se abrirá el panel de detalles del hallazgo y se mostrará la pestaña Resumen.
- En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se ha detectado, el recurso afectado y, si están disponibles, los pasos que puedes seguir para solucionar el hallazgo.
- Opcional: Para ver la definición JSON completa del hallazgo, haz clic en la pestaña JSON.
Resultados de Web Security Scanner
Los análisis personalizados y gestionados de Web Security Scanner identifican los siguientes tipos de hallazgos.
Los análisis personalizados y gestionados de Web Security Scanner identifican los siguientes tipos de hallazgos. En el nivel Standard-legacy, Web Security Scanner admite análisis personalizados de aplicaciones desplegadas con URLs e IPs públicas que no estén detrás de un cortafuegos.
| Categoría | Descripción del resultado | Categoría de resultado | 10 riesgos principales según el proyecto abierto de seguridad en aplicaciones web (OWASP) del 2017 | 10 riesgos principales según el proyecto abierto de seguridad en aplicaciones web (OWASP) del 2021 |
|---|---|---|---|---|
|
Un repositorio de Git está expuesto públicamente. Para solucionar este problema, elimina el acceso público no intencionado al repositorio de Git. Nivel de precios: Premium o Standard |
Vulnerabilidad | A5 | A01 |
|
Un repositorio SVN está expuesto públicamente. Para solucionar este problema, elimina el acceso público no intencionado al repositorio SVN. Nivel de precios: Premium o Standard |
Vulnerabilidad | A5 | A01 |
|
Un archivo ENV está expuesto públicamente. Para solucionar este problema, retira el acceso público no intencionado al archivo ENV. Nivel de precios: Premium o Standard |
Vulnerabilidad | A5 | A01 |
|
Las contraseñas introducidas en la aplicación web se pueden almacenar en la caché de un navegador normal en lugar de en un almacenamiento de contraseñas seguro. Nivel de precios: Premium |
Vulnerabilidad | A3 | A04 |
|
Las contraseñas se transmiten en texto sin formato y se pueden interceptar. Para solucionar este problema, cifra la contraseña transmitida a través de la red. Nivel de precios: Premium o Standard |
Vulnerabilidad | A3 | A02 |
|
Un endpoint HTTP o HTTPS de varios sitios solo valida un sufijo del encabezado de solicitud Nivel de precios: Premium |
Vulnerabilidad | A5 | A01 |
|
Un endpoint HTTP o HTTPS de varios sitios solo valida un prefijo del encabezado de solicitud Nivel de precios: Premium |
Vulnerabilidad | A5 | A01 |
|
Se ha cargado un recurso que no coincide con el encabezado HTTP content‑type de la respuesta. Para resolver este hallazgo, asigna el valor correcto al encabezado HTTP Nivel de precios: Premium o Standard |
Vulnerabilidad | A6 | A05 |
|
Un encabezado de seguridad tiene un error de sintaxis y los navegadores lo ignoran. Para resolver este problema, define los encabezados de seguridad HTTP correctamente. Nivel de precios: Premium o Standard |
Vulnerabilidad | A6 | A05 |
|
Un encabezado de seguridad tiene valores duplicados que no coinciden, lo que provoca un comportamiento no definido. Para resolver este problema, define los encabezados de seguridad HTTP correctamente. Nivel de precios: Premium o Standard |
Vulnerabilidad | A6 | A05 |
|
Un encabezado de seguridad está mal escrito y se ignora. Para resolver este problema, define los encabezados de seguridad HTTP correctamente. Nivel de precios: Premium o Standard |
Vulnerabilidad | A6 | A05 |
|
Los recursos se sirven a través de HTTP en una página HTTPS. Para solucionar este problema, asegúrate de que todos los recursos se sirven mediante HTTPS. Nivel de precios: Premium o Standard |
Vulnerabilidad | A6 | A05 |
|
Se ha detectado una biblioteca que tiene vulnerabilidades conocidas. Para resolver este hallazgo, actualiza las bibliotecas a una versión más reciente. Nivel de precios: Premium o Standard |
Vulnerabilidad | A9 | A06 |
|
Se ha detectado una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF). Para resolver este hallazgo, usa una lista de permitidos para limitar los dominios y las direcciones IP a los que la aplicación web puede hacer solicitudes. Nivel de precios: Premium o Standard |
Vulnerabilidad | No aplicable | A10 |
|
Al hacer una solicitud multidominio, la aplicación web incluye el identificador de sesión del usuario en su encabezado de solicitud Nivel de precios: Premium |
Vulnerabilidad | A2 | A07 |
|
Se ha detectado una posible vulnerabilidad de inyección de SQL. Para resolver este hallazgo, usa consultas parametrizadas para evitar que las entradas de los usuarios influyan en la estructura de la consulta de SQL. Nivel de precios: Premium |
Vulnerabilidad | A1 | A03 |
|
Se ha detectado el uso de una versión vulnerable de Apache Struts. Para resolver este problema, actualiza Apache Struts a la versión más reciente. Nivel de precios: Premium |
Vulnerabilidad | A8 | A08 |
|
Un campo de esta aplicación web es vulnerable a un ataque de cross-site scripting (XSS). Para resolver este problema, valida y añade caracteres de escape a los datos introducidos por usuarios en los que no confíes. Nivel de precios: Premium o Standard |
Vulnerabilidad | A7 | A03 |
|
No se ha escapado una cadena proporcionada por el usuario y AngularJS puede interpolarla. Para solucionar este problema, valida y añade caracteres de escape a los datos introducidos por usuarios en los que no confías gestionados por el framework Angular. Nivel de precios: Premium o Standard |
Vulnerabilidad | A7 | A03 |
|
Un campo de esta aplicación web es vulnerable a un ataque de cross-site scripting. Para resolver este problema, valida y añade caracteres de escape a los datos introducidos por usuarios en los que no confíes. Nivel de precios: Premium o Standard |
Vulnerabilidad | A7 | A03 |
|
Se ha detectado una vulnerabilidad de entidad externa XML (XXE). Esta vulnerabilidad puede provocar que la aplicación web filtre un archivo en el host. Para resolver este problema, configura tus analizadores de XML para que no permitan entidades externas. Nivel de precios: Premium |
Vulnerabilidad | A4 | A05 |
|
La aplicación es vulnerable a la contaminación de prototipos. Esta vulnerabilidad se produce cuando se pueden asignar valores controlables por un atacante a las propiedades del objeto Nivel de precios: Premium o Standard |
Vulnerabilidad | A1 | A03 |
|
Se ha detectado un encabezado de seguridad de transporte estricta mediante HTTP (HSTS) mal configurado. Para reducir considerablemente el riesgo de que se produzcan ataques de eavesdropping y de que se cambien las conexiones HTTP a versiones inferiores, corrige el encabezado HSTS mal configurado. Las cabeceras HSTS fuerzan las conexiones a través de canales cifrados (TLS) para que las conexiones HTTP de texto sin formato fallen. Más información sobre los encabezados HSTS
Nivel de precios: Premium |
Misconfiguration | No aplicable | No aplicable |
|
Se ha detectado que falta un encabezado de respuesta HTTP de la política de seguridad de contenido (CSP). Las cabeceras de CSP mitigan la explotación de vulnerabilidades web habituales, especialmente las de tipo cross-site scripting (XSS), ya que impiden que se carguen secuencias de comandos o complementos no fiables. Se recomienda usar un encabezado de CSP estricto. Más información sobre los encabezados de CSP
Nivel de precios: Premium |
Misconfiguration | No aplicable | No aplicable |
|
Se ha detectado un encabezado de respuesta HTTP de política de seguridad de contenido (CSP) mal configurado. Las cabeceras CSP mitigan la explotación de vulnerabilidades web habituales, especialmente las de tipo cross-site scripting (XSS), ya que impiden que se carguen secuencias de comandos o complementos no fiables. Se recomienda usar un encabezado de CSP estricto. Más información sobre los encabezados de CSP
Nivel de precios: Premium |
Misconfiguration | No aplicable | No aplicable |
|
Se ha detectado que falta un encabezado HTTP de política de apertura de origen cruzado (COOP). COOP es un mecanismo de seguridad web que impide que una página abierta en una ventana nueva acceda a las propiedades de su página de origen. COOP ofrece una capa de protección sólida contra los ataques web habituales.
Nivel de precios: Premium |
Misconfiguration | No aplicable | No aplicable |
|
Se ha detectado que falta un encabezado de respuesta. Para evitar el secuestro de clics, implementa un encabezado de respuesta HTTP, como
Nivel de precios: Premium |
Misconfiguration | No aplicable | No aplicable |
Resultados de Notebook Security Scanner
Notebook Security Scanner detecta vulnerabilidades relacionadas con los paquetes de Python que se usan en tus cuadernos de Colab Enterprise y las publica en la categoría Vulnerabilidad de paquetes.
Un hallazgo de vulnerabilidad de un paquete muestra los detalles de la versión de un paquete que tiene vulnerabilidades conocidas. Una versión determinada de un paquete de Python puede tener varios hallazgos de vulnerabilidades, cada uno de los cuales corresponde a una vulnerabilidad conocida diferente.
Para resolver un hallazgo de vulnerabilidad de un paquete, debes usar una versión diferente del paquete, tal como se recomienda en la sección Pasos siguientes del hallazgo.
Para obtener más información, consulta Habilitar y usar Notebook Security Scanner.
Hallazgos del recomendador de gestión de identidades y accesos
En la siguiente tabla se muestran los hallazgos de Security Command Center que genera el recomendador de IAM.
Cada hallazgo del recomendador de gestión de identidades y accesos contiene recomendaciones específicas para eliminar o sustituir un rol que incluya permisos excesivos de un principal en tu entorno deGoogle Cloud .
Los hallazgos que genera el recomendador de gestión de identidades y accesos corresponden a las recomendaciones que aparecen en la Google Cloud consola de la página de gestión de identidades y accesos del proyecto, la carpeta o la organización afectados.
Para obtener más información sobre la integración de Recomendador de gestión de identidades y accesos con Security Command Center, consulta el artículo Fuentes de seguridad.
| Detector | Resumen |
|---|---|
|
Descripción del hallazgo: el recomendador de gestión de identidades y accesos ha detectado una cuenta de servicio que tiene uno o varios roles de gestión de identidades y accesos que dan permisos excesivos a la cuenta de usuario. Nivel de precios: Premium Recursos admitidos:
Soluciona este hallazgo : Usa el recomendador de IAM para aplicar la solución recomendada para este hallazgo siguiendo estos pasos:
Una vez solucionado el problema, el recomendador de IAM actualiza el estado del hallazgo a |
|
Descripción del hallazgo: el recomendador de gestión de identidades y accesos ha detectado que el rol de gestión de identidades y accesos predeterminado original que se concedía a un agente de servicio se ha sustituido por uno de los roles de gestión de identidades y accesos básicos: Propietario, Editor o Lector. Los roles básicos son roles antiguos excesivamente permisivos y no se deben conceder a los agentes de servicio. Nivel de precios: Premium Recursos admitidos:
Soluciona este hallazgo : Usa el recomendador de IAM para aplicar la solución recomendada para este hallazgo siguiendo estos pasos:
Una vez solucionado el problema, el recomendador de IAM actualiza el estado del hallazgo a |
|
Descripción del hallazgo: El recomendador de gestión de identidades y accesos ha detectado que se ha concedido a un agente de servicio uno de los roles básicos de gestión de identidades y accesos: Propietario, Editor o Lector. Los roles básicos son roles antiguos excesivamente permisivos y no se deben conceder a los agentes de servicio. Nivel de precios: Premium Recursos admitidos:
Soluciona este hallazgo : Usa el recomendador de IAM para aplicar la solución recomendada para este hallazgo siguiendo estos pasos:
Una vez solucionado el problema, el recomendador de IAM actualiza el estado del hallazgo a |
|
Descripción del hallazgo: El recomendador de IAM ha detectado una cuenta de usuario que tiene un rol de IAM que no se ha usado en los últimos 90 días. Nivel de precios: Premium Recursos admitidos:
Soluciona este hallazgo : Usa el recomendador de IAM para aplicar la solución recomendada para este hallazgo siguiendo estos pasos:
Una vez solucionado el problema, el recomendador de IAM actualiza el estado del hallazgo a |
Resultados de CIEM
En la siguiente tabla se muestran los resultados de identidad y acceso de Security Command Center para AWS y Microsoft Azure que genera la gestión de derechos de la infraestructura en la nube (CIEM). Para ver los resultados generados por la gestión de derechos de la infraestructura en la nube (CIEM) para Google Cloud, consulta los resultados de recomendador de gestión de identidades y accesos.
Los hallazgos de CIEM contienen recomendaciones específicas para eliminar o sustituir políticas de gestión de identidades y accesos (generalmente denominadas "IAM") muy permisivas asociadas a identidades, usuarios o grupos asumidos en tus entornos de AWS y Microsoft Azure.
Para obtener más información sobre CIEM, consulta Descripción general de la gestión de derechos de infraestructura en la nube.
| Detector | Resumen |
|---|---|
|
Descripción del hallazgo: en tu entorno de AWS o Microsoft Azure, CIEM ha detectado un rol de IAM asumido que tiene una política muy permisiva que infringe el principio de mínimos accesos y aumenta los riesgos de seguridad. Este hallazgo se basa en los registros de uso más recientes de los últimos 83 a 90 días. Nivel de precios: Enterprise Soluciona este hallazgo : En función del hallazgo, usa las herramientas de AWS o Microsoft Azure para realizar una de las siguientes tareas de corrección:
Consulta los detalles del hallazgo para ver los pasos específicos de corrección. |
|
Descripción del hallazgo: en tu entorno de AWS o Microsoft Azure, CIEM ha detectado un grupo que tiene una o varias políticas muy permisivas que infringen el principio de mínimos accesos y aumentan los riesgos de seguridad. Este hallazgo se basa en los registros de uso más recientes de los últimos 83 a 90 días. Nivel de precios: Enterprise Soluciona este hallazgo : En función del hallazgo, usa las herramientas de AWS o Microsoft Azure para realizar una de las siguientes tareas de corrección:
Consulta los detalles del hallazgo para ver los pasos específicos de corrección. |
|
Descripción del hallazgo: en tu entorno de AWS o Microsoft Azure, CIEM ha detectado un usuario que tiene una o varias políticas muy permisivas que infringen el principio de mínimos accesos y aumentan los riesgos de seguridad. Este hallazgo se basa en los registros de uso más recientes de los últimos 83 a 90 días. Nivel de precios: Enterprise Soluciona este hallazgo : En función del hallazgo, usa las herramientas de AWS o Microsoft Azure para realizar una de las siguientes tareas de corrección:
Consulta los detalles del hallazgo para ver los pasos específicos de corrección. |
|
Descripción del hallazgo: en tu entorno de AWS o Microsoft Azure, CIEM ha detectado un usuario inactivo con uno o varios permisos. Esto infringe el principio de mínimos accesos y aumenta los riesgos de seguridad. Este hallazgo se basa en los registros de uso más recientes de los últimos 83 a 90 días. Nivel de precios: Enterprise Soluciona este hallazgo : En función del hallazgo, realiza una de las siguientes tareas de solución:
Consulta los detalles del hallazgo para ver los pasos específicos de corrección. |
|
Descripción del hallazgo: en tu entorno de AWS o Microsoft Azure, CIEM ha detectado que un grupo inactivo tiene uno o varios permisos. Esto infringe el principio de mínimos accesos y aumenta los riesgos de seguridad. Este hallazgo se basa en los registros de uso más recientes de los últimos 83 a 90 días. Nivel de precios: Enterprise Soluciona este hallazgo : En función del hallazgo, realiza una de las siguientes tareas de solución:
Consulta los detalles del hallazgo para ver los pasos específicos de corrección. |
|
Descripción del hallazgo: en tu entorno de AWS o Microsoft Azure, CIEM ha detectado un rol de gestión de identidades y accesos asumido que está inactivo y tiene uno o varios permisos. Esto infringe el principio de mínimos accesos y aumenta los riesgos de seguridad. Este hallazgo se basa en los registros de uso más recientes de los últimos 83 a 90 días. Nivel de precios: Enterprise Soluciona este hallazgo : En función del hallazgo, realiza una de las siguientes tareas de solución:
Consulta los detalles del hallazgo para ver los pasos específicos de corrección. |
|
Descripción del hallazgo: en tu entorno de AWS o Microsoft Azure, CIEM ha detectado una política de confianza demasiado permisiva aplicada a un rol de IAM que infringe el principio de mínimos accesos y aumenta los riesgos de seguridad. Este hallazgo se basa en los registros de uso más recientes de los últimos 83 a 90 días. Nivel de precios: Enterprise Soluciona este hallazgo : Usa las herramientas de AWS o Microsoft Azure para editar los permisos de la política de confianza aplicada al rol para cumplir el principio de mínimos accesos. Consulta los detalles del hallazgo para ver los pasos específicos de corrección. |
|
Descripción del hallazgo: en tu entorno de AWS o Microsoft Azure, CIEM ha detectado una o varias identidades que pueden moverse lateralmente mediante la suplantación de identidad. Este hallazgo se basa en los registros de uso más recientes de los últimos 83 a 90 días. Nivel de precios: Enterprise Soluciona este hallazgo : Usa las herramientas de AWS o Microsoft Azure para eliminar las políticas asociadas a las identidades que permiten el movimiento lateral. Consulta los detalles del hallazgo para ver los pasos específicos de corrección. |
Resultados de la gestión de la posición de seguridad de los datos
Los controles de la nube de la posición de seguridad de los datos son los hallazgos que genera la gestión de la posición de seguridad de los datos (DSPM) cuando se infringen las reglas de control de la nube. Para obtener información sobre los controles en la nube, consulta el artículo Controles de seguridad de los datos en la nube.
Hallazgos de exposición externa
Exposición externa crea hallazgos de la clase EXTERNAL_EXPOSURE que identifican las direcciones IP externas y los servicios expuestos a los que se puede acceder desde la red pública de Internet.
Para obtener más información sobre estos hallazgos, consulta Detectar recursos expuestos.
Estos resultados se generan en las siguientes categorías de riesgo y exposición granulares:
EXTERNALLY_EXPOSED_UI: identifica paneles de administración, paneles de control o consolas de gestión de acceso público (como Jupyter Notebooks o paneles de control de Kubernetes).EXTERNALLY_EXPOSED_API: identifica las APIs de endpoints expuestas y no autenticadas.EXTERNALLY_EXPOSED_WEAK_CREDENTIALS: identifica puertos o servicios expuestos a los que se puede acceder mediante credenciales débiles predeterminadas o fáciles de adivinar.EXTERNALLY_EXPOSED_RCE_VULNERABILITY: identifica endpoints expuestos con vulnerabilidades de ejecución del código remota (RCE) validadas activamente.EXTERNALLY_EXPOSED_ARBITRARY_DATA_READ: identifica vulnerabilidades que permiten a un atacante leer archivos o datos arbitrarios del sistema.EXTERNALLY_EXPOSED_VM_INSTANCE: identifica los recursos de Compute Engine o Google Kubernetes Engine (GKE) con una dirección IP pública directa que permite el acceso al SO del host.EXTERNALLY_EXPOSED_SERVERLESS_WORKLOAD: identifica las cargas de trabajo de Cloud Run expuestas.EXTERNALLY_EXPOSED_DATABASE: identifica las instancias de bases de datos a las que se puede acceder directamente (como Cloud SQL o AlloyDB para PostgreSQL).EXTERNALLY_EXPOSED_SERVICE_VIA_LOAD_BALANCER: identifica las cargas de trabajo de backend que se encuentran delante de balanceadores de carga externos, nginx-ingress o pasarelas de Istio.EXTERNALLY_EXPOSED_STORAGE_VIA_LOAD_BALANCER: identifica los segmentos de backend de Cloud Storage expuestos directamente detrás de Cloud Load Balancing, lo que evita la autorización normal de Gestión de Identidades y Accesos (IAM).
Hallazgos del servicio de posición de seguridad
En esta sección se enumeran los hallazgos de Security Command Center que genera el servicio de posición de seguridad.
El servicio de posición de seguridad genera los siguientes conjuntos de categorías de hallazgos:
- Desviación de una posición de seguridad desplegada
- Recurso que infringe una posición de seguridad implementada
Desviación de una posición de seguridad desplegada
En la siguiente tabla se indican los hallazgos de la posición de seguridad que identifican una instancia de desviación de la posición de seguridad que has definido.
| Hallazgo | Resumen |
|---|---|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado un cambio en un detector de Security Health Analytics que se ha producido fuera de una actualización de la posición. Nivel de precios: Premium
Soluciona este hallazgo : Este hallazgo requiere que aceptes el cambio o que lo reviertas para que los ajustes del detector de tu postura y de tu entorno coincidan. Tienes dos opciones para resolver este hallazgo: puedes actualizar el detector de Security Health Analytics o puedes actualizar la postura y el despliegue de la postura. Para deshacer el cambio, actualiza el detector de Security Health Analytics en la Google Cloud consola. Para obtener instrucciones, consulta el artículo Habilitar e inhabilitar detectores. Para aceptar el cambio, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado un cambio en un módulo personalizado de Security Health Analytics que se ha producido fuera de una actualización de la posición. Nivel de precios: Premium Soluciona este hallazgo : Este hallazgo requiere que aceptes el cambio o que lo reviertas para que la configuración del módulo personalizado de tu postura y tu entorno coincidan. Tienes dos opciones para resolver este hallazgo: puedes actualizar el módulo personalizado de Security Health Analytics o puedes actualizar la postura y el despliegue de la postura. Para deshacer el cambio, actualiza el módulo personalizado de Security Health Analytics en la consola de Google Cloud . Para ver instrucciones, consulta el artículo Actualizar un módulo personalizado. Para aceptar el cambio, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que se ha eliminado un módulo personalizado de Security Health Analytics. Esta eliminación se ha producido fuera de una actualización de la postura. Nivel de precios: Premium Soluciona este hallazgo : Este hallazgo requiere que aceptes el cambio o que lo reviertas para que la configuración del módulo personalizado de tu postura y tu entorno coincidan. Tienes dos opciones para resolver este hallazgo: puedes actualizar el módulo personalizado de Security Health Analytics o puedes actualizar la postura y el despliegue de la postura. Para deshacer el cambio, actualiza el módulo personalizado de Security Health Analytics en la consola de Google Cloud . Para ver instrucciones, consulta el artículo Actualizar un módulo personalizado. Para aceptar el cambio, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado un cambio en una política de organización que se ha producido fuera de una actualización de la posición. Nivel de precios: Premium Soluciona este hallazgo : Este hallazgo requiere que aceptes el cambio o que lo reviertas para que las definiciones de la política de organización de tu postura y tu entorno coincidan. Tienes dos opciones para resolver este hallazgo: puedes actualizar la política de organización o puedes actualizar la postura y la implementación de la postura. Para deshacer el cambio, actualiza la política de organización en la consola de Google Cloud . Para obtener instrucciones, consulta el artículo Crear y editar políticas. Para aceptar el cambio, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que se ha eliminado una política de organización. Esta eliminación se ha producido fuera de una actualización de la postura. Nivel de precios: Premium Soluciona este hallazgo : Este hallazgo requiere que aceptes el cambio o que lo reviertas para que las definiciones de la política de organización de tu postura y de tu entorno coincidan. Tienes dos opciones para resolver este hallazgo: puedes actualizar la política de organización o puedes actualizar la postura y la implementación de la postura. Para deshacer el cambio, actualiza la política de organización en la consola de Google Cloud . Para obtener instrucciones, consulta el artículo Crear y editar políticas. Para aceptar el cambio, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado un cambio en una política de organización personalizada que se ha producido fuera de una actualización de la posición. Nivel de precios: Premium Soluciona este hallazgo : Este hallazgo requiere que aceptes el cambio o que lo reviertas para que las definiciones de la política de organización personalizada de tu postura y tu entorno coincidan. Tienes dos opciones para resolver este hallazgo: puedes actualizar la política de organización personalizada o puedes actualizar la postura y el despliegue de la postura. Para deshacer el cambio, actualiza la política de organización personalizada en la consola de Google Cloud . Para obtener instrucciones, consulta Actualizar una restricción personalizada. Para aceptar el cambio, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que se ha eliminado una política de organización personalizada. Esta eliminación se ha producido fuera de una actualización de la postura. Nivel de precios: Premium Soluciona este hallazgo : Este hallazgo requiere que aceptes el cambio o que lo reviertas para que las definiciones de la política de organización personalizada de tu postura y tu entorno coincidan. Tienes dos opciones para resolver este hallazgo: puedes actualizar la política de organización personalizada o puedes actualizar la postura y el despliegue de la postura. Para deshacer el cambio, actualiza la política de organización personalizada en la consola de Google Cloud . Para obtener instrucciones, consulta Actualizar una restricción personalizada. Para aceptar el cambio, sigue estos pasos:
|
Recurso que infringe una posición de seguridad desplegada
El servicio de posición de seguridad y Security Health Analytics generan los siguientes hallazgos, que identifican las instancias de recursos que infringen la posición de seguridad que has definido.
| Hallazgo | Resumen |
|---|---|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que una subred tiene habilitada una dirección IPv6 externa. Nivel de precios: Premium Soluciona este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes eliminar el recurso que infringe la política o actualizar la postura y volver a desplegarla. Para eliminar el recurso, sigue estos pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar la postura. Para actualizar la postura, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que una subred tiene habilitada una dirección IPv6 interna. Nivel de precios: Premium Soluciona este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes eliminar el recurso que infringe la política o actualizar la postura y volver a desplegarla. Para eliminar el recurso, sigue estos pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar la postura. Para actualizar la postura, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que OS Login está inhabilitado en una instancia de VM. Nivel de precios: Premium Soluciona este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que infringe la política o puedes actualizar la postura y volver a desplegarla. Para actualizar el recurso, sigue estos pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar la postura. Para actualizar la postura, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que se ha añadido una red autorizada a una instancia de SQL. Nivel de precios: Premium Soluciona este hallazgo : Este hallazgo requiere que corrijas la infracción o actualices la postura. Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que infringe la política o puedes actualizar la postura y volver a desplegarla. Para actualizar el recurso, sigue estos pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar la postura. Para actualizar la postura, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que no se ha habilitado un conector de VPC para una instancia de función de Cloud Run. Nivel de precios: Premium Soluciona este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que infringe la política o puedes actualizar la postura y volver a desplegarla. Para actualizar el recurso, sigue estos pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar la postura. Para actualizar la postura, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que el acceso al puerto serie de una instancia de VM está habilitado. Nivel de precios: Premium Soluciona este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que infringe la política o puedes actualizar la postura y volver a desplegarla. Para actualizar el recurso, sigue estos pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar la postura. Para actualizar la postura, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que se ha creado una red predeterminada. Nivel de precios: Premium Soluciona este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes eliminar el recurso que infringe la política o actualizar la postura y volver a desplegarla. Para eliminar el recurso, sigue estos pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar la postura. Para actualizar la postura, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que un servicio de Cloud Run no cumple los ajustes de entrada especificados. Nivel de precios: Premium Soluciona este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que infringe la política o puedes actualizar la postura y volver a desplegarla. Para actualizar el recurso, sigue estos pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar la postura. Para actualizar la postura, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que un acceso a nivel de segmento es pormenorizado en lugar de uniforme. Nivel de precios: Premium Soluciona este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que infringe la política o puedes actualizar la postura y volver a desplegarla. Para actualizar el recurso, sigue estos pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar la postura. Para actualizar la postura, sigue estos pasos:
|
|
Descripción del hallazgo: el servicio de posición de seguridad ha detectado que un servicio de Cloud Run no cumple los ajustes de salida especificados. Nivel de precios: Premium Soluciona este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que infringe la política o puedes actualizar la postura y volver a desplegarla. Para actualizar el recurso, sigue estos pasos:
Si quieres mantener el recurso en la misma configuración, debes actualizar la postura. Para actualizar la postura, sigue estos pasos:
|
Hallazgos de Model Armor
Model Armor es un servicio totalmente gestionado Google Cloud que mejora la seguridad de las aplicaciones de IA analizando las peticiones y respuestas de los LLMs para detectar diversos riesgos de seguridad.
En la siguiente tabla se indican los hallazgos de Security Command Center que genera Model Armor.
| Hallazgo | Resumen |
|---|---|
|
Descripción del hallazgo: una infracción de la configuración de suelo que se produce cuando una plantilla de Model Armor no cumple los estándares de seguridad mínimos definidos por la configuración de suelo de la jerarquía de recursos. Clase de hallazgo: configuración errónea Nivel de precios: Premium Este hallazgo requiere que actualices la plantilla de Model Armor para que cumpla con la configuración de suelo definida en la jerarquía de recursos. |
Revisar los hallazgos en la consola de Google Cloud
-
En la consola de Google Cloud , ve a la página Hallazgos de Security Command Center.
- Selecciona tu Google Cloud proyecto u organización.
- En la sección Filtros rápidos, en el apartado Nombre visible de la fuente, selecciona Model Armor. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
- Para ver los detalles de un hallazgo concreto, haz clic en su nombre en la columna Categoría. Se abrirá el panel de detalles del hallazgo y se mostrará la pestaña Resumen.
- En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se ha detectado, el recurso afectado y, si están disponibles, los pasos que puedes seguir para solucionar el hallazgo.
- Opcional: Para ver la definición JSON completa del hallazgo, haz clic en la pestaña JSON.
Subsanar los hallazgos de Model Armor
El hallazgo FLOOR_SETTINGS_VIOLATION indica que la plantilla de Model Armor no cumple los estándares de seguridad mínimos definidos por la configuración de la jerarquía de recursos.
Para solucionar este problema, sigue estos pasos:
- En la consola de Google Cloud , ve a la página Model Armor.
- Comprueba que estás viendo el proyecto en el que has activado Model Armor. Se mostrará la página Model Armor, donde se enumeran las plantillas creadas para tu proyecto.
- Haz clic en la plantilla que quieras modificar.
- Modifica la plantilla según la configuración de los precios mínimos definida en la jerarquía de recursos.
- Haz clic en Guardar.
VM Manager
VM Manager es un paquete de herramientas que sirve para gestionar los sistemas operativos de grandes flotas de máquinas virtuales que utilicen Windows o Linux en Compute Engine.
Si habilitas VM Manager a nivel de organización, VM Manager escribirá los hallazgos de sus informes de vulnerabilidades (versión preliminar) en Security Command Center. Los informes identifican vulnerabilidades en los sistemas operativos instalados en las VMs, incluidas las vulnerabilidades y exposiciones comunes (CVEs).
Para usar VM Manager con activaciones a nivel de proyecto de Security Command Center Premium, activa Security Command Center Standard en la organización superior.
Los informes de vulnerabilidades no están disponibles en Security Command Center Standard.
Los hallazgos simplifican el proceso de uso de la función de cumplimiento de parches de VM Manager (versión preliminar). Esta función te permite gestionar parches a nivel de organización en todos tus proyectos.
La gravedad de los hallazgos de vulnerabilidades que se reciben de VM Manager siempre es CRITICAL o HIGH.
Hallazgos de VM Manager
Todas las vulnerabilidades de este tipo están relacionadas con los paquetes de sistemas operativos instalados en las máquinas virtuales de Compute Engine compatibles.
| Detector | Resumen | Configuración de análisis de recursos |
|---|---|---|
|
Descripción del hallazgo: VM Manager ha detectado una vulnerabilidad en el paquete del sistema operativo instalado en una VM de Compute Engine. Nivel de precios: Premium Recursos admitidos |
Los informes de vulnerabilidades de VM Manager detallan las vulnerabilidades de los paquetes de sistemas operativos instalados en las máquinas virtuales de Compute Engine, incluidas las vulnerabilidades y exposiciones comunes (CVEs). Para ver una lista completa de los sistemas operativos compatibles, consulta el artículo Información sobre los sistemas operativos. Los hallazgos aparecen en Security Command Center poco después de que se detecten las vulnerabilidades. Los informes de vulnerabilidades de VM Manager se generan de la siguiente forma:
|
Revisar los hallazgos en la consola
-
En la consola de Google Cloud , ve a la página Hallazgos de Security Command Center.
- Selecciona tu Google Cloud proyecto u organización.
- En la sección Filtros rápidos, en el apartado Nombre visible de la fuente, selecciona VM Manager. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
- Para ver los detalles de un hallazgo concreto, haz clic en su nombre en la columna Categoría. Se abrirá el panel de detalles del hallazgo y se mostrará la pestaña Resumen.
- En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se ha detectado, el recurso afectado y, si están disponibles, los pasos que puedes seguir para solucionar el hallazgo.
- Opcional: Para ver la definición JSON completa del hallazgo, haz clic en la pestaña JSON.
Remediar los hallazgos de VM Manager
Un hallazgo de OS_VULNERABILITY indica que VM Manager ha encontrado una vulnerabilidad en los paquetes del sistema operativo instalados en una VM de Compute Engine.
Para solucionar este problema, sigue estos pasos:
Abre un hallazgo de
OS vulnerabilityy consulta su definición JSON.Copia el valor del campo
externalUri. Este valor es el URI de la página Información del SO de la instancia de VM de Compute Engine en la que está instalado el sistema operativo vulnerable.Aplica todos los parches adecuados para el SO que se muestra en la sección Información básica. Para obtener instrucciones sobre cómo desplegar parches, consulta Crear tareas de parche.
Consulta los recursos y ajustes de análisis admitidos para este tipo de hallazgo.
Silenciar hallazgos de VM Manager
Puede que quieras ocultar algunos o todos los hallazgos de VM Manager en Security Command Center si no son relevantes para tus requisitos de seguridad.
Puedes ocultar los hallazgos de VM Manager creando una regla de silenciamiento y añadiendo atributos de consulta específicos de los hallazgos de VM Manager que quieras ocultar.
Para obtener información sobre cómo crear una regla de silenciamiento, consulta Crear una regla de silenciamiento.
Por ejemplo, si quieres ocultar IDs de CVE específicos en los hallazgos de vulnerabilidades de VM Manager, selecciona Vulnerabilidad > ID de CVE y, a continuación, selecciona los IDs de CVE que quieras ocultar.
El campo Consulta de hallazgos de tu regla de silenciamiento tiene un aspecto similar al siguiente:
parent_display_name="VM Manager"
AND vulnerability.cve.id="CVE-2025-26923" OR vulnerability.cve.id="CVE-2025-27635"
Hallazgos de Vulnerability Assessment de Agent Platform
Detección de vulnerabilidades
Vulnerability Assessment de Agent Platform identifica vulnerabilidades de software (CVEs) en cargas de trabajo de agentes que se despliegan con Gemini Enterprise Agent Platform.
English: Findings have the class VULNERABILITY and severity of either HIGH or CRITICAL.
Para resolver un hallazgo, actualiza los requisitos de tu agente o la definición de contenedor personalizado para usar una versión segura del paquete, tal como se especifica en el campo Paquete corregido.
Detección de secretos
La evaluación de vulnerabilidades de Agent Platform ofrece un análisis automático y continuo de los secretos en texto sin formato en las imágenes de Agent Platform desplegadas por los clientes y genera resultados en Security Command Center.
Cada hallazgo identifica el URI de Agent Platform, el repositorio de imágenes, el tipo de secreto y la ruta.
Los hallazgos tienen la clase SECRET y la gravedad CRITICAL.
Referencia de hallazgos
| Detector | Resumen |
|---|---|
|
Descripción del hallazgo: se ha detectado una vulnerabilidad de software (CVE) en una carga de trabajo de agentes que se ha desplegado con Agent Platform. Este escáner evalúa automáticamente el código personalizado y las dependencias de la instancia operativa. Nivel de precios: Premium o Enterprise Soluciona este hallazgo : Revisa los detalles del hallazgo para identificar el paquete y la versión afectados. Para resolver el problema, actualiza los requisitos de tu agente o la definición del contenedor personalizado para usar una versión segura del paquete y, a continuación, vuelve a desplegar la instancia de Agent Platform. |
|
Descripción del hallazgo: se ha encontrado una credencial de texto sin formato del tipo Nivel de precios: Premium o Enterprise Soluciona este hallazgo :
|
Para obtener más información, consulta Configurar AI Protection.
Resultados de la evaluación de vulnerabilidades de Artifact Registry
En la siguiente tabla se indican los hallazgos que te alertan de posibles vulnerabilidades que se han detectado en tus imágenes de contenedor. Estos hallazgos solo se generan para las imágenes de contenedor vulnerables que se almacenan en Artifact Registry y se despliegan en uno de los siguientes recursos:
- Clúster de Google Kubernetes Engine
- Servicio de Cloud Run
- Tarea de Cloud Run
- App Engine
Estos hallazgos se clasifican como de gravedad HIGH o CRITICAL.
Para obtener información sobre cómo habilitar, inhabilitar y ver los resultados de la evaluación de vulnerabilidades de Artifact Registry en la consola, consulta el artículo sobre el servicio de detección de evaluaciones de vulnerabilidades de Artifact Registry. Google Cloud
| Detector | Resumen |
|---|---|
|
Descripción del hallazgo: se ha detectado una vulnerabilidad en una imagen de contenedor que se ha analizado en Artifact Registry. Esta imagen se ha implementado en uno de los siguientes recursos:
Nivel de precios: Standard, Premium o Enterprise Soluciona este hallazgo : En función del tipo de recurso, haz lo siguiente:
Consulta los detalles del hallazgo para ver los pasos de corrección específicos en función del recurso de ejecución adecuado. Los clientes del nivel Standard-legacy no pueden usar la función de consulta de recursos de Inventario de Recursos de Cloud para determinar dónde se ha desplegado la imagen de contenedor vulnerable. Te recomendamos que cambies a los niveles Premium o Enterprise para obtener información más detallada. |
Protección de datos sensibles
En esta sección se describen los hallazgos de vulnerabilidades que genera Protección de Datos Sensibles, los estándares de cumplimiento que admiten y cómo corregirlos.
Protección de Datos Sensibles también envía resultados de observación a Security Command Center. Para obtener más información sobre los hallazgos de observación y la protección de datos sensibles, consulta Protección de datos sensibles.
Para obtener información sobre cómo ver los hallazgos, consulta Revisar los hallazgos de Protección de Datos Sensibles en la consola Google Cloud .
Hallazgos de vulnerabilidades de Protección de Datos Sensibles
El servicio de descubrimiento de Protección de Datos Sensibles te ayuda a determinar si estás almacenando datos muy sensibles que no están protegidos.
| Categoría | Resumen |
|---|---|
|
Descripción del hallazgo: el recurso especificado tiene datos de alta sensibilidad a los que puede acceder cualquier persona en Internet. Recursos admitidos:
—Solución: Para los datos de Google Cloud , quita En el caso de los datos de Amazon S3, configura los ajustes de bloqueo de acceso público o actualiza la LCA del objeto para denegar el acceso de lectura público. Para obtener más información, consulta los artículos Configuring block public access settings for your S3 buckets y Configuring ACLs de la documentación de AWS. En el caso de los datos de Azure Blob Storage, quita el acceso público al contenedor y a los blobs. Para obtener más información, consulta Descripción general: Solucionar el acceso de lectura anónimo para datos de blobs en la documentación de Azure. Estándares de cumplimiento: no asignados |
|
Descripción del hallazgo: hay secretos, como contraseñas, tokens de autenticación y credenciales Google Cloud , en variables de entorno. Para habilitar este detector, consulta Informar de secretos en variables de entorno a Security Command Center en la documentación de Protección de Datos Sensibles. Recursos admitidos: —Solución: En el caso de las variables de entorno de Cloud Run Functions, quita el secreto de la variable de entorno y almacénalo en Secret Manager. En el caso de las variables de entorno de revisión del servicio de Cloud Run, desvía todo el tráfico de la revisión y, a continuación, elimínala. Estándares de cumplimiento:
|
|
Descripción del hallazgo: hay secretos, como contraseñas, tokens de autenticación y credenciales de la nube, en el recurso especificado. Recursos admitidos:
—Solución:
Estándares de cumplimiento: no asignados |
Hallazgos de configuración incorrecta de Protección de Datos Sensibles
El servicio de descubrimiento de Protección de Datos Sensibles te ayuda a determinar si tienes errores de configuración que puedan exponer datos sensibles.
| Categoría | Resumen |
|---|---|
|
Descripción del hallazgo: el recurso especificado tiene datos de sensibilidad alta o moderada y no usa una clave de cifrado gestionada por el cliente (CMEK). Recursos admitidos:
—Solución:
Estándares de cumplimiento: no asignados |
Hallazgos de observación de Protección de Datos Sensibles
El servicio de descubrimiento de Protección de Datos Sensibles te ayuda a determinar si tus datos contienen infoTypes específicos y dónde se encuentran en tu organización, carpetas y proyectos. Genera las siguientes categorías de hallazgos de observación en Security Command Center:
| Categoría | Resumen |
|---|---|
|
Descripción del hallazgo: indicación del nivel de sensibilidad de los datos de un recurso de datos concreto. Los datos son sensibles si contienen información de identificación personal u otros elementos que puedan requerir un control o una gestión adicionales. La gravedad del hallazgo es el nivel de sensibilidad que ha calculado Protección de Datos Sensibles al generar el perfil de datos. |
|
Descripción del hallazgo: el riesgo asociado a los datos en su estado actual. Al calcular el riesgo de los datos, Protección de Datos Sensibles tiene en cuenta el nivel de sensibilidad de los datos del recurso de datos y la presencia de controles de acceso para proteger esos datos. La gravedad del hallazgo es el nivel de riesgo de los datos que Protección de Datos Sensibles ha calculado al generar el perfil de datos. |
Policy Controller
Policy Controller permite aplicar políticas programables en tus clústeres de Kubernetes registrados como miembros de flotas. Estas políticas actúan como barandillas y pueden ayudarte con las prácticas recomendadas, la seguridad y la gestión del cumplimiento de tus clústeres y tu flota.
En esta página no se muestran todos los hallazgos de Policy Controller, pero la información sobre los hallazgos de clase Misconfiguration que Policy Controller escribe en Security Command Center es la misma que la de las infracciones de clústeres documentadas para cada paquete de Policy Controller. La documentación de los tipos de hallazgos de Policy Controller se encuentra en los siguientes paquetes de Policy Controller:
CIS Kubernetes Benchmark v1.5.1, un conjunto de recomendaciones para configurar Kubernetes de forma que se mantenga una posición de seguridad sólida. También puedes consultar información sobre este paquete en el repositorio de GitHub de
cis-k8s-v1.5.1.PCI-DSS v3.2.1, un paquete que evalúa el cumplimiento de los recursos de tu clúster con algunos aspectos del estándar de seguridad de los datos del sector de las tarjetas de pago (PCI-DSS) v3.2.1. También puedes consultar información sobre este paquete en el repositorio de GitHub de
pci-dss-v3.
Esta función no es compatible con los perímetros de servicio de Controles de Servicio de VPC en torno a la API de Stackdriver.
Buscar y corregir hallazgos de Policy Controller
Las categorías de Policy Controller corresponden a los nombres de las restricciones que se indican en la documentación de los paquetes de Policy Controller. Por ejemplo, un hallazgo de require-namespace-network-policies indica que un espacio de nombres infringe la política de que cada espacio de nombres de un clúster tiene un NetworkPolicy.
Para subsanar un hallazgo, sigue estos pasos:
-
En la consola de Google Cloud , ve a la página Hallazgos de Security Command Center.
- Selecciona tu Google Cloud proyecto u organización.
- En la sección Filtros rápidos, en el apartado Nombre visible de la fuente, selecciona Policy Controller On-Cluster. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
- Para ver los detalles de un hallazgo concreto, haz clic en su nombre en la columna Categoría. Se abrirá el panel de detalles del hallazgo y se mostrará la pestaña Resumen.
- En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se ha detectado, el recurso afectado y, si están disponibles, los pasos que puedes seguir para solucionar el hallazgo.
- Opcional: Para ver la definición JSON completa del hallazgo, haz clic en la pestaña JSON.
Siguientes pasos
Para obtener información sobre el ciclo de vida de un hallazgo, consulta Descripción general del ciclo de vida de los hallazgos.
Para obtener información sobre los intervalos de análisis de cada servicio, consulta Cuándo se esperan los hallazgos en Security Command Center.
Consulta el índice de hallazgos de vulnerabilidades.
Consulta cómo usar Security Health Analytics.
Consulta cómo usar Web Security Scanner.
Lee las sugerencias para corregir los hallazgos de Security Health Analytics y corregir los hallazgos de Web Security Scanner.