ממצאים לגבי נקודות חולשה

כל שירות יוצר ממצאים עם סיווגים שונים. סיווג הממצא נקבע לפי מצב האבטחה שיצר את הממצא.

היכולת שלכם לראות ולערוך ממצאים נקבעת לפי התפקידים וההרשאות שהוקצו לכם בניהול הזהויות והרשאות הגישה (IAM). למידע נוסף על תפקידי IAM ב-Security Command Center, קראו את המאמר בקרת גישה.

גלאים ותאימות

ב-Security Command Center, התאימות שלכם מנוטרת באמצעות גלאים שממופים לאמצעי הבקרה של מגוון רחב של תקני אבטחה.

בכל תקן אבטחה נתמך, Security Command Center בודק קבוצת משנה של אמצעי הבקרה. ב-Security Command Center מוצג מספר אמצעי הבקרה שעברו את הבדיקה. לגבי אמצעי הבקרה שלא עברו את הבדיקה, ב-Security Command Center מוצגת רשימה של ממצאים שמתארים את הכשלים באמצעי הבקרה.

ה-CIS בודק ומאשר את המיפויים של הגלאים של Security Command Center לכל גרסה נתמכת של CIS Google Cloud Foundations Benchmark. מיפויים נוספים של תאימות נכללים למטרות עיון בלבד.

מדי פעם אנחנו מוסיפים ל-Security Command Center תמיכה בגרסאות חדשות של נקודות השוואה ובתקנים חדשים. אנחנו ממשיכים לתמוך בגרסאות ישנות יותר, אבל בסופו של דבר הן יוצאות משימוש. מומלץ להשתמש בגרסה העדכנית ביותר של התקן או נקודת ההשוואה.

באמצעות שירות מצב האבטחה, אתם יכולים למפות את מדיניות הארגון ואת הגלאים של Security Health Analytics לתקנים ולבקרות שחלים על העסק שלכם. אחרי שיוצרים מצב אבטחה, אפשר לעקוב אחרי שינויים בסביבה שיכולים להשפיע על התאימות של העסק.

בעזרת Compliance Manager, אתם יכולים לפרוס מסגרות שממפות אמצעי בקרה רגולטוריים לאמצעי בקרה בענן. אחרי שיוצרים מסגרת, אפשר לעקוב אחרי שינויים בסביבה שעשויים להשפיע על התאימות של העסק ולבצע ביקורת על הסביבה.

למידע נוסף על ניהול התאימות, קראו את המאמר הערכה ודיווח על תאימות לתקני אבטחה.

תקני אבטחה נתמכים

Google Cloud

ב-Security Command Center, הגלאים של Google Cloud ממופים לאחד או יותר מתקני התאימות הבאים:

AWS

ברמת השירות Enterprise (הוצאה משימוש), Security Command Center ממפה את הגלאים של Amazon Web Services (AWS) לאחד או יותר מתקני התאימות הבאים:

במאמר הערכה ודיווח על תאימות לתקני אבטחה מוסבר איך להציג ולייצא דוחות תאימות.

ממצאים של Security Health Analytics

Standard-legacy,‏ Standard,‏ Premium ו-Enterprise (הוצאה משימוש)

הגלאים של Security Health Analytics עוקבים אחרי קבוצת משנה של משאבים ממאגר משאבי ענן (CAI), ומקבלים התראות על שינויים במשאבים ובמדיניות של ניהול זהויות והרשאות גישה (IAM). חלק מהגלאים מאחזרים נתונים באמצעות קריאה ישירה לממשקי API של Google Cloud , כפי שמצוין בטבלאות שבהמשך הדף.

במאמר סקירה כללית על Security Health Analytics תוכלו לקרוא מידע נוסף על Security Health Analytics, על תזמוני הסריקות ועל התמיכה של Security Health Analytics בגלאים של מודולים מובְנים ומותאמים אישית.

בטבלאות הבאות מתוארים הגלאים של Security Health Analytics, הנכסים ותקני התאימות שהם תומכים בהם, ההגדרות שבהן הם משתמשים לסריקות וסוגי הממצאים שהם יוצרים. אפשר לסנן את הממצאים לפי מאפיינים שונים בדפים הבאים במסוף Google Cloud :

  • הדף Vulnerabilities
  • הדף Risk Overview > מרכז הבקרה Vulnerabilities

במאמר תיקון הממצאים של Security Health Analytics מוסבר איך לתקן את הממצאים ולהגן על המשאבים.

ממצאים של נקודות חולשה במפתחות API

הגלאי API_KEY_SCANNER מזהה נקודות חולשה שקשורות למפתחות API שמשמשים בפריסה בענן.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: API_KEY_APIS_UNRESTRICTED

תיאור הממצא: יש מפתחות API שנעשה בהם שימוש נרחב מדי. כדי לפתור את הבעיה, צריך להגביל את השימוש במפתח ה-API כך שרק ממשקי ה-API שהאפליקציה צריכה יהיו מותרים.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.12
  • CIS GCP Foundation 1.1: 1.14
  • CIS GCP Foundation 1.2: 1.14
  • CIS GCP Foundation 1.3: 1.14
  • CIS GCP Foundation 2.0: 1.14
  • CIS GCP Foundation 3.0: 1.14
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

אחזור המאפיין restrictions של כל מפתחות ה-API בפרויקט, ובדיקה אם אחד מהם מוגדר כ-cloudapis.googleapis.com.

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: API_KEY_APPS_UNRESTRICTED

תיאור הממצא: יש מפתחות API שנעשה בהם שימוש ללא הגבלה, כך שכל אפליקציה לא מהימנה יכולה להשתמש בהם.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.11
  • CIS GCP Foundation 1.1: 1.13
  • CIS GCP Foundation 1.2: 1.13
  • CIS GCP Foundation 1.3: 1.13
  • CIS GCP Foundation 2.0: 1.13
  • CIS GCP Foundation 3.0: 1.13

אחזור המאפיין restrictions של כל מפתחות ה-API בפרויקט, ובדיקה אם הוגדרו browserKeyRestrictions,‏ serverKeyRestrictions,‏ androidKeyRestrictions או iosKeyRestrictions.

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: API_KEY_EXISTS

תיאור הממצא: בפרויקט נעשה שימוש במפתחות API במקום באימות רגיל.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.10
  • CIS GCP Foundation 1.1: 1.12
  • CIS GCP Foundation 1.2: 1.12
  • CIS GCP Foundation 1.3: 1.12
  • CIS GCP Foundation 2.0: 1.12
  • CIS GCP Foundation 3.0: 1.12
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

אחזור של כל מפתחות ה-API שבבעלות הפרויקט.

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: API_KEY_NOT_ROTATED

תיאור הממצא: מפתח ה-API לא הוחלף במשך יותר מ-90 יום.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.13
  • CIS GCP Foundation 1.1: 1.15
  • CIS GCP Foundation 1.2: 1.15
  • CIS GCP Foundation 1.3: 1.15
  • CIS GCP Foundation 2.0: 1.15
  • CIS GCP Foundation 3.0: 1.15
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

אחזור חותמת הזמן שכלולה במאפיין createTime של כל מפתחות ה-API, ובדיקה אם עברו 90 ימים.

  • סריקות בזמן אמת: לא

ממצאי נקודות חולשה במאגר משאבי הענן

כל נקודות החולשה מסוג הגלאי הזה קשורות להגדרות של מאגר משאבי ענן, והן שייכות לסוג CLOUD_ASSET_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: CLOUD_ASSET_API_DISABLED

תיאור הממצא: תיעוד המשאבים של Google Cloud ומדיניות ה-IAM באמצעות "מאגר משאבי ענן" מאפשר ניתוח אבטחה, מעקב אחרי שינויים במשאבים וביקורת תאימות. מומלץ להפעיל את השירות 'מאגר משאבי ענן' בכל הפרויקטים. כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות זמינות במאמר הפעלה והשבתה של גלאים.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.3: 2.13
  • CIS GCP Foundation 2.0: 2.13
  • CIS GCP Foundation 3.0: 2.13
  • NIST 800-53 R5: CM-8, PM-5
  • PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1
  • ISO-27001 v2022: A.5.9, A.8.8
  • Cloud Controls Matrix 4: UEM-04
  • NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3
  • SOC2 v2017: CC3.2.6, CC6.1.1
  • HIPAA: 164.310(d)(2)(iii)
  • CIS Controls 8.0: 1.1, 6.6

בדיקה אם השירות מאגר משאבי ענן מופעל.

  • סריקות בזמן אמת: לא

ממצאים של נקודות חולשה באחסון

כל נקודות החולשה מסוג הגלאי הזה קשורות להגדרות של קטגוריות של Cloud Storage, והן שייכות לסוג STORAGE_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: BUCKET_CMEK_DISABLED

תיאור הממצא: קטגוריה לא מוצפנת באמצעות מפתחות הצפנה בניהול הלקוח (CMEK). כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. איך מפעילים ומשביתים גלאים

רמת תמחור: פרימיום

נכסים נתמכים
storage.googleapis.com/Bucket

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בודק את השדה encryption במטא-נתונים של הקטגוריה כדי למצוא את שם המשאב של ה-CMEK.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: BUCKET_POLICY_ONLY_DISABLED

תיאור הממצא: לא הוגדרה גישה אחידה ברמת הקטגוריה (UBLA), שנקראה בעבר "מדיניות קטגוריה בלבד".

רמת תמחור: פרימיום

נכסים נתמכים
storage.googleapis.com/Bucket

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 5.2
  • CIS GCP Foundation 1.3: 5.2
  • CIS GCP Foundation 2.0: 5.2
  • CIS GCP Foundation 3.0: 5.2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

בדיקה אם המאפיין uniformBucketLevelAccess של קטגוריה מוגדר כ-"enabled":false

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: PUBLIC_BUCKET_ACL

תיאור הממצא: קטגוריה של Cloud Storage נגישה באופן ציבורי.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
storage.googleapis.com/Bucket

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 5.1
  • CIS GCP Foundation 1.1: 5.1
  • CIS GCP Foundation 1.2: 5.1
  • CIS GCP Foundation 1.3: 5.1
  • CIS GCP Foundation 2.0: 5.1
  • CIS GCP Foundation 3.0: 5.1
  • NIST 800-53 R4: AC-2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

בדיקה של מדיניות ההרשאות ב-IAM של קטגוריה כדי לאתר תפקידים ציבוריים, allUsers או allAuthenticatedUsers.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: PUBLIC_LOG_BUCKET

תיאור הממצא: קטגוריית אחסון שמשמשת כ-sink ביומן נגישה באופן ציבורי.

הממצא הזה לא זמין להפעלות ברמת הפרויקט.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
storage.googleapis.com/Bucket

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: AU-9
  • PCI-DSS v3.2.1: 10.5
  • ISO-27001 v2013: A.12.4.2, A.18.1.3, A.8.2.3

בדיקה של מדיניות ההרשאה ב-IAM של קטגוריה, כדי לראות אם חשבונות המשתמשים allUsers או allAuthenticatedUsers מעניקים גישה ציבורית.

  • קלט נוסף: קורא את ה-sink ביומן (מסנן היומן ויעד היומן) של קטגוריה כדי לקבוע אם היא קטגוריית יומנים
  • סריקות בזמן אמת: כן, אבל רק אם מדיניות ה-IAM בקטגוריה משתנה, ולא אם ה-sink ביומן משתנה

ממצאים של נקודות חולשה בתמונות של Compute

הגלאי COMPUTE_IMAGE_SCANNER מזהה נקודות חולשה שקשורות להגדרות של קובצי אימג' ב-Google Cloud .

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: PUBLIC_COMPUTE_IMAGE

תיאור הממצא: תמונה של Compute Engine נגישה באופן ציבורי.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
compute.googleapis.com/Image

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בדיקה של מדיניות ההרשאות של IAM במטא-נתונים של המשאב, כדי לראות אם לחשבונות המשתמשים allUsers או allAuthenticatedUsers יש גישה ציבורית.

  • סריקות בזמן אמת: כן

ממצאים לגבי נקודות חולשה במכונות

הגלאי COMPUTE_INSTANCE_SCANNER מזהה נקודות חולשה שקשורות להגדרות של מכונות Compute Engine.

גלאי COMPUTE_INSTANCE_SCANNER לא מדווחים על ממצאים במכונות של Compute Engine שנוצרו על ידי GKE. למכונות כאלה יש שמות שמתחילים ב-"gke-‎", והמשתמשים לא יכולים לערוך אותם. כדי לאבטח את המכונות האלה, עיינו בקטע "ממצאים לגבי נקודות חולשה בקונטיינרים".

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: CONFIDENTIAL_COMPUTING_DISABLED

תיאור הממצא: התכונה Confidential Computing מושבתת במכונה של Compute Engine.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 4.11
  • CIS GCP Foundation 1.3: 4.11
  • CIS GCP Foundation 2.0: 4.11
  • CIS GCP Foundation 3.0: 4.11
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

בדיקת המאפיין confidentialInstanceConfig של המטא-נתונים של המכונה לצמד המפתח/ערך "enableConfidentialCompute":true.

  • נכסים שלא נכללים בסריקות:
    • מכונות GKE
    • חיבור לרשת (VPC) מאפליקציית serverless
    • מכונות שקשורות למשימות ב-Dataflow
    • מכונות של Compute Engine שהן לא מסוג N2D
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

תיאור הממצא: נעשה שימוש במפתחות SSH ברמת הפרויקט, שמאפשרים להתחבר לכל המכונות בפרויקט.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 4.2
  • CIS GCP Foundation 1.1: 4.3
  • CIS GCP Foundation 1.2: 4.3
  • CIS GCP Foundation 1.3: 4.3
  • CIS GCP Foundation 2.0: 4.3
  • CIS GCP Foundation 3.0: 4.3
  • NIST 800-53 R5: AC-17, IA-5, SC-8
  • PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2
  • ISO-27001 v2022: A.5.14
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-2
  • SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.10, 5.2

בדיקת האובייקט metadata.items[] במטא-נתונים של המכונה לצמד המפתח/ערך "key": "block-project-ssh-keys", "value": TRUE.

  • נכסים שלא נכללים בסריקות: מכונות GKE, משימת Dataflow, מכונת Windows
  • הרשאות IAM נוספות: roles/compute.Viewer
  • קלט נוסף: קריאת מטא-נתונים מ-Compute Engine
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: COMPUTE_SECURE_BOOT_DISABLED

תיאור הממצא: התכונה "אתחול מאובטח" לא מופעלת במכונה הווירטואלית המוגנת הזו. השימוש באתחול מאובטח עוזר להגן על מכונות וירטואליות מפני איומים מתקדמים כמו רוטקיטים ובוטקיטים.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Instance

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בדיקת המאפיין shieldedInstanceConfig במכונות של Compute Engine כדי לקבוע אם enableSecureBoot מוגדר כ-true. הגלאי הזה בודק אם הדיסקים המצורפים תואמים לאתחול מאובטח ואם האתחול המאובטח מופעל.

  • נכסים שלא נכללים בסריקות: מכונות GKE, דיסקים של Compute Engine עם מאיצי GPU שלא משתמשים במערכת הפעלה שמותאמת לקונטיינרים, גישה ל-VPC ללא שרת (Serverless)
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: COMPUTE_SERIAL_PORTS_ENABLED

תיאור הממצא: היציאות הטוריות מופעלות במכונה, ומאפשרות חיבורים לקונסולה הטורית של המכונה.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 4.4
  • CIS GCP Foundation 1.1: 4.5
  • CIS GCP Foundation 1.2: 4.5
  • CIS GCP Foundation 1.3: 4.5
  • CIS GCP Foundation 2.0: 4.5
  • CIS GCP Foundation 3.0: 4.5
  • NIST 800-53 R5: CM-6, CM-7
  • PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1
  • ISO-27001 v2022: A.8.9
  • SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4
  • CIS Controls 8.0: 4.8

בדיקת האובייקט metadata.items[] במטא-נתונים של המכונה לצמד המפתח/ערך "key": "serial-port-enable", "value": TRUE.

  • ‫נכסים שלא נכללים בסריקות: מכונות GKE
  • הרשאות IAM נוספות: roles/compute.Viewer
  • קלט נוסף: קריאת מטא-נתונים מ-Compute Engine
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: DEFAULT_SERVICE_ACCOUNT_USED

תיאור הממצא: המכונה מוגדרת להשתמש בחשבון השירות שמוגדר כברירת מחדל.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 4.1
  • CIS GCP Foundation 1.2: 4.1
  • CIS GCP Foundation 1.3: 4.1
  • CIS GCP Foundation 2.0: 4.1
  • CIS GCP Foundation 3.0: 4.1
  • NIST 800-53 R5: IA-5
  • PCI-DSS v4.0: 2.2.2, 2.3.1
  • ISO-27001 v2022: A.8.2, A.8.9
  • NIST Cybersecurity Framework 1.0: PR-AC-1
  • SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 4.7

בדיקה של המאפיין serviceAccounts במטא-נתונים של המכונה, כדי לאתר כתובות אימייל של חשבונות שירות עם הקידומת PROJECT_NUMBER-compute@, שמציינת את חשבון השירות שמוגדר כברירת מחדל ונוצר על ידי Google.

  • נכסים שלא נכללים בסריקות: מכונות GKE, משימות Dataflow
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: DISK_CMEK_DISABLED

תיאור הממצא: הדיסקים במכונה הווירטואלית הזו לא מוצפנים באמצעות מפתחות הצפנה בניהול הלקוח (CMEK). כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות זמינות במאמר הפעלה והשבתה של גלאים.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Disk

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בודק את השדה kmsKeyName באובייקט diskEncryptionKey, במטא-נתונים של הדיסק, כדי למצוא את שם המשאב של ה-CMEK.

  • נכסים שלא נכללים בסריקות: דיסקים שקשורים לסביבות של Managed Airflow, למשימות של Dataflow ולמכונות של GKE
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: DISK_CSEK_DISABLED

תיאור הממצא: הדיסקים ב-VM הזה לא מוצפנים באמצעות מפתחות הצפנה באספקת הלקוח (CSEK). כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות מופיעות במאמר גלאי למקרים מיוחדים.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Disk

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 4.6
  • CIS GCP Foundation 1.1: 4.7
  • CIS GCP Foundation 1.2: 4.7
  • CIS GCP Foundation 1.3: 4.7
  • CIS GCP Foundation 2.0: 4.7
  • CIS GCP Foundation 3.0: 4.7
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

בודק את השדה sha256 באובייקט diskEncryptionKey כדי למצוא את שם המשאב של ה-CSEK.

  • נכסים שלא נכללים בסריקות:
    דיסקים של Compute Engine שסימן האבטחה enforce_customer_supplied_disk_encryption_keys לא מוגדר בהם כ-true
  • הרשאות IAM נוספות: roles/compute.Viewer
  • קלט נוסף: קריאת מטא-נתונים מ-Compute Engine
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: FULL_API_ACCESS

תיאור הממצא: מופע מוגדר להשתמש בחשבון השירות שמוגדר כברירת מחדל עם גישה מלאה לכל ממשקי ה-API של Google Cloud.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 4.1
  • CIS GCP Foundation 1.1: 4.2
  • CIS GCP Foundation 1.2: 4.2
  • CIS GCP Foundation 1.3: 4.2
  • CIS GCP Foundation 2.0: 4.2
  • CIS GCP Foundation 3.0: 4.2
  • NIST 800-53 R4: AC-6
  • NIST 800-53 R5: IA-5
  • PCI-DSS v3.2.1: 7.1.2
  • PCI-DSS v4.0: 2.2.2, 2.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.8.2, A.8.9
  • NIST Cybersecurity Framework 1.0: PR-AC-1
  • SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 4.7

מאחזר את השדה scopes במאפיין serviceAccounts כדי לבדוק אם נעשה שימוש בחשבון שירות שמוגדר כברירת מחדל, ואם הוקצה לו ההיקף cloud-platform.

  • נכסים שלא נכללים בסריקות: מכונות GKE, משימות Dataflow
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: HTTP_LOAD_BALANCER

תיאור הממצא: מכונה משתמשת במאזן עומסים שמוגדר להשתמש בשרת proxy ל-HTTP במקום בשרת proxy ל-HTTPS.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/TargetHttpProxy

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • PCI-DSS v3.2.1: 2.3

הפונקציה בודקת אם המאפיין selfLink של המשאב targetHttpProxy תואם למאפיין target בכלל ההעברה, ואם כלל ההעברה מכיל שדה loadBalancingScheme שמוגדר כ-External.

  • הרשאות IAM נוספות: roles/compute.Viewer
  • ‫Additional inputs: קריאת כללי העברה של שרת proxy ל-HTTP עם יעד ב-Compute Engine, ובדיקה אם יש כללים חיצוניים
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: INSTANCE_OS_LOGIN_DISABLED

תיאור הממצא: OS Login מושבת במכונה הזו.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 4.3
  • CIS GCP Foundation 1.1: 4.4
  • CIS GCP Foundation 1.2: 4.4
  • CIS GCP Foundation 1.3: 4.4
  • CIS GCP Foundation 2.0: 4.4
  • NIST 800-53 R5: AC-2
  • ISO-27001 v2022: A.5.15
  • SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9
  • CIS Controls 8.0: 5.6, 6.7

בודק אם המאפיין enable-oslogin של Custom metadata במכונה מוגדר כ-TRUE.

  • נכסים שלא נכללים בסריקות: מכונות GKE, מכונות שקשורות למשימות Dataflow, חיבור לרשת (VPC) מאפליקציית serverless
  • הרשאות IAM נוספות: roles/compute.Viewer
  • קלט נוסף: קריאת מטא-נתונים מ-Compute Engine.
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: IP_FORWARDING_ENABLED

תיאור הממצא: העברת IP מופעלת במכונות.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 4.5
  • CIS GCP Foundation 1.1: 4.6
  • CIS GCP Foundation 1.2: 4.6
  • CIS GCP Foundation 1.3: 4.6
  • CIS GCP Foundation 2.0: 4.6
  • CIS GCP Foundation 3.0: 4.6
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

בודק אם המאפיין canIpForward של המכונה מוגדר כ-true.

  • נכסים שלא נכללים בסריקות: מכונות GKE, חיבור לרשת (VPC) מאפליקציית serverless
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OS_LOGIN_DISABLED

תיאור הממצא: OS Login מושבת בפרויקט הזה.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 4.3
  • CIS GCP Foundation 1.1: 4.4
  • CIS GCP Foundation 1.2: 4.4
  • CIS GCP Foundation 1.3: 4.4
  • CIS GCP Foundation 2.0: 4.4
  • NIST 800-53 R5: AC-2
  • ISO-27001 v2022: A.5.15
  • SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9
  • CIS Controls 8.0: 5.6, 6.7

בדיקה של האובייקט commonInstanceMetadata.items[] במטא-נתונים של הפרויקט כדי לאתר את צמד המפתח/ערך "key": "enable-oslogin", "value": TRUE. הגלאי גם בודק את כל המכונות בפרויקט ב-Compute Engine כדי לראות אם OS Login מושבת במכונות ספציפיות.

  • נכסים שלא נכללים בסריקות: מכונות GKE, מכונות שקשורות למשימות Dataflow
  • הרשאות IAM נוספות: roles/compute.Viewer
  • קלט נוסף: קריאת מטא-נתונים מ-Compute Engine. הגלאי בודק גם מכונות של Compute Engine בפרויקט
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: PUBLIC_IP_ADDRESS

תיאור הממצא: למכונה יש כתובת IP ציבורית.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
compute.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 4.9
  • CIS GCP Foundation 1.2: 4.9
  • CIS GCP Foundation 1.3: 4.9
  • CIS GCP Foundation 2.0: 4.9
  • CIS GCP Foundation 3.0: 4.9
  • NIST 800-53 R4: CA-3, SC-7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

בודק אם המאפיין networkInterfaces מכיל שדה accessConfigs, שמציין שהוא מוגדר להשתמש בכתובת IP ציבורית.

  • נכסים שלא נכללים בסריקות: מכונות GKE, מכונות שקשורות למשימות Dataflow
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SHIELDED_VM_DISABLED

תיאור הממצא: המכונה הווירטואלית המוגנת מושבתת במכונה הזו.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 4.8
  • CIS GCP Foundation 1.2: 4.8
  • CIS GCP Foundation 1.3: 4.8
  • CIS GCP Foundation 2.0: 4.8
  • CIS GCP Foundation 3.0: 4.8

בודק את המאפיין shieldedInstanceConfig במכונות של Compute Engine כדי לקבוע אם השדות enableIntegrityMonitoring ו-enableVtpm מוגדרים כ-true. השדות מציינים אם המכונה הווירטואלית המוגנת מופעלת.

  • נכסים שלא נכללים בסריקות: מכונות GKE וחיבור לרשת (VPC) מאפליקציית serverless
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: WEAK_SSL_POLICY

תיאור הממצא: למכונה יש מדיניות SSL חלשה.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/TargetHttpsProxy
compute.googleapis.com/TargetSslProxy

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 3.9
  • CIS GCP Foundation 1.2: 3.9
  • CIS GCP Foundation 1.3: 3.9
  • CIS GCP Foundation 2.0: 3.9
  • CIS GCP Foundation 3.0: 3.9
  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.14.1.3

בדיקה אם sslPolicy במטא-נתונים של הנכס ריק או אם הוא משתמש במדיניות ברירת המחדל של Google Cloud , ובמשאב sslPolicies המצורף, אם profile מוגדר ל-Restricted או ל- Modern, אם minTlsVersion מוגדר ל-TLS 1.2 ואם customFeatures ריק או לא מכיל את הצפנים הבאים: TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA.

  • הרשאות IAM נוספות: roles/compute.Viewer
  • קלט נוסף: קריאת מדיניות SSL לאחסון שרתי proxy לחלוקת העומס, ובדיקה אם יש מדיניות חלשה
  • סריקות בזמן אמת: כן, אבל רק כשמעדכנים את TargetHttpsProxy של TargetSslProxy, ולא כשמעדכנים את מדיניות ה-SSL.

ממצאים לגבי נקודות חולשה בקונטיינרים

כל סוגי הממצאים האלה קשורים להגדרות של קונטיינרים ב-GKE, והם שייכים לסוג הגלאי CONTAINER_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: ALPHA_CLUSTER_ENABLED

תיאור הממצא: תכונות של אשכול אלפא מופעלות באשכול GKE.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GKE 1.0: 6.10.2

בודק אם המאפיין enableKubernetesAlpha של אשכול מוגדר לערך true.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: AUTO_REPAIR_DISABLED

תיאור הממצא: התכונה "תיקון אוטומטי" של אשכול GKE, ששומרת על הצמתים במצב תקין ופועל, מושבתת.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.7
  • CIS GKE 1.0: 6.5.2
  • PCI-DSS v3.2.1: 2.2

בדיקה של המאפיין management של מאגר צמתים לצמד מפתח/ערך, "key": "autoRepair", "value": true.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: AUTO_UPGRADE_DISABLED

תיאור הממצא: התכונה "שדרוג אוטומטי" של אשכול GKE, ששומרת על אשכולות ומאגרי צמתים בגרסה היציבה האחרונה של Kubernetes, מושבתת.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.8
  • CIS GKE 1.0: 6.5.3
  • PCI-DSS v3.2.1: 2.2

בדיקה של המאפיין management של מאגר צמתים לצמד מפתח/ערך, "key": "autoUpgrade", "value": true.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: BINARY_AUTHORIZATION_DISABLED

תיאור הממצא: Binary Authorization מושבת באשכול GKE, או שהמדיניות של Binary Authorization מוגדרת כך שכל קובצי האימג' יכולים להיפרס.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

הכלי בודק את הדברים הבאים:

  • בודק אם המאפיין binaryAuthorization מכיל אחד מזוגות המפתח/ערך הבאים:
    • "evaluationMode": "PROJECT_SINGLETON_POLICY_ENFORCE"
    • "evaluationMode": "POLICY_BINDINGS"
    • "evaluationMode": "POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE"
  • בודק אם מאפיין המדיניות defaultAdmissionRule לא מכיל את צמד המפתח/ערך evaluationMode: ALWAYS_ALLOW.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: CLUSTER_LOGGING_DISABLED

תיאור הממצא: רישום ביומן לא מופעל באשכול GKE.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.1
  • CIS GKE 1.0: 6.7.1
  • PCI-DSS v3.2.1: 10.2.2, 10.2.7

בודק אם המאפיין loggingService של אשכול מכיל את המיקום שבו Cloud Logging צריך להשתמש כדי לכתוב יומנים.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: CLUSTER_MONITORING_DISABLED

תיאור הממצא: המעקב מושבת באשכולות GKE.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.2
  • CIS GKE 1.0: 6.7.1
  • PCI-DSS v3.2.1: 10.1, 10.2

בדיקה אם המאפיין monitoringService של אשכול מכיל את המיקום שבו Cloud Monitoring צריך להשתמש כדי לכתוב מדדים.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED

תיאור הממצא: המארחים של האשכול לא מוגדרים להשתמש רק בכתובות IP פנימיות פרטיות כדי לגשת לממשקי Google API.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.16
  • PCI-DSS v3.2.1: 1.3

בדיקה אם המאפיין privateIpGoogleAccess של רשת משנה מוגדר כ-false.

  • קלט נוסף: קריאת רשתות משנה מהאחסון, הגשת ממצאים רק לאשכולות עם רשתות משנה
  • סריקות בזמן אמת: כן, אבל רק אם האשכול מעודכן, לא לעדכונים של רשתות משנה

שם הקטגוריה ב-API: CLUSTER_SECRETS_ENCRYPTION_DISABLED

תיאור הממצא: הצפנת סודות בשכבת האפליקציה מושבתת באשכול GKE.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GKE 1.0: 6.3.1

בודק את המאפיין keyName של האובייקט databaseEncryption לגבי צמד המפתח/ערך "state": ENCRYPTED.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: CLUSTER_SHIELDED_NODES_DISABLED

תיאור הממצא: צומתי GKE מוגנים לא מופעלים באשכול.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GKE 1.0: 6.5.5

בודק את המאפיין shieldedNodes עבור צמד המפתח/ערך "enabled": true.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: COS_NOT_USED

תיאור הממצא: המכונות הווירטואליות של Compute Engine לא משתמשות במערכת ההפעלה שמותאמת לקונטיינרים, שמיועדת להרצת קונטיינרים של Docker ב- Google Cloud באופן מאובטח.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.9
  • CIS GKE 1.0: 6.5.1
  • PCI-DSS v3.2.1: 2.2

בדיקה של המאפיין config של מאגר צמתים לצמד מפתח/ערך, "imageType": "COS".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: INTEGRITY_MONITORING_DISABLED

תיאור הממצא: בדיקת תקינות מושבתת באשכול GKE.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GKE 1.0: 6.5.6

בודק את המאפיין shieldedInstanceConfig של האובייקט nodeConfig לגבי צמד המפתח/ערך "enableIntegrityMonitoring": true.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: INTRANODE_VISIBILITY_DISABLED

תיאור הממצא: התכונה "הרשאות גישה בתוך הצומת" מושבתת באשכול GKE.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GKE 1.0: 6.6.1

בודק אם הנכס networkConfig מכיל את צמד המפתח/ערך "enableIntraNodeVisibility": true.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: IP_ALIAS_DISABLED

תיאור הממצא: נוצר אשכול GKE עם טווחי כתובות IP חלופיות מושבתים.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.13
  • CIS GKE 1.0: 6.6.2
  • PCI-DSS v3.2.1: 1.3.4, 1.3.7

בודקת אם השדה useIPAliases של ipAllocationPolicy באשכול מוגדר לערך false.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: LEGACY_AUTHORIZATION_ENABLED

תיאור הממצא: הרשאה מדור קודם מופעלת באשכולות GKE.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.3
  • CIS GKE 1.0: 6.8.3
  • PCI-DSS v3.2.1: 4.1

בדיקה של המאפיין legacyAbac של אשכול לצמד מפתח/ערך, "enabled": true.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: LEGACY_METADATA_ENABLED

תיאור הממצא: מטא-נתונים מדור קודם מופעלים באשכולות GKE.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GKE 1.0: 6.4.1

בדיקה של המאפיין config של מאגר צמתים לצמד מפתח/ערך, "disable-legacy-endpoints": "false".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: MASTER_AUTHORIZED_NETWORKS_DISABLED

תיאור הממצא: התכונה "רשתות מורשות במישור הבקרה" לא מופעלת באשכולות GKE.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.4
  • CIS GKE 1.0: 6.6.3
  • PCI-DSS v3.2.1: 1.2.1, 1.3.2

בדיקה של המאפיין masterAuthorizedNetworksConfig של אשכול לצמד מפתח/ערך, "enabled": false.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: NETWORK_POLICY_DISABLED

תיאור הממצא: מדיניות רשת ב-Kubernetes מושבתת באשכולות GKE.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.11
  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.3
  • ISO-27001 v2013: A.13.1.1

בדיקה של השדה networkPolicy במאפיין addonsConfig כדי לאתר את צמד המפתח/ערך "disabled": true.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: NODEPOOL_BOOT_CMEK_DISABLED

תיאור הממצא: דיסקי האתחול במאגר הצמתים הזה לא מוצפנים באמצעות מפתחות הצפנה בניהול הלקוח (CMEK). כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות זמינות במאמר הפעלה והשבתה של גלאים.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בדיקה אם המאפיין bootDiskKmsKey של מאגרי הצמתים מכיל את שם המשאב של ה-CMEK.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: NODEPOOL_SECURE_BOOT_DISABLED

תיאור הממצא: האתחול המאובטח מושבת באשכול GKE.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GKE 1.0: 6.5.7

בודק את המאפיין shieldedInstanceConfig של האובייקט nodeConfig לגבי צמד המפתח/ערך "enableSecureBoot": true.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OVER_PRIVILEGED_ACCOUNT

תיאור הממצא: לחשבון שירות יש גישה רחבה מדי לפרויקט באשכול.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.17
  • NIST 800-53 R4: AC-6, SC-7
  • CIS GKE 1.0: 6.2.1
  • PCI-DSS v3.2.1: 2.1, 7.1.2
  • ISO-27001 v2013: A.9.2.3

הערכת המאפיין config של מאגר צמתים כדי לבדוק אם לא צוין חשבון שירות או אם נעשה שימוש בחשבון השירות שמוגדר כברירת מחדל.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OVER_PRIVILEGED_SCOPES

תיאור הממצא: לחשבון שירות של צומת יש היקפי גישה רחבים.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.18
  • CIS GKE 1.0: 6.2.1
 בדיקה אם היקף הגישה שרשום במאפיין config.oauthScopes של מאגר צמתים הוא היקף גישה מוגבל של חשבון שירות: https://www.googleapis.com/auth/devstorage.read_only,‏ https://www.googleapis.com/auth/logging.write או https://www.googleapis.com/auth/monitoring.
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: POD_SECURITY_POLICY_DISABLED

תיאור הממצא: PodSecurityPolicy מושבת באשכול GKE.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.14
  • CIS GKE 1.0: 6.10.3

בדיקת המאפיין podSecurityPolicyConfig של אשכול לצמד מפתח/ערך, "enabled": false.

  • הרשאות IAM נוספות: roles/container.clusterViewer
  • קלט נוסף: קריאת מידע על אשכולות מ-GKE, כי כללי מדיניות האבטחה של Pod הם תכונה בגרסת בטא. ב-Kubernetes הוציאו משימוש באופן רשמי את PodSecurityPolicy בגרסה 1.21. התכונה PodSecurityPolicy תושבת בגרסה 1.25. למידע על חלופות, קראו את המאמר הוצאה משימוש של PodSecurityPolicy.
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: PRIVATE_CLUSTER_DISABLED

תיאור הממצא: באשכול GKE מושבת אשכול פרטי.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.15
  • CIS GKE 1.0: 6.6.5
  • PCI-DSS v3.2.1: 1.3.2

בודק אם השדה enablePrivateNodes של המאפיין privateClusterConfig מוגדר לערך false.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: RELEASE_CHANNEL_DISABLED

תיאור הממצא: אשכול GKE לא מנוי לערוץ הפצה.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GKE 1.0: 6.5.4

בודק את המאפיין releaseChannel עבור צמד המפתח/ערך "channel": UNSPECIFIED.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: WEB_UI_ENABLED

תיאור הממצא: ממשק המשתמש של GKE באינטרנט (מרכז הבקרה) מופעל.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 7.6
  • CIS GKE 1.0: 6.10.1
  • PCI-DSS v3.2.1: 6.6

הפונקציה בודקת את השדה kubernetesDashboard של המאפיין addonsConfig כדי למצוא את צמד המפתח/ערך "disabled": false.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: WORKLOAD_IDENTITY_DISABLED

תיאור הממצא: איחוד זהויות של עומסי עבודה ל-GKE מושבת באשכול GKE.

רמת תמחור: פרימיום

נכסים נתמכים
container.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GKE 1.0: 6.2.2

בודק אם המאפיין workloadIdentityConfig של אשכול מוגדר. הגלאי גם בודק אם המאפיין workloadMetadataConfig של מאגר צמתים מוגדר כ-GKE_METADATA.

  • הרשאות IAM נוספות: roles/container.clusterViewer
  • סריקות בזמן אמת: כן

ממצאי נקודות חולשה ב-Managed Service for Apache Spark

כל נקודות החולשה מסוג הגלאי הזה קשורות ל-Managed Service for Apache Spark ושייכות לסוג הגלאי DATAPROC_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: DATAPROC_CMEK_DISABLED

תיאור הממצא: נוצר אשכול Managed Service for Apache Spark בלי הגדרת הצפנה באמצעות CMEK. בעזרת CMEK, המפתחות שאתם יוצרים ומנהלים ב-Cloud Key Management Service עוטפים את המפתחות שמשמשים את Google Cloud להצפנת הנתונים שלכם, וכך אתם מקבלים יותר שליטה על הגישה לנתונים. כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות זמינות במאמר הפעלה והשבתה של גלאים.

רמת תמחור: פרימיום

נכסים נתמכים
dataproc.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.3: 1.17
  • CIS GCP Foundation 2.0: 1.17
  • CIS GCP Foundation 3.0: 8.1
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

בודקת אם השדה kmsKeyName במאפיין encryptionConfiguration ריק.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: DATAPROC_IMAGE_OUTDATED

תיאור הממצא: נוצר אשכול Managed Service for Apache Spark עם גרסת אימג' של Managed Service for Apache Spark שמושפעת מנקודות חולשה באבטחה בכלי Apache Log4j 2‏ (CVE-2021-44228 ו-CVE-2021-45046).

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
dataproc.googleapis.com/Cluster

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בודק אם השדה softwareConfig.imageVersion במאפיין config של Cluster הוא לפני גרסה 1.3.95 או גרסת משנה של קובץ אימג' לפני 1.4.77,‏ 1.5.53 או 2.0.27.

  • סריקות בזמן אמת: כן

ממצאים לגבי נקודות חולשה בקבוצת הנתונים

כל נקודות החולשה של סוג הגלאי הזה קשורות להגדרות של מערך הנתונים ב-BigQuery, והן שייכות לסוג הגלאי DATASET_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: BIGQUERY_TABLE_CMEK_DISABLED

תיאור הממצא: טבלה ב-BigQuery לא מוגדרת לשימוש במפתח הצפנה בניהול הלקוח (CMEK). כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות זמינות במאמר הפעלה והשבתה של גלאים.

רמת תמחור: פרימיום

נכסים נתמכים
bigquery.googleapis.com/Table

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 7.2
  • CIS GCP Foundation 1.3: 7.2
  • CIS GCP Foundation 2.0: 7.2
  • CIS GCP Foundation 3.0: 7.2
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

בודקת אם השדה kmsKeyName במאפיין encryptionConfiguration ריק.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: DATASET_CMEK_DISABLED

תיאור הממצא: מערך נתונים ב-BigQuery לא מוגדר לשימוש במפתח CMEK כברירת מחדל. כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות זמינות במאמר הפעלה והשבתה של גלאים.

רמת תמחור: פרימיום

נכסים נתמכים
bigquery.googleapis.com/Dataset

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 7.3
  • CIS GCP Foundation 1.3: 7.3
  • CIS GCP Foundation 2.0: 7.3
  • CIS GCP Foundation 3.0: 7.3
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

בודקת אם השדה kmsKeyName במאפיין defaultEncryptionConfiguration ריק.

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: PUBLIC_DATASET

תיאור הממצא: מערך נתונים מוגדר כך שהוא פתוח לגישה ציבורית.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
bigquery.googleapis.com/Dataset

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 7.1
  • CIS GCP Foundation 1.2: 7.1
  • CIS GCP Foundation 1.3: 7.1
  • CIS GCP Foundation 2.0: 7.1
  • CIS GCP Foundation 3.0: 7.1
  • NIST 800-53 R4: AC-2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

בדיקה של מדיניות ההרשאות של IAM במטא-נתונים של המשאב, כדי לראות אם לחשבונות המשתמשים allUsers או allAuthenticatedUsers יש גישה ציבורית.

  • סריקות בזמן אמת: כן

ממצאים של נקודות חולשה ב-DNS

כל נקודות החולשה מסוג הגלאי הזה קשורות להגדרות של Cloud DNS, והן שייכות לסוג הגלאי DNS_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: DNSSEC_DISABLED

תיאור הממצא: ‫DNSSEC מושבת באזורי Cloud DNS.

רמת תמחור: פרימיום

נכסים נתמכים
dns.googleapis.com/ManagedZone

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 3.3
  • CIS GCP Foundation 1.1: 3.3
  • CIS GCP Foundation 1.2: 3.3
  • CIS GCP Foundation 1.3: 3.3
  • CIS GCP Foundation 2.0: 3.3
  • CIS GCP Foundation 3.0: 3.3
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2013: A.8.2.3
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

בודק אם השדה state של המאפיין dnssecConfig מוגדר לערך off.

  • נכסים שלא נכללים בסריקות: תחומי Cloud DNS שהם לא ציבוריים
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: RSASHA1_FOR_SIGNING

תיאור הממצא: נעשה שימוש ב-RSASHA1 לחתימת מפתחות באזורי Cloud DNS.

רמת תמחור: פרימיום

נכסים נתמכים
dns.googleapis.com/ManagedZone

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 3.4, 3.5
  • CIS GCP Foundation 1.1: 3.4, 3.5
  • CIS GCP Foundation 1.2: 3.4, 3.5
  • CIS GCP Foundation 1.3: 3.4, 3.5
  • CIS GCP Foundation 2.0: 3.4, 3.5
  • CIS GCP Foundation 3.0: 3.4, 3.5
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

בודק אם האובייקט defaultKeySpecs.algorithm של המאפיין dnssecConfig מוגדר לערך rsasha1.

  • סריקות בזמן אמת: כן

ממצאים של נקודות חולשה בחומת האש

כל נקודות החולשה מסוג הגלאי הזה קשורות להגדרות של חומת האש, והן שייכות לסוג הגלאי FIREWALL_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: EGRESS_DENY_RULE_NOT_SET

תיאור הממצא: לא הוגדר כלל דחייה של תעבורת נתונים יוצאת בחומת אש. צריך להגדיר כללי דחייה של תעבורת נתונים יוצאת כדי לחסום תעבורת נתונים יוצאת לא רצויה.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • PCI-DSS v3.2.1: 7.2

הפונקציה בודקת אם המאפיין destinationRanges בחומת האש מוגדר לערך 0.0.0.0/0 ואם המאפיין denied מכיל את צמד המפתח/ערך "IPProtocol": "all".

  • קלט נוסף: קריאת חומות אש של תעבורת נתונים יוצאת לפרויקט מהאחסון
  • סריקות בזמן אמת: כן, אבל רק בשינויים בפרויקט, לא בשינויים בכללי חומת האש

שם הקטגוריה ב-API: FIREWALL_RULE_LOGGING_DISABLED

תיאור הממצא: רישום ביומן של כללי חומת האש מושבת. כדי לבדוק את הגישה לרשת, צריך להפעיל את רישום כללי חומת האש ביומן.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SI-4
  • PCI-DSS v3.2.1: 10.1, 10.2
  • ISO-27001 v2013: A.13.1.1

בודק את המאפיין logConfig במטא-נתונים של חומת האש כדי לראות אם הוא ריק או מכיל את צמד המפתח/ערך "enable": false.

שם הקטגוריה ב-API: OPEN_CASSANDRA_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת Cassandra פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בדיקת המאפיין allowed במטא-נתונים של חומת האש, לפרוטוקולים וליציאות הבאים: TCP:7000-7001, 7199, 8888, 9042, 9160, 61620-61621.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_CISCOSECURE_WEBSM_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת CISCOSECURE_WEBSM פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בדיקת המאפיין allowed במטא-נתונים של חומת האש, לפרוטוקול וליציאה הבאים: TCP:9090.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_DIRECTORY_SERVICES_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת DIRECTORY_SERVICES פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בודק את המאפיין allowed במטא-נתונים של חומת האש בשביל הפרוטוקולים והיציאות הבאים: TCP:445 ו-UDP:445.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_DNS_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת DNS פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בודק את המאפיין allowed במטא-נתונים של חומת האש בשביל הפרוטוקולים והיציאות הבאים: TCP:53 ו-UDP:53.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_ELASTICSEARCH_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת ELASTICSEARCH פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בדיקת המאפיין allowed במטא-נתונים של חומת האש, לפרוטוקולים וליציאות הבאים: TCP:9200, 9300.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_FIREWALL

תיאור הממצא: חומת אש מוגדרת כך שהיא פתוחה לגישה ציבורית.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • PCI-DSS v3.2.1: 1.2.1

בודק את המאפיינים sourceRanges ו-allowed באחד משני מערכי הגדרות אישיות:

  • המאפיין sourceRanges מכיל את 0.0.0.0/0 והמאפיין allowed מכיל שילוב של כללים שכולל כל protocol או protocol:port, חוץ מהבאים:
    • icmp
    • tcp:22
    • tcp:443
    • tcp:3389
    • udp:3389
    • sctp:22
  • המאפיין sourceRanges מכיל שילוב של טווחי IP שכוללים כתובות IP לא פרטיות, והמאפיין allowed מכיל שילוב של כללים שמאפשרים את כל יציאות ה-TCP או את כל יציאות ה-UDP.

שם הקטגוריה ב-API: OPEN_FTP_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת FTP פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בדיקת המאפיין allowed במטא-נתונים של חומת האש, לפרוטוקול וליציאה הבאים: TCP:21.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_HTTP_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת HTTP פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בדיקת המאפיין allowed במטא-נתונים של חומת האש, לפרוטוקולים וליציאות הבאים: TCP:80.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_LDAP_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת LDAP פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בודק את המאפיין allowed במטא-נתונים של חומת האש בשביל הפרוטוקולים והיציאות הבאים: TCP:389, 636 ו-UDP:389.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_MEMCACHED_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת MEMCACHED פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בודק את המאפיין allowed במטא-נתונים של חומת האש בשביל הפרוטוקולים והיציאות הבאים: TCP:11211, 11214-11215 ו-UDP:11211, 11214-11215.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_MONGODB_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת MONGODB פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בדיקת המאפיין allowed במטא-נתונים של חומת האש, לפרוטוקולים וליציאות הבאים: TCP:27017-27019.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_MYSQL_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת MYSQL פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בדיקת המאפיין allowed במטא-נתונים של חומת האש, לפרוטוקול וליציאה הבאים: TCP:3306.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_NETBIOS_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת NETBIOS פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בודק את המאפיין allowed במטא-נתונים של חומת האש בשביל הפרוטוקולים והיציאות הבאים: TCP:137-139 ו-UDP:137-139.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_ORACLEDB_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת ORACLEDB פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בודק את המאפיין allowed במטא-נתונים של חומת האש בשביל הפרוטוקולים והיציאות הבאים: TCP:1521, 2483-2484 ו-UDP:2483-2484.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_POP3_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת POP3 פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בדיקת המאפיין allowed במטא-נתונים של חומת האש, לפרוטוקול וליציאה הבאים: TCP:110.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_POSTGRESQL_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת PostgreSQL פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בודק את המאפיין allowed במטא-נתונים של חומת האש בשביל הפרוטוקולים והיציאות הבאים: TCP:5432 ו-UDP:5432.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_RDP_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת RDP פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 3.7
  • CIS GCP Foundation 1.1: 3.7
  • CIS GCP Foundation 1.2: 3.7
  • CIS GCP Foundation 1.3: 3.7
  • CIS GCP Foundation 2.0: 3.7
  • CIS GCP Foundation 3.0: 3.7
  • NIST 800-53 R4: SC-7
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • ISO-27001 v2013: A.13.1.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

בודק את המאפיין allowed במטא-נתונים של חומת האש בשביל הפרוטוקולים והיציאות הבאים: TCP:3389 ו-UDP:3389.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_REDIS_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת REDIS פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בודק אם המאפיין allowed במטא-נתונים של חומת האש מכיל את הפרוטוקול והיציאה הבאים: TCP:6379.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_SMTP_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת SMTP פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בודק אם המאפיין allowed במטא-נתונים של חומת האש מכיל את הפרוטוקול והיציאה הבאים: TCP:25.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_SSH_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת SSH פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 3.6
  • CIS GCP Foundation 1.1: 3.6
  • CIS GCP Foundation 1.2: 3.6
  • CIS GCP Foundation 1.3: 3.6
  • CIS GCP Foundation 2.0: 3.6
  • CIS GCP Foundation 3.0: 3.6
  • NIST 800-53 R4: SC-7
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • ISO-27001 v2013: A.13.1.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

בדיקה אם המאפיין allowed במטא-נתונים של חומת האש מכיל את הפרוטוקולים והיציאות הבאים: TCP:22 ו-SCTP:22.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_TELNET_PORT

תיאור הממצא: חומת אש מוגדרת עם יציאת TELNET פתוחה שמאפשרת גישה כללית.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
compute.googleapis.com/Firewall

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

בודק אם המאפיין allowed במטא-נתונים של חומת האש מכיל את הפרוטוקול והיציאה הבאים: TCP:23.

  • סריקות בזמן אמת: כן

ממצאים של נקודות חולשה ב-IAM

כל נקודות החולשה של סוג הגלאי הזה קשורות להגדרות של ניהול הזהויות והרשאות הגישה (IAM), והן שייכות לסוג הגלאי IAM_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: ACCESS_TRANSPARENCY_DISABLED

תיאור הממצא: Google Cloud התכונה Access Transparency מושבתת בארגון שלכם. יומני Access Transparency כשעובדי Google Cloud ניגשים לפרויקטים בארגון שלכם כדי לספק תמיכה. הפעלת Access Transparency כדי לתעד ביומן מי מ- Google Cloud ניגש למידע שלך, מתי ולמה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.3: 2.14
  • CIS GCP Foundation 2.0: 2.14
  • CIS GCP Foundation 3.0: 2.14

בודק אם התכונה Access Transparency מופעלת בארגון.

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ADMIN_SERVICE_ACCOUNT

תיאור הממצא: לחשבון שירות יש הרשאות אדמין, בעלים או עריכה. אין להקצות את התפקידים האלה לחשבונות שירות שנוצרו על ידי משתמשים.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.4
  • CIS GCP Foundation 1.1: 1.5
  • CIS GCP Foundation 1.2: 1.5
  • CIS GCP Foundation 1.3: 1.5
  • CIS GCP Foundation 2.0: 1.5
  • CIS GCP Foundation 3.0: 1.5
  • NIST 800-53 R5: AC-6
  • ISO-27001 v2022: A.5.15, A.8.2
  • Cloud Controls Matrix 4: IAM-09
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.7, CC6.1.8, CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 5.4

בדיקה של מדיניות ההרשאות של IAM במטא-נתונים של המשאב, כדי לראות אם יש חשבונות שירות שנוצרו על ידי משתמשים (שמצוינים באמצעות הקידומת ), שהוקצו להם התפקידים roles/Owner או roles/Editor, או מזהה תפקיד שמכיל את הערך admin.

  • נכסים שלא נכללים בסריקות: חשבון השירות של Container Registry‏ (containerregistry.) וחשבון השירות של Security Command Center‏ (security-center-api.)
  • סריקות בזמן אמת: כן, אלא אם עדכון ה-IAM מתבצע בתיקייה

שם הקטגוריה ב-API: ESSENTIAL_CONTACTS_NOT_CONFIGURED

תיאור הממצא: הארגון שלך לא הגדיר אדם או קבוצה שיקבלו התראות מ- Google Cloud על אירועים חשובים כמו מתקפות, נקודות חולשה ואירועי אבטחת מידע בארגון Google Cloud . מומלץ להגדיר אדם אחד או יותר, או קבוצה אחת או יותר, בארגון העסקי שלך כאיש קשר חיוני.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.3: 1.16
  • CIS GCP Foundation 2.0: 1.16
  • CIS GCP Foundation 3.0: 1.16
  • NIST 800-53 R5: IR-6
  • ISO-27001 v2022: A.5.20, A.5.24, A.5.5, A.5.6
  • Cloud Controls Matrix 4: SEF-08
  • NIST Cybersecurity Framework 1.0: RS-CO-1
  • SOC2 v2017: CC2.3.1
  • CIS Controls 8.0: 17.2

בדיקה שצוין איש קשר בקטגוריות הבאות של אנשי קשר חיוניים:

  • משפטי
  • אבטחה
  • השעיה
  • טכני

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: KMS_ROLE_SEPARATION

תיאור הממצא: לא מתבצעת אכיפה של הפרדת תפקידים, ויש משתמש עם התפקיד אדמין של Cloud KMS וגם אחד מהתפקידים הבאים של Cloud Key Management Service ‏(Cloud KMS): הצפנה/פענוח של CryptoKey, הצפנה, פענוח, צפייה במפתח ציבורי, חתימה או חתימה/אימות.

הממצא הזה לא זמין להפעלות ברמת הפרויקט.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.9
  • CIS GCP Foundation 1.1: 1.11
  • CIS GCP Foundation 2.0: 1.11
  • NIST 800-53 R4: AC-5
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.10.1.2, A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
 בודק את מדיניות ההרשאות של IAM במטא-נתונים של המשאב, ומאחזר את חשבונות המשתמשים שהוקצו להם בו-זמנית התפקידים הבאים: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, וגם roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier, roles/cloudkms.publicKeyViewer.
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: NON_ORG_IAM_MEMBER

תיאור הממצא: יש משתמש שלא משתמש בפרטי הכניסה של הארגון. לפי CIS GCP Foundations 1.0, כרגע רק זהויות עם כתובות אימייל של ‎ @gmail.com מפעילות את הגלאי הזה.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.1
  • CIS GCP Foundation 1.1: 1.1
  • CIS GCP Foundation 1.2: 1.1
  • CIS GCP Foundation 1.3: 1.1
  • CIS GCP Foundation 2.0: 1.1
  • CIS GCP Foundation 3.0: 1.1
  • NIST 800-53 R4: AC-3
  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

הוא משווה בין כתובות אימייל עם הסיומת ‎ @gmail.com בשדה user במטא-נתונים של מדיניות ההרשאות של IAM לבין רשימה של זהויות שאושרו לארגון.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: OPEN_GROUP_IAM_MEMBER

תיאור הממצא: חשבון של קבוצות Google שאפשר להצטרף אליו בלי אישור משמש כחשבון משתמש במדיניות ההרשאות של IAM.

רמת תמחור: פרימיום או רגילה

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

 בדיקה של מדיניות ה-IAM במטא-נתונים של המשאב, כדי לאתר קישורים שמכילים חבר (חשבון משתמש) עם הקידומת group. אם הקבוצה היא קבוצה פתוחה, הכלי Security Health Analytics יוצר את הממצא הזה.
  • קלט נוסף: קריאת המטא-נתונים של קבוצת Google כדי לבדוק אם הקבוצה שזוהתה היא קבוצה פתוחה.
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER

תיאור הממצא: למשתמש יש את התפקיד משתמש בחשבון שירות או יצירת אסימונים בחשבון שירות ברמת הפרויקט, במקום בחשבון שירות ספציפי.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.5
  • CIS GCP Foundation 1.1: 1.6
  • CIS GCP Foundation 1.2: 1.6
  • CIS GCP Foundation 1.3: 1.6
  • CIS GCP Foundation 2.0: 1.6
  • CIS GCP Foundation 3.0: 1.6
  • NIST 800-53 R4: AC-6
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1.2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
 בדיקה של מדיניות ההרשאות של IAM במטא-נתונים של המשאב, כדי לראות אם יש חשבונות משתמשים שהוקצו להם התפקידים roles/iam.serviceAccountUser או roles/iam.serviceAccountTokenCreator ברמת הפרויקט.
  • נכסים שלא נכללים בסריקות: חשבונות שירות של Cloud Build
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: PRIMITIVE_ROLES_USED

תיאור הממצא: למשתמש יש אחד מהתפקידים הבסיסיים הבאים:

  • בעלים (roles/owner)
  • עריכה (roles/editor)
  • צפייה (roles/viewer)

התפקידים האלה מתירניים מדי ואין להשתמש בהם.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: AC-6
  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

בדיקה של מדיניות ההרשאות ב-IAM במטא-נתונים של המשאב, כדי לראות אם יש חשבונות משתמשים שהוקצה להם התפקיד roles/owner,‏ roles/editor או roles/viewer.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: REDIS_ROLE_USED_ON_ORG

תיאור הממצא: תפקיד Redis IAM מוקצה ברמת הארגון או התיקייה.

הממצא הזה לא זמין להפעלות ברמת הפרויקט.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

בדיקה של מדיניות ההרשאות של IAM במטא-נתונים של המשאב, כדי לראות אם לחשבונות המשתמשים הוקצו התפקידים roles/redis.admin,‏ roles/redis.editor ו-roles/redis.viewer ברמת הארגון או התיקייה.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SERVICE_ACCOUNT_ROLE_SEPARATION

תיאור הממצא: למשתמש הוקצו התפקידים אדמין של חשבון שירות ומשתמש בחשבון שירות. זה מפר את העיקרון של "הפרדת תפקידים".

הממצא הזה לא זמין להפעלות ברמת הפרויקט.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.7
  • CIS GCP Foundation 1.1: 1.8
  • CIS GCP Foundation 1.2: 1.8
  • CIS GCP Foundation 1.3: 1.8
  • CIS GCP Foundation 2.0: 1.8
  • CIS GCP Foundation 3.0: 1.8
  • NIST 800-53 R4: AC-5
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
 בדיקה של מדיניות ההרשאות של IAM במטא-נתונים של המשאב, כדי לראות אם יש חשבונות משתמשים שהוקצו להם גם התפקיד roles/iam.serviceAccountUser וגם התפקיד roles/iam.serviceAccountAdmin.
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SERVICE_ACCOUNT_KEY_NOT_ROTATED

תיאור הממצא: לא בוצעה רוטציה של מפתח חשבון שירות במשך יותר מ-90 יום.

רמת תמחור: פרימיום

נכסים נתמכים
iam.googleapis.com/ServiceAccountKey

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.6
  • CIS GCP Foundation 1.1: 1.7
  • CIS GCP Foundation 1.2: 1.7
  • CIS GCP Foundation 1.3: 1.7
  • CIS GCP Foundation 2.0: 1.7
  • CIS GCP Foundation 3.0: 1.7

בדיקה של חותמת הזמן של יצירת המפתח, שמתועדת במאפיין validAfterTime במטא-נתונים של המפתח של חשבונות השירות.

  • נכסים שלא נכללים בסריקות: מפתחות של חשבונות שירות שפג תוקפם ומפתחות שלא מנוהלים על ידי משתמשים
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: USER_MANAGED_SERVICE_ACCOUNT_KEY

תיאור הממצא: משתמש מנהל מפתח של חשבון שירות.

רמת תמחור: פרימיום

נכסים נתמכים
iam.googleapis.com/ServiceAccountKey

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.3
  • CIS GCP Foundation 1.1: 1.4
  • CIS GCP Foundation 1.2: 1.4
  • CIS GCP Foundation 1.3: 1.4
  • CIS GCP Foundation 2.0: 1.4
  • CIS GCP Foundation 3.0: 1.4

בדיקה אם המאפיין keyType במטא-נתונים של המפתח של חשבון השירות מוגדר לערך User_Managed.

  • סריקות בזמן אמת: כן

ממצאי נקודות חולשה ב-KMS

כל נקודות החולשה מסוג הגלאי הזה קשורות להגדרות של Cloud KMS, והן שייכות לסוג הגלאי KMS_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: KMS_KEY_NOT_ROTATED

תיאור הממצא: לא הוגדרה רוטציה במפתח הצפנה של Cloud KMS. צריך להחליף את המפתחות תוך 90 יום.

רמת תמחור: פרימיום

נכסים נתמכים
cloudkms.googleapis.com/CryptoKey

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.8
  • CIS GCP Foundation 1.1: 1.10
  • CIS GCP Foundation 1.2: 1.10
  • CIS GCP Foundation 1.3: 1.10
  • CIS GCP Foundation 2.0: 1.10
  • NIST 800-53 R4: SC-12
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v3.2.1: 3.5
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2013: A.10.1.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

בודק אם המטא-נתונים של המשאב כוללים את המאפיינים rotationPeriod או nextRotationTime.

  • נכסים שלא נכללים בסריקות: מפתחות אסימטריים ומפתחות עם גרסאות ראשיות מושבתות או מושמדות
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: KMS_PROJECT_HAS_OWNER

תיאור הממצא: למשתמש יש הרשאות בעלים בפרויקט שיש בו מפתחות קריפטוגרפיים.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 1.11
  • CIS GCP Foundation 1.2: 1.11
  • CIS GCP Foundation 1.3: 1.11
  • CIS GCP Foundation 2.0: 1.11
  • NIST 800-53 R4: AC-6, SC-12
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 3.5
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.10.1.2, A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

בדיקה של מדיניות ההרשאות של IAM במטא-נתונים של הפרויקט, כדי לראות לאילו חשבונות משתמשים הוקצה התפקיד roles/Owner.

  • קלט נוסף: קריאת מפתחות הצפנה של פרויקט מהאחסון, והגשת ממצאים רק לפרויקטים עם מפתחות הצפנה
  • סריקות בזמן אמת: כן, אבל רק בשינויים במדיניות ההרשאות של IAM, ולא בשינויים במפתחות KMS

שם הקטגוריה ב-API: KMS_PUBLIC_KEY

תיאור הממצא: מפתח קריפטוגרפי של Cloud KMS נגיש לכולם.

רמת תמחור: פרימיום

נכסים נתמכים
cloudkms.googleapis.com/CryptoKey
cloudkms.googleapis.com/KeyRing

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 1.9
  • CIS GCP Foundation 1.2: 1.9
  • CIS GCP Foundation 1.3: 1.9
  • CIS GCP Foundation 2.0: 1.9
  • CIS GCP Foundation 3.0: 1.9
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

בדיקה של מדיניות ההרשאות של IAM במטא-נתונים של המשאב, כדי לראות אם לחשבונות המשתמשים allUsers או allAuthenticatedUsers יש גישה ציבורית.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: TOO_MANY_KMS_USERS

תיאור הממצא: יש יותר משלושה משתמשים במפתחות קריפטוגרפיים.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudkms.googleapis.com/CryptoKey

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • PCI-DSS v3.2.1: 3.5.2
  • ISO-27001 v2013: A.9.2.3
 בודק את מדיניות ההרשאות של IAM לאוספי מפתחות, לפרויקטים ולארגונים, ומאחזר חשבונות משתמשים עם תפקידים שמאפשרים להם להצפין, לפענח או לחתום על נתונים באמצעות מפתחות Cloud KMS: ‏roles/owner,‏ roles/cloudkms.cryptoKeyEncrypterDecrypter,‏ roles/cloudkms.cryptoKeyEncrypter,‏ roles/cloudkms.cryptoKeyDecrypter,‏ roles/cloudkms.signer ו-roles/cloudkms.signerVerifier.
  • קלט נוסף: קריאת גרסאות של מפתח קריפטוגרפי מהאחסון, ודיווח על ממצאים רק לגבי מפתחות עם גרסאות פעילות. הגלאי גם קורא מהאחסון את מדיניות ההרשאות של IAM ברמת אוסף המפתחות, הפרויקט והארגון.
  • סריקות בזמן אמת: כן

רישום ממצאים של נקודות חולשה

נקודות החולשה של סוג הגלאי הזה קשורות כולן להגדרות של רישום ביומן, והן שייכות לסוג הגלאי LOGGING_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: AUDIT_LOGGING_DISABLED

תיאור הממצא: רישום ביומן הביקורת הושבת במשאב הזה.

הממצא הזה לא זמין להפעלות ברמת הפרויקט.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 2.1
  • CIS GCP Foundation 1.1: 2.1
  • CIS GCP Foundation 1.2: 2.1
  • CIS GCP Foundation 1.3: 2.1
  • CIS GCP Foundation 2.0: 2.1
  • CIS GCP Foundation 3.0: 2.1
  • NIST 800-53 R4: AC-2, AU-2
  • NIST 800-53 R5: AU-6, AU-7
  • PCI-DSS v3.2.1: 10.1, 10.2
  • PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3
  • ISO-27001 v2013: A.12.4.1, A.16.1.7
  • ISO-27001 v2022: A.5.25
  • Cloud Controls Matrix 4: LOG-05
  • NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1
  • SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5
  • HIPAA: 164.308(a)(1)(ii), 164.312(b)
  • CIS Controls 8.0: 8.11, 8.2

בדיקה אם קיים אובייקט auditLogConfigs במדיניות ההרשאות של IAM במטא-נתונים של המשאב.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: BUCKET_LOGGING_DISABLED

תיאור הממצא: יש קטגוריית אחסון שהרישום ביומן לא מופעל בה.

רמת תמחור: פרימיום

נכסים נתמכים
storage.googleapis.com/Bucket

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 5.3

בדיקה אם השדה logBucket במאפיין logging של הקטגוריה ריק.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: LOCKED_RETENTION_POLICY_NOT_SET

תיאור הממצא: לא הוגדרה מדיניות נעולה לשמירת נתונים ביומנים.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
storage.googleapis.com/Bucket

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 2.3
  • CIS GCP Foundation 1.2: 2.3
  • CIS GCP Foundation 1.3: 2.3
  • CIS GCP Foundation 2.0: 2.3
  • CIS GCP Foundation 3.0: 2.3
  • NIST 800-53 R4: AU-11
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 10.5
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.12.4.2, A.18.1.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

בודקת אם השדה isLocked במאפיין retentionPolicy של הקטגוריה מוגדר כ-true.

  • קלט נוסף: קורא את ה-sink ביומן (מסנן היומן ויעד היומן) של קטגוריה כדי לקבוע אם היא קטגוריית יומנים
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: LOG_NOT_EXPORTED

תיאור הממצא: יש משאב שלא מוגדר לו sink מתאים ביומן.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 2.2
  • CIS GCP Foundation 1.1: 2.2
  • CIS GCP Foundation 1.2: 2.2
  • CIS GCP Foundation 1.3: 2.2
  • CIS GCP Foundation 2.0: 2.2
  • CIS GCP Foundation 3.0: 2.2
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2013: A.18.1.3
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.3

אחזור של אובייקט logSink בפרויקט, בדיקה שהשדה includeChildren מוגדר ל-true, שהשדה destination כולל את המיקום לכתיבת היומנים ושהשדה filter מאוכלס.

  • קלט נוסף: קורא את ה-sink ביומן (מסנן היומן ויעד היומן) של קטגוריה כדי לקבוע אם היא קטגוריית יומנים
  • סריקות בזמן אמת: כן, אבל רק בשינויים בפרויקט, ולא אם ייצוא היומנים מוגדר בתיקייה או בארגון

שם הקטגוריה ב-API: OBJECT_VERSIONING_DISABLED

תיאור הממצא: ניהול גרסאות של אובייקטים לא מופעל בקטגוריית אחסון שבה מוגדרים כיורים.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
storage.googleapis.com/Bucket

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 2.3
  • NIST 800-53 R4: AU-11
  • PCI-DSS v3.2.1: 10.5
  • ISO-27001 v2013: A.12.4.2, A.18.1.3

בודקת אם השדה enabled במאפיין versioning של הקטגוריה מוגדר כ-true.

  • נכסים שלא נכללים בסריקות: קטגוריות של Cloud Storage עם מדיניות נעולה לשמירת נתונים
  • קלט נוסף: קורא את ה-sink ביומן (מסנן היומן ויעד היומן) של קטגוריה כדי לקבוע אם היא קטגוריית יומנים
  • סריקות בזמן אמת: כן, אבל רק אם ניהול גרסאות האובייקטים משתנה, ולא אם נוצרות קטגוריות של יומנים

מעקב אחרי ממצאים של נקודות חולשה

כל נקודות החולשה של סוג הגלאי הזה קשורות להגדרות המעקב, והן שייכות לסוג MONITORING_SCANNER. כל הממצאים של גלאי המעקב כוללים את המאפיינים הבאים:

  • ה-RecommendedLogFilter שבו משתמשים כדי ליצור את המדדים מבוססי-היומנים.
  • ‫QualifiedLogMetricNames שמכסים את התנאים שמפורטים במסנן היומנים המומלץ.
  • הערך AlertPolicyFailureReasons מציין אם בפרויקט לא נוצרו כללי מדיניות התראה לאף אחד מהמדדים המתאימים מבוססי-היומן, או אם כללי מדיניות ההתראה הקיימים לא כוללים את ההגדרות המומלצות.
גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: AUDIT_CONFIG_NOT_MONITORED

תיאור הממצא: המדדים מבוססי-היומן וההתראות לא מוגדרים למעקב אחרי שינויים בהגדרות הביקורת.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 2.5
  • CIS GCP Foundation 1.1: 2.5
  • CIS GCP Foundation 1.2: 2.5
  • CIS GCP Foundation 1.3: 2.5
  • CIS GCP Foundation 2.0: 2.5
  • CIS GCP Foundation 3.0: 2.5
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 הפונקציה בודקת אם המאפיין filter של המשאב LogsMetric בפרויקט מוגדר כ-protoPayload.methodName="SetIamPolicy" AND protoPayload.serviceData.policyDelta.auditConfigDeltas:*, ואם צוין resource.type, שהערך הוא global. הגלאי גם מחפש משאב alertPolicy תואם, ובודק שהמאפיינים conditions ו-notificationChannels מוגדרים כמו שצריך.
  • הרשאות IAM נוספות: roles/monitoring.alertPolicyViewer
  • ‫Additional inputs: קריאת מדדי יומן של הפרויקט מהאחסון. קריאת פרטי החשבון של Google Cloud Observability מ-Google Cloud Observability, והגשת ממצאים רק לפרויקטים עם חשבונות פעילים
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: BUCKET_IAM_NOT_MONITORED

תיאור הממצא: מדדי היומן וההתראות לא מוגדרים למעקב אחרי שינויים בהרשאות IAM ב-Cloud Storage.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 2.10
  • CIS GCP Foundation 1.1: 2.10
  • CIS GCP Foundation 1.2: 2.10
  • CIS GCP Foundation 1.3: 2.10
  • CIS GCP Foundation 2.0: 2.10
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 בדיקה אם המאפיין filter של המשאב LogsMetric בפרויקט מוגדר כ-resource.type=gcs_bucket AND protoPayload.methodName="storage.setIamPermissions". הגלאי גם מחפש משאב alertPolicy תואם, ובודק שהמאפיינים conditions ו-notificationChannels מוגדרים כמו שצריך.
  • הרשאות IAM נוספות: roles/monitoring.alertPolicyViewer
  • ‫Additional inputs: קריאת מדדי יומן של הפרויקט מהאחסון. קריאת פרטי החשבון של Google Cloud Observability מ-Google Cloud Observability, והגשת ממצאים רק לפרויקטים עם חשבונות פעילים
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: CUSTOM_ROLE_NOT_MONITORED

תיאור הממצא: מדדים מבוססי-יומן והתראות לא מוגדרים למעקב אחרי שינויים בתפקידים בהתאמה אישית.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 2.6
  • CIS GCP Foundation 1.1: 2.6
  • CIS GCP Foundation 1.2: 2.6
  • CIS GCP Foundation 1.3: 2.6
  • CIS GCP Foundation 2.0: 2.6
  • CIS GCP Foundation 3.0: 2.6
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 בדיקה אם המאפיין filter של המשאב LogsMetric בפרויקט מוגדר כ-resource.type="iam_role" AND (protoPayload.methodName="google.iam.admin.v1.CreateRole" OR protoPayload.methodName="google.iam.admin.v1.DeleteRole" OR protoPayload.methodName="google.iam.admin.v1.UpdateRole"). הגלאי גם מחפש משאב alertPolicy תואם, ובודק שהמאפיינים conditions ו-notificationChannels מוגדרים כמו שצריך.
  • הרשאות IAM נוספות: roles/monitoring.alertPolicyViewer
  • ‫Additional inputs: קריאת מדדי יומן של הפרויקט מהאחסון. קריאת פרטי החשבון של Google Cloud Observability מ-Google Cloud Observability, והגשת ממצאים רק לפרויקטים עם חשבונות פעילים
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: FIREWALL_NOT_MONITORED

תיאור הממצא: המדדים מבוססי-היומן וההתראות לא מוגדרים למעקב אחרי שינויים בכללי חומת האש של רשת הענן הווירטואלי הפרטי (VPC).

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 2.7
  • CIS GCP Foundation 1.1: 2.7
  • CIS GCP Foundation 1.2: 2.7
  • CIS GCP Foundation 1.3: 2.7
  • CIS GCP Foundation 2.0: 2.7
  • CIS GCP Foundation 3.0: 2.7
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 בדיקה אם המאפיין filter של המשאב LogsMetric בפרויקט מוגדר כ- resource.type="gce_firewall_rule" AND (protoPayload.methodName:"compute.firewalls.insert" OR protoPayload.methodName:"compute.firewalls.patch" OR protoPayload.methodName:"compute.firewalls.delete"). הגלאי גם מחפש משאב alertPolicy תואם, ובודק שהמאפיינים conditions ו-notificationChannels מוגדרים כמו שצריך.
  • הרשאות IAM נוספות: roles/monitoring.alertPolicyViewer
  • ‫Additional inputs: קריאת מדדי יומן של הפרויקט מהאחסון. קריאת פרטי החשבון של Google Cloud Observability מ-Google Cloud Observability, והגשת ממצאים רק לפרויקטים עם חשבונות פעילים
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: NETWORK_NOT_MONITORED

תיאור הממצא: מדדים מבוססי-יומן והתראות לא מוגדרים למעקב אחרי שינויים ברשת VPC.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 2.9
  • CIS GCP Foundation 1.1: 2.9
  • CIS GCP Foundation 1.2: 2.9
  • CIS GCP Foundation 1.3: 2.9
  • CIS GCP Foundation 2.0: 2.9
  • CIS GCP Foundation 3.0: 2.9
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 בדיקה אם המאפיין filter של המשאב LogsMetric בפרויקט מוגדר כ- resource.type="gce_network" AND (protoPayload.methodName:"compute.networks.insert" OR protoPayload.methodName:"compute.networks.patch" OR protoPayload.methodName:"compute.networks.delete" OR protoPayload.methodName:"compute.networks.removePeering" OR protoPayload.methodName:"compute.networks.addPeering"). הגלאי גם מחפש משאב alertPolicy תואם, ובודק שהמאפיינים conditions ו-notificationChannels מוגדרים כמו שצריך.
  • הרשאות IAM נוספות: roles/monitoring.alertPolicyViewer
  • ‫Additional inputs: קריאת מדדי יומן של הפרויקט מהאחסון. קריאת פרטי החשבון של Google Cloud Observability מ-Google Cloud Observability, והגשת ממצאים רק לפרויקטים עם חשבונות פעילים
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: OWNER_NOT_MONITORED

תיאור הממצא: מדדים מבוססי-יומן והתראות לא מוגדרים למעקב אחרי הקצאות או שינויים של Project Owner.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 2.4
  • CIS GCP Foundation 1.1: 2.4
  • CIS GCP Foundation 1.2: 2.4
  • CIS GCP Foundation 1.3: 2.4
  • CIS GCP Foundation 2.0: 2.4
  • CIS GCP Foundation 3.0: 2.4
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2
 הפונקציה בודקת אם המאפיין filter של המשאב LogsMetric בפרויקט מוגדר כ-(protoPayload.serviceName="cloudresourcemanager.googleapis.com") AND ( (ProjectOwnership OR projectOwnerInvitee) OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") ), ואם צוין resource.type, שהערך הוא global. הגלאי גם מחפש משאב alertPolicy תואם, ובודק שהמאפיינים conditions ו-notificationChannels מוגדרים כמו שצריך.
  • הרשאות IAM נוספות: roles/monitoring.alertPolicyViewer
  • ‫Additional inputs: קריאת מדדי יומן של הפרויקט מהאחסון. קריאת פרטי החשבון של Google Cloud Observability מ-Google Cloud Observability, והגשת ממצאים רק לפרויקטים עם חשבונות פעילים
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ROUTE_NOT_MONITORED

תיאור הממצא: מדדי מבוססי-יומן והתראות לא מוגדרים למעקב אחרי שינויים במסלולים של רשת ה-VPC.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 2.8
  • CIS GCP Foundation 1.1: 2.8
  • CIS GCP Foundation 1.2: 2.8
  • CIS GCP Foundation 1.3: 2.8
  • CIS GCP Foundation 2.0: 2.8
  • CIS GCP Foundation 3.0: 2.8
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 בדיקה אם המאפיין filter של המשאב LogsMetric בפרויקט מוגדר כ- resource.type="gce_route" AND (protoPayload.methodName:"compute.routes.delete" OR protoPayload.methodName:"compute.routes.insert"). הגלאי גם מחפש משאב alertPolicy תואם, ובודק שהמאפיינים conditions ו-notificationChannels מוגדרים כמו שצריך.
  • הרשאות IAM נוספות: roles/monitoring.alertPolicyViewer
  • ‫Additional inputs: קריאת מדדי יומן של הפרויקט מהאחסון. קריאת פרטי החשבון של Google Cloud Observability מ-Google Cloud Observability, והגשת ממצאים רק לפרויקטים עם חשבונות פעילים
  • סריקות בזמן אמת: לא

SQL_INSTANCE_NOT_MONITORED

תיאור הממצא: מדדי היומן וההתראות לא מוגדרים למעקב אחרי שינויים בהגדרות של מכונות Cloud SQL.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
cloudresourcemanager.googleapis.com/Project

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 2.8
  • CIS GCP Foundation 1.1: 2.8
  • CIS GCP Foundation 1.2: 2.8
  • CIS GCP Foundation 1.3: 2.8
  • CIS GCP Foundation 2.0: 2.8
  • CIS GCP Foundation 3.0: 2.8
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 הפונקציה בודקת אם המאפיין filter של המשאב LogsMetric בפרויקט מוגדר כ- protoPayload.methodName="cloudsql.instances.update" OR protoPayload.methodName="cloudsql.instances.create" OR protoPayload.methodName="cloudsql.instances.delete", ואם צוין resource.type, שהערך הוא global. הגלאי גם מחפש משאב alertPolicy תואם, ובודק שהמאפיינים conditions ו-notificationChannels מוגדרים כמו שצריך.
  • הרשאות IAM נוספות: roles/monitoring.alertPolicyViewer
  • ‫Additional inputs: קריאת מדדי יומן של הפרויקט מהאחסון. קריאת פרטי החשבון של Google Cloud Observability מ-Google Cloud Observability, והגשת ממצאים רק לפרויקטים עם חשבונות פעילים
  • סריקות בזמן אמת: לא

ממצאים שקשורים לאימות רב-שלבי

הגלאי MFA_SCANNER מזהה נקודות חולשה שקשורות לאימות רב-שלבי של משתמשים.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: MFA_NOT_ENFORCED

יש משתמשים שלא משתמשים באימות דו-שלבי. אם תבצעו פעולות לתיקון הממצא הזה, יכול להיות שיעברו עד 24 שעות עד שהסריקות של Security Health Analytics יסתיימו והממצא יעודכן.

ב-Google Workspace אפשר להגדיר תקופת חסד להרשמה למשתמשים חדשים, שבמהלכה הם צריכים להירשם לאימות דו-שלבי. הגלאי הזה יוצר ממצאים למשתמשים במהלך תקופת החסד להרשמה.

יכול להיות שהגלאי הזה ייצור ממצאים לארגונים עם מספר גדול של משתמשים (בדרך כלל 450,000 או יותר), גם אם האימות הדו-שלבי נאכף לכל המשתמשים. אם לדעתכם ממצא מסוים הוא חיובי מוטעה, פנו ל-Cloud Customer Care כדי להשבית את הממצא.

הגלאי הזה נקרא בעבר 2SV_NOT_ENFORCED.

הממצא הזה לא זמין להפעלות ברמת הפרויקט.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
cloudresourcemanager.googleapis.com/Organization

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 1.2
  • CIS GCP Foundation 1.1: 1.2
  • CIS GCP Foundation 1.2: 1.2
  • CIS GCP Foundation 1.3: 1.2
  • CIS GCP Foundation 2.0: 1.2
  • CIS GCP Foundation 3.0: 1.2
  • NIST 800-53 R4: IA-2
  • PCI-DSS v3.2.1: 8.3
  • ISO-27001 v2013: A.9.4.2
  • ISO-27001 v2022: A.8.5

הערכת המדיניות של ניהול הזהויות בארגונים והגדרות המשתמשים בחשבונות מנוהלים ב-Cloud Identity.

  • נכסים שהוחרגו מהסריקות: יחידות ארגוניות שקיבלו החרגות מהמדיניות
  • קלט נוסף: קריאת נתונים מ-Google Workspace
  • סריקות בזמן אמת: לא

ממצאים של נקודות חולשה ברשת

כל נקודות החולשה מסוג הגלאי הזה קשורות להגדרות הרשת של הארגון, והן שייכות לסוג NETWORK_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: DEFAULT_NETWORK

תיאור הממצא: רשת ברירת המחדל קיימת בפרויקט.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Network

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 3.1
  • CIS GCP Foundation 1.1: 3.1
  • CIS GCP Foundation 1.2: 3.1
  • CIS GCP Foundation 1.3: 3.1
  • CIS GCP Foundation 2.0: 3.1
  • CIS GCP Foundation 3.0: 3.1
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

בודק אם המאפיין name במטא-נתונים של הרשת מוגדר כ-default

  • נכסים שלא נכללים בסריקות: פרויקטים שבהם Compute Engine API מושבת ומשאבי Compute Engine נמצאים במצב קפוא
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: DNS_LOGGING_DISABLED

תיאור הממצא: רישום DNS ביומן ברשת VPC לא מופעל.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Network
dns.googleapis.com/Policy

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 2.12
  • CIS GCP Foundation 1.3: 2.12
  • CIS GCP Foundation 2.0: 2.12
  • CIS GCP Foundation 3.0: 2.12
  • NIST 800-53 R5: AU-6, AU-7
  • PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3
  • ISO-27001 v2022: A.5.25
  • Cloud Controls Matrix 4: LOG-05
  • NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1
  • SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5
  • HIPAA: 164.308(a)(1)(ii), 164.312(b)
  • CIS Controls 8.0: 8.11, 8.2, 8.6

בודק את כל policies שמשויכים לרשת VPC דרך השדה networks[].networkUrl, ומחפש לפחות מדיניות אחת שבה enableLogging מוגדר ל-true.

  • נכסים שלא נכללים בסריקות: פרויקטים שבהם Compute Engine API מושבת ומשאבי Compute Engine נמצאים במצב קפוא
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: LEGACY_NETWORK

תיאור הממצא: בפרויקט קיימת רשת מדור קודם.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Network

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 3.2
  • CIS GCP Foundation 1.1: 3.2
  • CIS GCP Foundation 1.2: 3.2
  • CIS GCP Foundation 1.3: 3.2
  • CIS GCP Foundation 2.0: 3.2
  • CIS GCP Foundation 3.0: 3.2
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

בודק אם המאפיין IPv4Range קיים במטא-נתונים של הרשת.

  • נכסים שלא נכללים בסריקות: פרויקטים שבהם Compute Engine API מושבת ומשאבי Compute Engine נמצאים במצב קפוא
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: LOAD_BALANCER_LOGGING_DISABLED

תיאור הממצא: הרישום ביומן מושבת במאזן העומסים.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/BackendServices

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 2.0: 2.16
  • CIS GCP Foundation 3.0: 2.16
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2

בודק אם המאפיין enableLogging של שירות הקצה העורפי במאזן העומסים מוגדר לערך true.

  • סריקות בזמן אמת: כן

ממצאים של נקודות חולשה במדיניות הארגון

כל נקודות החולשה שהגלאי הזה מזהה קשורות להגדרות של אילוצים במדיניות הארגון, והן שייכות לסוג ORG_POLICY.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: ORG_POLICY_CONFIDENTIAL_VM_POLICY

 תיאור הממצא: משאב של Compute Engine לא עומד בדרישות של מדיניות הארגון constraints/compute.restrictNonConfidentialComputing. למידע נוסף על האילוץ הזה של מדיניות הארגון, ראו אכיפת אילוצים של מדיניות הארגון ב-Confidential VM.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Instance

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בדיקה אם המאפיין enableConfidentialCompute של מכונה ב-Compute Engine מוגדר כ-true.

  • ‫נכסים שלא נכללים בסריקות: מכונות GKE
  • הרשאות IAM נוספות: permissions/orgpolicy.policy.get
  • קלט נוסף: קריאת מדיניות הארגון בפועל משירות מדיניות הארגון
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ORG_POLICY_LOCATION_RESTRICTION

 תיאור הממצא: משאב של Compute Engine לא עומד באילוץ constraints/gcp.resourceLocations. למידע נוסף על האילוץ הזה של מדיניות הארגון, ראו אכיפת אילוצים של מדיניות הארגון.

אם מפעילים את רמת הפרימיום של Security Command Center ברמת הפרויקט, הממצא הזה זמין רק אם רמת Standard-legacy מופעלת בארגון ההורה.

רמת תמחור: פרימיום

נכסים נתמכים
בשורה הבאה, ראו נכסים נתמכים עבור ORG_POLICY_LOCATION_RESTRICTION

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

הפונקציה בודקת את המאפיין listPolicy במטא-נתונים של המשאבים הנתמכים, כדי לקבל רשימה של מיקומים מורשים או אסורים.

  • הרשאות IAM נוספות: permissions/orgpolicy.policy.get
  • קלט נוסף: קריאת מדיניות הארגון בפועל משירות מדיניות הארגון
  • סריקות בזמן אמת: לא

נכסים נתמכים עבור ORG_POLICY_LOCATION_RESTRICTION

Compute Engine
compute.googleapis.com/Autoscaler
compute.googleapis.com/Address
compute.googleapis.com/Commitment
compute.googleapis.com/Disk
compute.googleapis.com/ForwardingRule
compute.googleapis.com/HealthCheck
compute.googleapis.com/Image
compute.googleapis.com/Instance
compute.googleapis.com/InstanceGroup
compute.googleapis.com/InstanceGroupManager
compute.googleapis.com/InterconnectAttachment
compute.googleapis.com/NetworkEndpointGroup
compute.googleapis.com/NodeGroup
compute.googleapis.com/NodeTemplate
compute.googleapis.com/PacketMirroring
compute.googleapis.com/RegionBackendService
compute.googleapis.com/RegionDisk
compute.googleapis.com/ResourcePolicy
compute.googleapis.com/Reservation
compute.googleapis.com/Router
compute.googleapis.com/Snapshot
compute.googleapis.com/SslCertificate
compute.googleapis.com/Subnetwork
compute.googleapis.com/TargetHttpProxy
compute.google.apis.com/TargetHttpsProxy
compute.googleapis.com/TargetInstance
compute.googleapis.com/TargetPool
compute.googleapis.com/TargetVpnGateway
compute.googleapis.com/UrlMap
compute.googleapis.com/VpnGateway
compute.googleapis.com/VpnTunnel

GKE
container.googleapis.com/Cluster
container.googleapis.com/NodePool

Cloud Storage
storage.googleapis.com/Bucket

Cloud KMS
cloudkms.googleapis.com/CryptoKey1
cloudkms.googleapis.com/CryptoKeyVersion1
cloudkms.googleapis.com/ImportJob2
cloudkms.googleapis.com/KeyRing1

Managed Service for Apache Spark
dataproc.googleapis.com/Cluster

BigQuery
bigquery.googleapis.com/Dataset

Dataflow
dataflow.googleapis.com/Job3

Cloud SQL
sqladmin.googleapis.com/Instance

Managed Airflow
composer.googleapis.com/Environment

רישום ביומן
logging.googleapis.com/LogBucket

Pub/Sub
pubsub.googleapis.com/Topic

פלטפורמת הסוכנים
aiplatform.googleapis.com/BatchPredictionJob
aiplatform.googleapis.com/CustomJob
aiplatform.googleapis.com/Dataset
aiplatform.googleapis.com/Endpoint
aiplatform.googleapis.com/HyperparameterTuningJob
aiplatform.googleapis.com/Model
aiplatform.googleapis.com/SpecialistPool
aiplatform.googleapis.com/TrainingPipeline

Artifact Registry
artifactregistry.googleapis.com/Repository

‫1 אי אפשר למחוק נכסים של Cloud KMS, לכן הנכס לא נחשב מחוץ לאזור אם הנתונים שלו הושמדו.

‫2 מכיוון שלמשימות הייבוא של Cloud KMS יש מחזור חיים מבוקר ואי אפשר לסיים אותן מוקדם, משימת ImportJob לא נחשבת מחוץ לאזור אם פג התוקף שלה ואי אפשר להשתמש בה יותר כדי לייבא מפתחות.

‫3 מכיוון שלא ניתן לנהל את מחזור החיים של משימות Dataflow, משימה לא נחשבת מחוץ לאזור ברגע שהיא הגיעה למצב סופי (הופסקה או רוקנה), שבו לא ניתן יותר להשתמש בה כדי לעבד נתונים.

ממצאי פגיעויות ב-Pub/Sub

כל נקודות החולשה של סוג הגלאי הזה קשורות להגדרות של Pub/Sub, והן שייכות לסוג PUBSUB_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: PUBSUB_CMEK_DISABLED

תיאור הממצא: נושא Pub/Sub לא מוצפן באמצעות מפתחות הצפנה בניהול הלקוח (CMEK). כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות זמינות במאמר הפעלה והשבתה של גלאים.

רמת תמחור: פרימיום

נכסים נתמכים
pubsub.googleapis.com/Topic

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בודק את השדה kmsKeyName כדי לאתר את שם המשאב של ה-CMEK.

  • סריקות בזמן אמת: כן

ממצאים של נקודות חולשה ב-SQL

בקטעים הבאים מתוארים ממצאי נקודות החולשה ב-AlloyDB ל-PostgreSQL וב-Cloud SQL.

ממצאי פגיעויות ב-AlloyDB ל-PostgreSQL

כל נקודות החולשה מסוג הגלאי הזה קשורות להגדרות של AlloyDB ל-PostgreSQL, והן שייכות לסוג SQL_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: ALLOYDB_AUTO_BACKUP_DISABLED

תיאור הממצא: באשכול AlloyDB ל-PostgreSQL לא מופעלים גיבויים אוטומטיים.

רמת תמחור: פרימיום

נכסים נתמכים
alloydb.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)

בדיקה אם המאפיין automated_backup_policy.enabled במטא-נתונים של אשכול AlloyDB ל-PostgreSQL מוגדר לערך true.

  • נכסים שלא נכללים בסריקות: אשכולות משניים של AlloyDB ל-PostgreSQL
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: ALLOYDB_BACKUPS_DISABLED

תיאור הממצא: באשכול AlloyDB ל-PostgreSQL לא מופעלים גיבויים.

רמת תמחור: פרימיום

נכסים נתמכים
alloydb.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)

בדיקה אם המאפיינים automated_backup_policy.enabled או continuous_backup_policy.enabled במטא-נתונים של אשכול AlloyDB ל-PostgreSQL מוגדרים לערך true.

  • נכסים שלא נכללים בסריקות: אשכולות משניים של AlloyDB ל-PostgreSQL
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: ALLOYDB_CMEK_DISABLED

תיאור הממצא: אשכול AlloyDB לא מוצפן באמצעות מפתחות הצפנה בניהול הלקוח (CMEK).

רמת תמחור: פרימיום

נכסים נתמכים
alloydb.googleapis.com/Cluster

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

בודק את השדה encryption_type במטא-נתונים של האשכול כדי לקבוע אם CMEK מופעל.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: ALLOYDB_LOG_MIN_ERROR_STATEMENT_SEVERITY

תיאור הממצא: הדגל לניהול מסד הנתונים log_min_error_statement של מכונת AlloyDB ל-PostgreSQL לא מוגדר לערך error או לערך מומלץ אחר.

רמת תמחור: פרימיום

נכסים נתמכים
alloydb.googleapis.com/Instances

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

כדי לוודא שיש כיסוי הולם של סוגי ההודעות ביומנים, הממצא נוצר אם השדה log_min_error_statement של המאפיין databaseFlags לא מוגדר לאחד מהערכים הבאים: debug5,‏ debug4,‏ debug3,‏ debug2,‏ debug1,‏ info,‏ notice,‏ warning או ערך ברירת המחדל error.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: ALLOYDB_LOG_MIN_MESSAGES

תיאור הממצא: הדגל לניהול מסד הנתונים log_min_messages של מכונת AlloyDB ל-PostgreSQL לא מוגדר לערך warning או לערך מומלץ אחר.

רמת תמחור: פרימיום

נכסים נתמכים
alloydb.googleapis.com/Instances

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

כדי לוודא שיש כיסוי הולם של סוגי ההודעות ביומנים, הממצא נוצר אם השדה log_min_messages של המאפיין databaseFlags לא מוגדר לאחד מהערכים הבאים: debug5,‏ debug4,‏ debug3,‏ debug2,‏ debug1,‏ info,‏ notice או ערך ברירת המחדל warning.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: ALLOYDB_LOG_ERROR_VERBOSITY

תיאור הממצא: הדגל לניהול מסד הנתונים log_error_verbosity של מכונת AlloyDB ל-PostgreSQL לא מוגדר לערך default או לערך מומלץ אחר.

רמת תמחור: פרימיום

נכסים נתמכים
alloydb.googleapis.com/Instances

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

כדי לוודא כיסוי הולם של סוגי ההודעות ביומנים, נוצר ממצא אם השדה log_error_verbosity של המאפיין databaseFlags לא מוגדר לאחד מהערכים הבאים: verbose או ערך ברירת המחדל default.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: ALLOYDB_PUBLIC_IP

תיאור הממצא: למכונה של מסד נתונים ב-AlloyDB ל-PostgreSQL יש כתובת IP ציבורית.

רמת תמחור: פרימיום

נכסים נתמכים
alloydb.googleapis.com/Instances

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3, 4.6

בודק אם השדה enablePublicIp של המאפיין instanceNetworkConfig מוגדר לאפשר כתובות IP ציבוריות.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: ALLOYDB_SSL_NOT_ENFORCED

תיאור הממצא: במכונה של מסד נתונים ב-AlloyDB ל-PostgreSQL לא נדרש שימוש ב-SSL בכל החיבורים הנכנסים.

רמת תמחור: פרימיום

נכסים נתמכים
alloydb.googleapis.com/Instances

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3

בודק אם המאפיין sslMode של מכונת AlloyDB ל-PostgreSQL מוגדר לערך ENCRYPTED_ONLY.

  • סריקות בזמן אמת: כן

ממצאי פגיעויות ב-Cloud SQL

כל נקודות החולשה של סוג הגלאי הזה קשורות להגדרות של Cloud SQL, והן שייכות לסוג SQL_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: AUTO_BACKUP_DISABLED

תיאור הממצא: במסד נתונים של Cloud SQL לא מופעלים גיבויים אוטומטיים.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.7
  • CIS GCP Foundation 1.2: 6.7
  • CIS GCP Foundation 1.3: 6.7
  • CIS GCP Foundation 2.0: 6.7
  • CIS GCP Foundation 3.0: 6.7
  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)
  • CIS Controls 8.0: 11.2

בדיקה אם המאפיין backupConfiguration.enabled של נתוני Cloud SQL מוגדר לערך true.

  • נכסים שלא נכללים בסריקות: רפליקות של Cloud SQL
  • קלט נוסף: קריאת מדיניות ההרשאות של IAM לאבות קדמונים מאחסון הנכסים של Security Health Analytics
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: PUBLIC_SQL_INSTANCE

תיאור הממצא: מכונה של מסד נתונים ב-Cloud SQL מקבלת חיבורים מכל כתובות ה-IP.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 6.2
  • CIS GCP Foundation 1.1: 6.5
  • CIS GCP Foundation 1.2: 6.5
  • CIS GCP Foundation 1.3: 6.5
  • CIS GCP Foundation 2.0: 6.5
  • CIS GCP Foundation 3.0: 6.5
  • NIST 800-53 R4: CA-3, SC-7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.13.1.3, A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

בדיקה אם המאפיין authorizedNetworks של מכונות Cloud SQL מוגדר לכתובת IP אחת או לטווח של כתובות IP.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SSL_NOT_ENFORCED

תיאור הממצא: במכונה של מסד נתונים ב-Cloud SQL לא נדרש שימוש ב-SSL בכל החיבורים הנכנסים.

רמת תמחור: פרימיום או סטנדרטית

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 2.0: 6.4
  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3

הבדיקה בוחנת אם המאפיין sslMode של המכונה של Cloud SQL מוגדר למצב SSL מאושר, ENCRYPTED_ONLY או TRUSTED_CLIENT_CERTIFICATE_REQUIRED.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_CMEK_DISABLED

תיאור הממצא: מכונה של מסד נתונים ב-SQL לא מוצפנת באמצעות מפתחות הצפנה בניהול הלקוח (CMEK). כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות זמינות במאמר הפעלה והשבתה של גלאים.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בודק את השדה kmsKeyName באובייקט diskEncryptionKey, במטא-נתונים של המכונה, כדי למצוא את שם המשאב של ה-CMEK.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_CONTAINED_DATABASE_AUTHENTICATION

תיאור הממצא: הדגל לניהול מסד הנתונים contained database authentication של מכונה ב-Cloud SQL ל-SQL Server לא מוגדר לערך off.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.3.2
  • CIS GCP Foundation 1.2: 6.3.7
  • CIS GCP Foundation 1.3: 6.3.7
  • CIS GCP Foundation 2.0: 6.3.7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

בדיקה של המאפיין databaseFlags במטא-נתונים של המכונה כדי לראות אם צמד המפתח/ערך הוא "name": "contained database authentication",‏ "value": "on" או אם הוא מופעל כברירת מחדל.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_CROSS_DB_OWNERSHIP_CHAINING

תיאור הממצא: הדגל לניהול מסד הנתונים cross_db_ownership_chaining במכונה של Cloud SQL ל-SQL Server לא מוגדר לערך off.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.3.1
  • CIS GCP Foundation 1.2: 6.3.2
  • CIS GCP Foundation 1.3: 6.3.2
  • CIS GCP Foundation 2.0: 6.3.2
  • CIS GCP Foundation 3.0: 6.3.2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "cross_db_ownership_chaining", "value": "on".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_EXTERNAL_SCRIPTS_ENABLED

תיאור הממצא: הדגל לניהול מסד הנתונים external scripts enabled במכונה של Cloud SQL ל-SQL Server לא מוגדר לערך off.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.3.1
  • CIS GCP Foundation 1.3: 6.3.1
  • CIS GCP Foundation 2.0: 6.3.1
  • CIS GCP Foundation 3.0: 6.3.1
  • NIST 800-53 R5: CM-7, SI-7
  • PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.3
  • NIST Cybersecurity Framework 1.0: PR-IP-1, PR-PT-3
  • SOC2 v2017: CC5.2.1, CC5.2.2, CC5.2.3, CC5.2.4
  • CIS Controls 8.0: 2.7

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "external scripts enabled", "value": "off".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOCAL_INFILE

תיאור הממצא: הדגל לניהול מסד הנתונים local_infile מופעל במכונה של Cloud SQL ל-MySQL.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.1.2
  • CIS GCP Foundation 1.2: 6.1.3
  • CIS GCP Foundation 1.3: 6.1.3
  • CIS GCP Foundation 2.0: 6.1.3
  • CIS GCP Foundation 3.0: 6.1.3
  • NIST 800-53 R5: CM-6, CM-7
  • PCI-DSS v4.0: 2.2.1
  • ISO-27001 v2022: A.8.8
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • CIS Controls 8.0: 16.7

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "local_infile", "value": "on".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_CHECKPOINTS_DISABLED

תיאור הממצא: הדגל לניהול מסד הנתונים log_checkpoints של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך on.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.2.1
  • CIS GCP Foundation 1.2: 6.2.1

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "log_checkpoints", "value": "on".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_CONNECTIONS_DISABLED

תיאור הממצא: הדגל לניהול מסד הנתונים log_connections של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך on.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.2.2
  • CIS GCP Foundation 1.2: 6.2.3
  • CIS GCP Foundation 1.3: 6.2.2
  • CIS GCP Foundation 2.0: 6.2.2
  • CIS GCP Foundation 3.0: 6.2.2
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "log_connections", "value": "on".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_DISCONNECTIONS_DISABLED

תיאור הממצא: הדגל לניהול מסד הנתונים log_disconnections של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך on.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.2.3
  • CIS GCP Foundation 1.2: 6.2.4
  • CIS GCP Foundation 1.3: 6.2.3
  • CIS GCP Foundation 2.0: 6.2.3
  • CIS GCP Foundation 3.0: 6.2.3
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "log_disconnections", "value": "on".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_DURATION_DISABLED

תיאור הממצא: הדגל לניהול מסד הנתונים log_duration של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך on.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.2.5

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "log_duration", "value": "on".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_ERROR_VERBOSITY

תיאור הממצא: הדגל לניהול מסד הנתונים log_error_verbosity של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך default או verbose.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.2.2
  • CIS GCP Foundation 1.3: 6.2.1
  • CIS GCP Foundation 2.0: 6.2.1
  • CIS GCP Foundation 3.0: 6.2.1
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

בודק אם המאפיין databaseFlags של המטא-נתונים של המכונה בשדה log_error_verbosity מוגדר לערך default או verbose.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_LOCK_WAITS_DISABLED

תיאור הממצא: הדגל לניהול מסד הנתונים log_lock_waits של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך on.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.2.4
  • CIS GCP Foundation 1.2: 6.2.6

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "log_lock_waits", "value": "on".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_MIN_DURATION_STATEMENT_ENABLED

תיאור הממצא: הדגל לניהול מסד הנתונים log_min_duration_statement במכונה של Cloud SQL ל-PostgreSQL לא מוגדר לערך "-1".

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.2.7
  • CIS GCP Foundation 1.2: 6.2.16
  • CIS GCP Foundation 1.3: 6.2.8
  • CIS GCP Foundation 2.0: 6.2.7
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "log_min_duration_statement", "value": "-1".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_MIN_ERROR_STATEMENT

תיאור הממצא: הדגל לניהול מסד הנתונים log_min_error_statement של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר כראוי.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.2.5

בודק אם השדה log_min_error_statement של המאפיין databaseFlags מוגדר לאחד מהערכים הבאים: debug5,‏ debug4,‏ debug3,‏ debug2,‏ debug1,‏ info,‏ notice,‏ warning או ערך ברירת המחדל error.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY

תיאור הממצא: לדגל לניהול מסד הנתונים log_min_error_statement במכונה של Cloud SQL ל-PostgreSQL אין רמת חומרה מתאימה.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.2.14
  • CIS GCP Foundation 1.3: 6.2.7
  • CIS GCP Foundation 2.0: 6.2.6
  • CIS GCP Foundation 3.0: 6.2.6
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

בדיקה אם השדה log_min_error_statement של המאפיין databaseFlags מוגדר לאחד מהערכים הבאים: error,‏ log,‏ fatal או panic.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_MIN_MESSAGES

תיאור הממצא: הדגל לניהול מסד הנתונים log_min_messages של מכונת Cloud SQL ל-PostgreSQL לא מוגדר לערך warning או לערך מומלץ אחר.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.2.13
  • CIS GCP Foundation 1.3: 6.2.6
  • CIS GCP Foundation 2.0: 6.2.5
  • CIS GCP Foundation 3.0: 6.2.5
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

כדי לוודא כיסוי הולם של סוגי ההודעות ביומנים, הממצא נוצר אם השדה log_min_messages של המאפיין databaseFlags לא מוגדר לאחד מהערכים הבאים: debug5,‏ debug4,‏ debug3,‏ debug2,‏ debug1,‏ info,‏ notice או ערך ברירת המחדל warning.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_EXECUTOR_STATS_ENABLED

תיאור הממצא: הדגל לניהול מסד הנתונים log_executor_stats של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך off.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.2.11

הבדיקה הזו בודקת אם המאפיין databaseFlags של המטא-נתונים של המכונה בשדה log_executor_stats מוגדר לערך on.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_HOSTNAME_ENABLED

תיאור הממצא: הדגל לניהול מסד הנתונים log_hostname של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך off.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.2.8

הבדיקה הזו בודקת אם המאפיין databaseFlags של המטא-נתונים של המכונה בשדה log_hostname מוגדר לערך on.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_PARSER_STATS_ENABLED

תיאור הממצא: הדגל לניהול מסד הנתונים log_parser_stats של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך off.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.2.9

הבדיקה הזו בודקת אם המאפיין databaseFlags של המטא-נתונים של המכונה בשדה log_parser_stats מוגדר לערך on.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_PLANNER_STATS_ENABLED

תיאור הממצא: הדגל לניהול מסד הנתונים log_planner_stats של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך off.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.2.10

הבדיקה הזו בודקת אם המאפיין databaseFlags של המטא-נתונים של המכונה בשדה log_planner_stats מוגדר לערך on.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_STATEMENT

תיאור הממצא: הדגל לניהול מסד הנתונים log_statement של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך ddl (כל ההצהרות להגדרת נתונים).

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.2.7
  • CIS GCP Foundation 1.3: 6.2.4
  • CIS GCP Foundation 2.0: 6.2.4
  • CIS GCP Foundation 3.0: 6.2.4
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

הבדיקה הזו בודקת אם המאפיין databaseFlags של המטא-נתונים של המכונה בשדה log_statement מוגדר לערך ddl.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_STATEMENT_STATS_ENABLED

תיאור הממצא: הדגל לניהול מסד הנתונים log_statement_stats של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך off.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.2.12

הבדיקה הזו בודקת אם המאפיין databaseFlags של המטא-נתונים של המכונה בשדה log_statement_stats מוגדר לערך on.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_LOG_TEMP_FILES

תיאור הממצא: הדגל לניהול מסד הנתונים log_temp_files של מכונה ב-Cloud SQL ל-PostgreSQL לא מוגדר לערך "0".

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.2.6
  • CIS GCP Foundation 1.2: 6.2.15

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "log_temp_files", "value": "0".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_NO_ROOT_PASSWORD

תיאור הממצא: למסד נתונים של Cloud SQL עם כתובת IP ציבורית אין סיסמה שמוגדרת לחשבון הבסיס. כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות זמינות במאמר הפעלה והשבתה של גלאים.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 6.3
  • CIS GCP Foundation 1.1: 6.1.1
  • CIS GCP Foundation 1.2: 6.1.1
  • CIS GCP Foundation 1.3: 6.1.1
  • CIS GCP Foundation 2.0: 6.1.1
  • CIS GCP Foundation 3.0: 6.1.1
  • NIST 800-53 R4: AC-3
  • PCI-DSS v3.2.1: 2.1
  • ISO-27001 v2013: A.8.2.3, A.9.4.2
  • ISO-27001 v2022: A.8.5

בדיקה אם המאפיין rootPassword של חשבון השורש ריק.

  • הרשאות IAM נוספות: roles/cloudsql.client
  • קלט נוסף: שאילתות על מכונות פעילות
  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: SQL_PUBLIC_IP

תיאור הממצא: למסד נתונים ב-Cloud SQL יש כתובת IP ציבורית.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.1: 6.6
  • CIS GCP Foundation 1.2: 6.6
  • CIS GCP Foundation 1.3: 6.6
  • CIS GCP Foundation 2.0: 6.2.9, 6.6
  • CIS GCP Foundation 3.0: 6.2.9, 6.6
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3, 4.6

בדיקה אם סוג כתובת ה-IP של מסד נתונים ב-Cloud SQL מוגדר כ-Primary, כלומר שהיא ציבורית.

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_REMOTE_ACCESS_ENABLED

תיאור הממצא: הדגל לניהול מסד הנתונים remote access של מכונת Cloud SQL ל-SQL Server לא מוגדר לערך off.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.3.5
  • CIS GCP Foundation 1.3: 6.3.5
  • CIS GCP Foundation 2.0: 6.3.5
  • CIS GCP Foundation 3.0: 6.3.5
  • NIST 800-53 R5: CM-6, CM-7
  • PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1
  • ISO-27001 v2022: A.8.9
  • SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4
  • CIS Controls 8.0: 4.8

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "remote access", "value": "off".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_SKIP_SHOW_DATABASE_DISABLED

תיאור הממצא: הדגל לניהול מסד הנתונים skip_show_database של מכונה של Cloud SQL ל-MySQL לא מוגדר לערך on.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.1.2
  • CIS GCP Foundation 1.3: 6.1.2
  • CIS GCP Foundation 2.0: 6.1.2
  • CIS GCP Foundation 3.0: 6.1.2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "skip_show_database", "value": "on".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_TRACE_FLAG_3625

תיאור הממצא: הדגל לניהול מסד הנתונים 3625 (trace flag) של מכונת Cloud SQL ל-SQL Server לא מוגדר לערך on.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.3.6
  • CIS GCP Foundation 2.0: 6.3.6
  • CIS GCP Foundation 3.0: 6.3.6
  • NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.1, A.8.9
  • Cloud Controls Matrix 4: CCC-01
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9
  • CIS Controls 8.0: 4.1

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "3625 (trace flag)", "value": "on".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_USER_CONNECTIONS_CONFIGURED

תיאור הממצא: הדגל לניהול מסד הנתונים user connections מוגדר למכונה של Cloud SQL ל-SQL Server.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.3.3
  • CIS GCP Foundation 1.3: 6.3.3
  • CIS GCP Foundation 2.0: 6.3.3
  • CIS GCP Foundation 3.0: 6.3.3
  • NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.1, A.8.9
  • Cloud Controls Matrix 4: CCC-01
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9
  • CIS Controls 8.0: 4.1

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "user connections", "value": "0".

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_USER_OPTIONS_CONFIGURED

תיאור הממצא: הדגל לניהול מסד הנתונים user options מוגדר למכונה של Cloud SQL ל-SQL Server.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.2: 6.3.4
  • CIS GCP Foundation 1.3: 6.3.4
  • CIS GCP Foundation 2.0: 6.3.4
  • CIS GCP Foundation 3.0: 6.3.4
  • NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.1, A.8.9
  • Cloud Controls Matrix 4: CCC-01
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9
  • CIS Controls 8.0: 4.1

בדיקת המאפיין databaseFlags של המטא-נתונים של המכונה לצמד המפתח/ערך "name": "user options", "value": "" (ריק).

  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: SQL_WEAK_ROOT_PASSWORD

תיאור הממצא: למסד נתונים של Cloud SQL שיש לו כתובת IP ציבורית, יש גם סיסמה חלשה שמוגדרת לחשבון הבסיס. כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות זמינות במאמר הפעלה והשבתה של גלאים.

רמת תמחור: פרימיום

נכסים נתמכים
sqladmin.googleapis.com/Instance

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

השוואה בין הסיסמה לחשבון הבסיס של מסד הנתונים ב-Cloud SQL לבין רשימה של סיסמאות נפוצות.

  • הרשאות IAM נוספות: roles/cloudsql.client
  • קלט נוסף: שאילתות על מכונות פעילות
  • סריקות בזמן אמת: לא

ממצאים לגבי נקודות חולשה ברשת המשנה

כל נקודות החולשה מסוג הגלאי הזה קשורות להגדרות של רשתות המשנה של הארגון, והן שייכות לסוג SUBNETWORK_SCANNER.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: FLOW_LOGS_DISABLED

תיאור הממצא: יש רשת משנה של VPC שיומני הזרימה שלה מושבתים.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Subnetwork

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 3.9
  • CIS GCP Foundation 1.1: 3.8
  • CIS GCP Foundation 1.2: 3.8
  • NIST 800-53 R4: SI-4
  • PCI-DSS v3.2.1: 10.1, 10.2
  • ISO-27001 v2013: A.13.1.1

הבדיקה בוחנת אם המאפיין enableFlowLogs של רשתות המשנה של Compute Engine חסר או מוגדר כ-false.

  • נכסים שלא נכללים בסריקות: חיבור לרשת (VPC) מאפליקציית serverless, רשתות משנה של מאזן עומסים
  • סריקות בזמן אמת: כן

תיאור הממצא: ברשת משנה של VPC, יומני הזרימה של VPC מושבתים או לא מוגדרים בהתאם להמלצות של CIS Benchmark 1.3. כדי להפעיל את הגלאי הזה, צריך לקבוע הגדרות נוספות. הוראות מפורטות זמינות במאמר הפעלה והשבתה של גלאים.

רמת תמחור: פרימיום

נכסים נתמכים
compute.googleapis.com/Subnetwork

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.3: 3.8
  • CIS GCP Foundation 2.0: 3.8
  • CIS GCP Foundation 3.0: 3.8
  • NIST 800-53 R5: SI-4
  • ISO-27001 v2022: A.8.15, A.8.16
  • Cloud Controls Matrix 4: IVS-03
  • NIST Cybersecurity Framework 1.0: DE-CM-1
  • SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4
  • CIS Controls 8.0: 13.6, 8.2

בודק אם המאפיין enableFlowLogs של רשתות משנה של VPC חסר או מוגדר כ-false. אם יומני הזרימה של VPC מופעלים, בודק שהמאפיין Aggregation Interval מוגדר לערך 5 SEC, המאפיין Include metadata מוגדר לערך true, והמאפיין Sample rate מוגדר לערך 100%.

  • נכסים שלא נכללים בסריקות: חיבור לרשת (VPC) מאפליקציית serverless, רשתות משנה של מאזן עומסים
  • סריקות בזמן אמת: כן

שם הקטגוריה ב-API: PRIVATE_GOOGLE_ACCESS_DISABLED

תיאור הממצא: יש רשתות משנה פרטיות שאין להן גישה לממשקי API ציבוריים של Google.

רמת תמחור: פרימיום

נכסים נתמכים
storage.googleapis.com/Bucket
compute.googleapis.com/Subnetwork

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS GCP Foundation 1.0: 3.8

הבדיקה בוחנת אם המאפיין privateIpGoogleAccess של רשתות המשנה של Compute Engine מוגדר כ-false.

  • סריקות בזמן אמת: כן

ממצאים ב-AWS

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED

תיאור הממצא:

‫AWS CloudShell היא דרך נוחה להריץ פקודות CLI בשירותי AWS. מדיניות IAM מנוהלת (AWSCloudShellFullAccess) מספקת גישה מלאה ל-CloudShell, שמאפשרת להעלות ולהוריד קבצים בין המערכת המקומית של המשתמש לבין סביבת CloudShell. בסביבת Cloud Shell, למשתמש יש הרשאות sudo והוא יכול לגשת לאינטרנט. לכן אפשר להתקין תוכנה להעברת קבצים (לדוגמה) ולהעביר נתונים מ-Cloud Shell לשרתי אינטרנט חיצוניים.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS AWS Foundation 2.0.0: 1.22
  • CIS AWS Foundation 3.0.0: 1.22

מוודאים שהגישה ל-AWSCloudShellFullAccess מוגבלת

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ACCESS_KEYS_ROTATED_90_DAYS_LESS

תיאור הממצא:

מפתחות גישה מורכבים ממזהה של מפתח גישה וממפתח גישה סודי, שמשמשים לחתימה על בקשות פרוגרמטיות שאתם שולחים ל-AWS. משתמשי AWS צריכים מפתחות גישה משלהם כדי לבצע קריאות פרוגרמטיות ל-AWS מממשק שורת הפקודה של AWS‏ (AWS CLI), מ-Tools for Windows PowerShell, מערכות ה-SDK של AWS או מקריאות HTTP ישירות באמצעות ממשקי ה-API של שירותי AWS נפרדים. מומלץ להחליף את כל מפתחות הגישה באופן קבוע.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-3(15)
  • PCI-DSS v3.2.1: 8.2.4
  • CIS AWS Foundation 2.0.0: 1.14
  • CIS AWS Foundation 3.0.0: 1.14
  • CIS Controls 8.0: 5

מוודאים שמפתחות הגישה מוחלפים כל 90 יום או פחות

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ALL_EXPIRED_SSL_TLS_CERTIFICATES_STORED_AWS_IAM_REMOVED

תיאור הממצא:

כדי להפעיל חיבורי HTTPS לאתר או לאפליקציה ב-AWS, צריך אישור שרת SSL/TLS. אתם יכולים להשתמש ב-ACM או ב-IAM כדי לאחסן ולפרוס אישורי שרת.
השתמשו ב-IAM כמנהל אישורים רק כשאתם צריכים לתמוך בחיבורי HTTPS באזור שלא נתמך על ידי ACM. המערכת של IAM מצפינה באופן מאובטח את המפתחות הפרטיים ומאחסנת את הגרסה המוצפנת במאגר אישורי ה-SSL של IAM. ב-IAM אפשר לפרוס אישורי שרת בכל האזורים, אבל צריך לקבל את האישור מספק חיצוני כדי להשתמש בו עם AWS. אי אפשר להעלות אישור ACM ל-IAM. בנוסף, אי אפשר לנהל את האישורים ממסוף IAM.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AU-11, CM-12, SI-12
  • PCI-DSS v4.0: 9.4.2
  • ISO-27001 v2022: A.5.10, A.5.9, A.8.1
  • Cloud Controls Matrix 4: DSP-01
  • NIST Cybersecurity Framework 1.0: PR-IP-6
  • CIS AWS Foundation 2.0.0: 1.19
  • CIS AWS Foundation 3.0.0: 1.19
  • CIS Controls 8.0: 3.1

חשוב לוודא שכל אישורי ה-SSL/TLS שפג תוקפם ומאוחסנים ב-AWS IAM הוסרו

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: AUTOSCALING_GROUP_ELB_HEALTHCHECK_REQUIRED

תיאור הממצא:

הבדיקה הזו בודקת אם קבוצות ההתאמה האוטומטית לעומס (automatic scaling) שמשויכות למאזן עומסים משתמשות בבדיקות תקינות של Elastic Load Balancing.

כך הקבוצה יכולה לקבוע את התקינות של המכונה על סמך בדיקות נוספות שמאזן העומסים מספק. שימוש בבדיקות תקינות של Elastic Load Balancing יכול לעזור לתמוך בזמינות של אפליקציות שמשתמשות בקבוצות של EC2 Auto Scaling.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-2

בדיקה שכל קבוצות ההתאמה האוטומטית לעומס שמשויכות למאזן עומסים משתמשות בבדיקות תקינות

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: AUTO_MINOR_VERSION_UPGRADE_FEATURE_ENABLED_RDS_INSTANCES

תיאור הממצא:

מוודאים שהדגל Auto Minor Version Upgrade מופעל במכונות של מסד הנתונים ב-RDS, כדי לקבל שדרוגים אוטומטיים של גרסאות משניות של המנוע במהלך חלון הזמן לתחזוקה שצוין. כך, מכונות RDS יכולות לקבל את התכונות החדשות, תיקוני הבאגים ותיקוני האבטחה למנועים של מסדי הנתונים שלהן.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: RA-5, RA-7, SI-2
  • ISO-27001 v2022: A.8.8
  • Cloud Controls Matrix 4: UEM-03
  • NIST Cybersecurity Framework 1.0: ID-RA-1
  • SOC2 v2017: CC7.1.1, CC7.1.2, CC7.1.3, CC7.1.4, CC7.1.5
  • CIS AWS Foundation 2.0.0: 2.3.2
  • CIS AWS Foundation 3.0.0: 2.3.2
  • CIS Controls 8.0: 7.4

צריך לוודא שהתכונה "שדרוג אוטומטי של גרסה משנית" מופעלת במכונות RDS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: AWS_CONFIG_ENABLED_ALL_REGIONS

תיאור הממצא:

‫AWS Config הוא שירות אינטרנט שמנהל את ההגדרות של משאבי AWS נתמכים בחשבון שלכם, ושולח לכם קובצי יומן. המידע שמתועד כולל את פריט ההגדרה (משאב AWS), קשרים בין פריטי הגדרה (משאבי AWS) וכל שינוי בהגדרות בין המשאבים. מומלץ להפעיל את AWS Config בכל האזורים.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: CM-8, PM-5
  • PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1
  • ISO-27001 v2022: A.5.9, A.8.8
  • Cloud Controls Matrix 4: UEM-04
  • NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3
  • SOC2 v2017: CC3.2.6, CC6.1.1
  • HIPAA: 164.310(d)(2)(iii)
  • CIS AWS Foundation 2.0.0: 3.5
  • CIS AWS Foundation 3.0.0: 3.5
  • CIS Controls 8.0: 1.1

צריך לוודא ש-AWS Config מופעל בכל האזורים

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: AWS_SECURITY_HUB_ENABLED

תיאור הממצא:

מרכז האבטחה אוסף נתוני אבטחה מחשבונות AWS, משירותים וממוצרים נתמכים של שותפי צד שלישי, ועוזר לכם לנתח את מגמות האבטחה ולזהות את בעיות האבטחה בעדיפות הגבוהה ביותר. כשמפעילים את Security Hub, הוא מתחיל לצרוך, לצבור, לארגן ולתעדף ממצאים משירותי AWS שהפעלתם, כמו Amazon GuardDuty,‏ Amazon Inspector ו-Amazon Macie. אפשר גם להפעיל שילובים עם מוצרי אבטחה של שותפי AWS.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: CA-7
  • PCI-DSS v3.2.1: 11.5
  • CIS AWS Foundation 2.0.0: 4.16
  • CIS AWS Foundation 3.0.0: 4.16

מוודאים ש-AWS Security Hub מופעל

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: CLOUDTRAIL_LOGS_ENCRYPTED_REST_USING_KMS_CMKS

תיאור הממצא:

‫AWS CloudTrail הוא שירות אינטרנט שמתעד קריאות ל-API של AWS בחשבון, ומאפשר למשתמשים ולמשאבים לגשת ליומנים האלה בהתאם למדיניות IAM. ‫AWS Key Management Service‏ (KMS) הוא שירות מנוהל שעוזר ליצור ולנהל את מפתחות ההצפנה שמשמשים להצפנת נתוני החשבון, ומשתמש במודולים של אבטחה לחומרה (HSM) כדי להגן על האבטחה של מפתחות ההצפנה. אפשר להגדיר את יומני CloudTrail כך שישתמשו בהצפנה בצד השרת (SSE) ובמפתחות מאסטר (CMK) שנוצרו על ידי הלקוח ב-KMS, כדי להגן עוד יותר על יומני CloudTrail. מומלץ להגדיר את CloudTrail לשימוש ב-SSE-KMS.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: IA-5, SC-28, SI-7(6)
  • PCI-DSS v3.2.1: 10.5.2
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 3.7
  • CIS AWS Foundation 3.0.0: 3.5
  • CIS Controls 8.0: 3.11

צריך לוודא שיומני CloudTrail מוצפנים במנוחה באמצעות מפתחות CMK של KMS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: CLOUDTRAIL_LOG_FILE_VALIDATION_ENABLED

תיאור הממצא:

אימות קובץ היומן של CloudTrail יוצר קובץ תקציר חתום דיגיטלית שמכיל גיבוב (hash) של כל יומן ש-CloudTrail כותב ב-S3. אפשר להשתמש בקובצי התקציר האלה כדי לקבוע אם קובץ יומן השתנה, נמחק או לא השתנה אחרי ש-CloudTrail העביר את היומן. מומלץ להפעיל אימות קבצים בכל ה-CloudTrails.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AU-6, AU-7, SI-7(7)
  • PCI-DSS v3.2.1: 11.5
  • PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3
  • ISO-27001 v2022: A.5.25
  • Cloud Controls Matrix 4: LOG-05
  • NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1
  • SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5
  • HIPAA: 164.308(a)(1)(ii), 164.312(b)
  • CIS AWS Foundation 2.0.0: 3.2
  • CIS AWS Foundation 3.0.0: 3.2
  • CIS Controls 8.0: 8.11

מוודאים שאימות קובץ היומן של CloudTrail מופעל

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: CLOUDTRAIL_TRAILS_INTEGRATED_CLOUDWATCH_LOGS

תיאור הממצא:

‫AWS CloudTrail הוא שירות אינטרנט שמתעד קריאות ל-AWS API שבוצעו בחשבון AWS נתון. המידע שמתועד כולל את הזהות של מבצע הקריאה ל-API, את השעה של הקריאה ל-API, את כתובת ה-IP של המקור של מבצע הקריאה ל-API, את הפרמטרים של הבקשה ואת רכיבי התגובה שמוחזרים על ידי שירות AWS. ‫CloudTrail משתמש ב-Amazon S3 לאחסון ולשליחה של קובצי יומן, כך שקובצי היומן מאוחסנים באופן עמיד. בנוסף לשמירת יומני CloudTrail בקטגוריית S3 ספציפית לניתוח לטווח ארוך, אפשר לבצע ניתוח בזמן אמת על ידי הגדרת CloudTrail לשליחת יומנים אל CloudWatch Logs. במעקב שמופעל בכל האזורים בחשבון, CloudTrail שולח קובצי יומן מכל האזורים האלה לקבוצת יומנים של CloudWatch Logs. מומלץ לשלוח את יומני CloudTrail אל CloudWatch Logs.

הערה: מטרת ההמלצה הזו היא לוודא שהפעילות בחשבון AWS מתועדת, מנוטרת ומופעלת התראה בהתאם. אפשר להשתמש ב-CloudWatch Logs כדי לעשות את זה באמצעות שירותי AWS, אבל אפשר גם להשתמש בפתרון אחר.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS AWS Foundation 2.0.0: 3.4
  • CIS Controls 8.0: 8.5, 8.9

מוודאים שהשבילים של CloudTrail משולבים עם CloudWatch Logs

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: CLOUDWATCH_ALARM_ACTION_CHECK

תיאור הממצא:

הבדיקה הזו בודקת אם ל-Amazon Cloudwatch יש פעולות שמוגדרות כשהתראה עוברת בין המצבים "OK",‏ "ALARM" ו-"INSUFFICIENT_DATA".

חשוב מאוד להגדיר פעולות למצב ALARM בהתראות של Amazon CloudWatch כדי להפעיל תגובה מיידית כשמדדים במעקב חורגים מהסף.
הוא מאפשר לפתור בעיות במהירות, לצמצם את זמני ההשבתה ולתקן בעיות באופן אוטומטי, וכך לשמור על תקינות המערכת ולמנוע הפסקות זמניות בפעילות.

לכל התראה יש לפחות פעולה אחת.
להתראות יש לפחות פעולה אחת כשההתראה עוברת למצב INSUFFICIENT_DATA מכל מצב אחר.
(אופציונלי) להתראות יש לפחות פעולה אחת כשההתראה עוברת למצב OK מכל מצב אחר.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-20

הפונקציה בודקת אם בהתראות של CloudWatch מופעלת לפחות פעולת התראה אחת, פעולת INSUFFICIENT_DATA אחת או פעולת OK אחת.

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: CLOUDWATCH_LOG_GROUP_ENCRYPTED

תיאור הממצא:

הבדיקה הזו מוודאת שיומני CloudWatch מוגדרים עם KMS.

נתוני קבוצת היומנים תמיד מוצפנים ב-CloudWatch Logs. כברירת מחדל, ב-CloudWatch Logs נעשה שימוש בהצפנה בצד השרת לנתוני היומן במנוחה. לחלופין, אתם יכולים להשתמש ב-AWS Key Management Service (שירות ניהול מפתחות) להצפנה הזו. אם כן, ההצפנה מתבצעת באמצעות מפתח AWS KMS. ההצפנה באמצעות AWS KMS מופעלת ברמת קבוצת היומנים, על ידי שיוך של מפתח KMS לקבוצת יומנים, כשיוצרים את קבוצת היומנים או אחרי שהיא קיימת.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • PCI-DSS v3.2.1: 3.4

בדיקה שכל קבוצות היומנים ב-Amazon CloudWatch Logs מוצפנות באמצעות KMS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED

תיאור הממצא:

אמצעי הבקרה הזה בודק אם נתיבי CloudTrail מוגדרים לשלוח יומנים ל-CloudWatch Logs. הבדיקה נכשלת אם המאפיין CloudWatchLogsLogGroupArn של נתיב הביקורת ריק.

‫CloudTrail מתעד קריאות ל-AWS API שבוצעו בחשבון נתון. המידע שמתועד כולל:

  • הזהות של הגורם שביצע את הקריאה ל-API
  • מועד הקריאה ל-API
  • כתובת ה-IP של המקור של מבצע הקריאה ל-API
  • הפרמטרים של הבקשה
  • רכיבי התגובה שמוחזרים על ידי שירות AWS

‫CloudTrail משתמש ב-Amazon S3 לאחסון ולשליחה של קובצי יומן. אתם יכולים לתעד יומני CloudTrail בקטגוריית S3 שצוינה לצורך ניתוח לטווח ארוך. כדי לבצע ניתוח בזמן אמת, אפשר להגדיר את CloudTrail כך שישלח יומנים ל-CloudWatch Logs.

במעקב שמופעל בכל האזורים בחשבון, CloudTrail שולח קובצי יומן מכל האזורים האלה לקבוצת יומנים של CloudWatch Logs.

ב-Security Hub מומלץ לשלוח את יומני CloudTrail ל-CloudWatch Logs. חשוב לזכור שההמלצה הזו נועדה לוודא שהפעילות בחשבון מתועדת, מנוטרת ומופעלת התראה בהתאם. אתם יכולים להשתמש ב-CloudWatch Logs כדי להגדיר את זה בשירותי AWS. ההמלצה הזו לא מונעת שימוש בפתרון אחר.

שליחת יומני CloudTrail ליומני CloudWatch מאפשרת לתעד פעילות בזמן אמת ופעילות היסטורית על סמך משתמש, API, משאב וכתובת IP. אתם יכולים להשתמש בגישה הזו כדי להגדיר התראות על פעילות חריגה או רגישה בחשבון.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-20
  • PCI-DSS v3.2.1: 10.5.3

בדיקה שכל נתיבי CloudTrail מוגדרים לשליחת יומנים אל AWS CloudWatch

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: CODEBUILD_PROJECT_ENVVAR_AWSCRED_CHECK

תיאור הממצא:

כך בודקים אם הפרויקט מכיל את משתני הסביבה AWS_ACCESS_KEY_ID ו-AWS_SECRET_ACCESS_KEY.

אסור לאחסן את פרטי הכניסה לאימות AWS_ACCESS_KEY_ID ו-AWS_SECRET_ACCESS_KEY בטקסט פשוט, כי זה עלול להוביל לחשיפה לא מכוונת של נתונים ולגישה לא מורשית.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: IA-5, SA-3

בדיקה שכל הפרויקטים שמכילים את משתני הסביבה AWS_ACCESS_KEY_ID ו-AWS_SECRET_ACCESS_KEY לא מופיעים בטקסט פשוט

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: CODEBUILD_PROJECT_SOURCE_REPO_URL_CHECK

תיאור הממצא:

הבדיקה הזו בודקת אם כתובת ה-URL של מאגר המקור של Bitbucket בפרויקט AWS CodeBuild מכילה טוקני גישה אישיים או שם משתמש וסיסמה. הבדיקה נכשלת אם כתובת ה-URL של מאגר המקור ב-Bitbucket מכילה טוקני גישה אישיים או שם משתמש וסיסמה.

אסור לאחסן או להעביר פרטי כניסה בטקסט רגיל, ואסור שהם יופיעו בכתובת ה-URL של מאגר המקור. במקום טוקני גישה אישיים או פרטי כניסה, צריך לגשת לספק המקור ב-CodeBuild ולשנות את כתובת ה-URL של מאגר המקור כך שתכיל רק את הנתיב למיקום של מאגר Bitbucket. שימוש בטוקני גישה אישיים או בפרטי כניסה עלול לגרום לחשיפה לא מכוונת של נתונים או לגישה לא מורשית.

רמת תמחור: Enterprise

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בדיקה שכל הפרויקטים שמשתמשים ב-GitHub או ב-Bitbucket כמקור משתמשים ב-OAuth

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: CREDENTIALS_UNUSED_45_DAYS_GREATER_DISABLED

תיאור הממצא:

משתמשי AWS IAM יכולים לגשת למשאבי AWS באמצעות סוגים שונים של פרטי כניסה, כמו סיסמאות או מפתחות גישה. מומלץ להשבית או להסיר את כל פרטי הכניסה שלא היו בשימוש במשך 45 ימים או יותר.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-2
  • PCI-DSS v4.0: 8.3.7
  • NIST Cybersecurity Framework 1.0: PR-AC-1
  • CIS AWS Foundation 2.0.0: 1.12
  • CIS AWS Foundation 3.0.0: 1.12
  • CIS Controls 8.0: 5.3

צריך לוודא שפרטי כניסה שלא היו בשימוש במשך 45 ימים או יותר מושבתים

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: DEFAULT_SECURITY_GROUP_VPC_RESTRICTS_ALL_TRAFFIC

תיאור הממצא:

ל-VPC יש קבוצת אבטחה שמוגדרת כברירת מחדל. ההגדרות הראשוניות שלה חוסמות את כל התנועה הנכנסת, מאפשרות את כל התנועה היוצאת ומאפשרות את כל התנועה בין המכונות שמוקצות לקבוצת האבטחה. אם לא מציינים קבוצת אבטחה כשמפעילים מכונה, המכונה מוקצית באופן אוטומטי לקבוצת האבטחה שמוגדרת כברירת מחדל. קבוצות אבטחה מספקות סינון עם שמירת מצב (stateful) של תנועת הרשת הנכנסת והיוצאת למשאבי AWS. מומלץ שקבוצת האבטחה שמוגדרת כברירת מחדל תגביל את כל התנועה.

כדי לעמוד בדרישות, צריך לעדכן את קבוצת האבטחה שמוגדרת כברירת מחדל ב-VPC שמוגדר כברירת מחדל בכל אזור. כל VPC חדש שנוצר יכיל באופן אוטומטי קבוצת אבטחה שמוגדרת כברירת מחדל, וצריך יהיה לתקן אותה כדי לעמוד בהמלצה הזו.

הערה: כשמיישמים את ההמלצה הזו, רישום ביומן של תעבורת הנתונים ב-VPC הוא כלי חשוב מאוד לקביעת הרשאות הגישה המינימליות ליציאות שנדרשות למערכות כדי לפעול כראוי, כי הוא יכול לתעד ביומן את כל קבלות החבילות והדחיות שמתרחשות בקבוצות האבטחה הנוכחיות. כך מצטמצם באופן משמעותי המכשול העיקרי להנדסת הרשאות מינימליות – גילוי היציאות המינימליות שנדרשות למערכות בסביבה. גם אם ההמלצה לרישום ביומן של VPC Flow בבנצ'מרק הזה לא מאומצת כאמצעי אבטחה קבוע, צריך להשתמש בה במהלך כל תקופה של גילוי והנדסה של קבוצות אבטחה עם הרשאות מינימליות.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 5.4
  • CIS AWS Foundation 3.0.0: 5.4
  • CIS Controls 8.0: 3.3

מוודאים שקבוצת האבטחה שמוגדרת כברירת מחדל בכל VPC מגבילה את כל התנועה

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: DMS_REPLICATION_NOT_PUBLIC

תיאור הממצא:

בדיקה אם מכונות הרפליקציה של AWS DMS הן ציבוריות. כדי לעשות את זה, המערכת בודקת את הערך של השדה PubliclyAccessible.

למכונה פרטית של רפליקציה יש כתובת IP פרטית שאי אפשר לגשת אליה מחוץ לרשת הרפליקציה. למכונה וירטואלית של רפליקציה צריכה להיות כתובת IP פרטית כשמסדי הנתונים של המקור והיעד נמצאים באותה רשת. הרשת צריכה להיות מחוברת גם ל-VPC של מכונת הרפליקציה באמצעות VPN,‏ AWS Direct Connect או קישור בין רשתות VPC שכנות (peering). מידע נוסף על מכונות רפליקציה ציבוריות ופרטיות זמין במאמר מכונות רפליקציה ציבוריות ופרטיות במדריך למשתמש של AWS Database Migration Service.

חשוב גם לוודא שהגישה להגדרת המכונה של AWS DMS מוגבלת למשתמשים מורשים בלבד. כדי לעשות את זה, צריך להגביל את הרשאות ה-IAM של המשתמשים כך שהם לא יוכלו לשנות את ההגדרות והמשאבים של AWS DMS.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

בדיקה אם מכונות הרפליקציה של AWS Database Migration Service הן ציבוריות

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: DO_SETUP_ACCESS_KEYS_DURING_INITIAL_USER_SETUP_ALL_IAM_USERS_CONSOLE

תיאור הממצא:

כשיוצרים משתמש IAM חדש, כברירת מחדל לא מסומנות תיבות סימון במסוף AWS. כשיוצרים את פרטי הכניסה של משתמש IAM, צריך לקבוע איזה סוג גישה נדרש לו.

גישה פרוגרמטית: יכול להיות שמשתמש ה-IAM יצטרך לבצע קריאות ל-API, להשתמש ב-AWS CLI או להשתמש בכלים של Windows PowerShell. במקרה כזה, צריך ליצור מפתח גישה (מזהה של מפתח גישה ומפתח גישה סודי) למשתמש הזה.

גישה ל-AWS Management Console: אם המשתמש צריך לגשת ל-AWS Management Console, יוצרים סיסמה למשתמש.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 1.11
  • CIS AWS Foundation 3.0.0: 1.11
  • CIS Controls 8.0: 3.3, 5.4

לא להגדיר מפתחות גישה במהלך ההגדרה הראשונית של המשתמש לכל משתמשי ה-IAM שיש להם סיסמה למסוף

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: DYNAMODB_AUTOSCALING_ENABLED

תיאור הממצא:

הבדיקה הזו בודקת אם טבלת Amazon DynamoDB יכולה לשנות את קיבולת הקריאה והכתיבה שלה לפי הצורך. הבדיקה הזו עוברת אם הטבלה משתמשת במצב קיבולת על פי דרישה או במצב הקצאה עם הגדרה של התאמה אוטומטית לעומס (automatic scaling). התאמת הקיבולת לביקוש מונעת חריגות של ויסות נתונים (throttle), וכך עוזרת לשמור על הזמינות של האפליקציות.

טבלאות DynamoDB במצב קיבולת על פי דרישה מוגבלות רק על ידי מכסות ברירת המחדל של הטבלאות לתפוקה של DynamoDB. כדי להגדיל את המכסות האלה, אפשר לשלוח כרטיס תמיכה דרך AWS Support.

טבלאות DynamoDB במצב הקצאה עם התאמה אוטומטית לעומס (auto-scaling) משנות באופן דינמי את קיבולת התפוקה שהוקצתה בתגובה לדפוסי התנועה. למידע נוסף על ויסות בקשות ב-DynamoDB, קראו את המאמר Request throttling and burst capacity במדריך למפתחים של Amazon DynamoDB.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-13(5)

טבלאות DynamoDB צריכות להתאים את הקיבולת באופן אוטומטי לפי הביקוש

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: DYNAMODB_IN_BACKUP_PLAN

תיאור הממצא:

האמצעי הזה בודק אם טבלת DynamoDB נכללת בתוכנית גיבוי. הבדיקה נכשלת אם טבלת DynamoDB לא נכללת בתוכנית גיבוי. אמצעי הבקרה הזה בודק רק טבלאות DynamoDB במצב ACTIVE.

גיבויים עוזרים להתאושש מהר יותר מאירוע אבטחה. הם גם מחזקים את העמידות של המערכות שלכם. הכללת טבלאות DynamoDB בתוכנית גיבוי עוזרת להגן על הנתונים מפני אובדן או מחיקה לא מכוונים.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-13(5)

טבלאות DynamoDB צריכות להיות מכוסות בתוכנית גיבוי

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: DYNAMODB_PITR_ENABLED

תיאור הממצא:

שחזור מערכת מנקודה מסוימת בזמן (PITR) הוא אחד מהמנגנונים הזמינים לגיבוי טבלאות DynamoDB.

גיבוי של נקודת זמן נשמר למשך 35 ימים. אם אתם צריכים לשמור את הנתונים לתקופה ארוכה יותר, עיינו במאמר הגדרת גיבויים מתוזמנים ל-Amazon DynamoDB באמצעות AWS Backup במסמכי התיעוד של AWS.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-13(5)

בדיקה ששחזור המערכת מנקודה מסוימת בזמן (PITR) מופעל בכל הטבלאות של AWS DynamoDB

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: DYNAMODB_TABLE_ENCRYPTED_KMS

תיאור הממצא:

בדיקה אם כל הטבלאות ב-DynamoDB מוצפנות באמצעות מפתח KMS בניהול הלקוח (לא ברירת המחדל).

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(6)

בדיקה שכל הטבלאות ב-DynamoDB מוצפנות באמצעות AWS Key Management Service (KMS)

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: EBS_OPTIMIZED_INSTANCE

תיאור הממצא:

בדיקה אם האופטימיזציה של EBS מופעלת במכונות EC2 שאפשר לבצע בהן אופטימיזציה של EBS

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-5(2)

בדיקה שהאופטימיזציה של EBS מופעלת בכל המכונות שתומכות באופטימיזציה של EBS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: EBS_SNAPSHOT_PUBLIC_RESTORABLE_CHECK

תיאור הממצא:

בדיקה אם קובצי Snapshot של Amazon Elastic Block Store לא גלויים לכולם. הבדיקה נכשלת אם כל אחד יכול לשחזר תמונות מצב של Amazon EBS.

תמונות מצב של EBS משמשות לגיבוי הנתונים בנפחי ה-EBS שלכם ב-Amazon S3 בנקודת זמן ספציפית. אתם יכולים להשתמש בתמונות המצב כדי לשחזר מצבים קודמים של אמצעי אחסון ב-EBS. רק לעיתים רחוקות מקובל לשתף תמונת מצב עם הציבור. בדרך כלל, ההחלטה לשתף תמונת מצב באופן גלוי לכולם מתקבלת בטעות או בלי להבין את ההשלכות של הפעולה. הבדיקה הזו עוזרת לוודא שכל השיתופים האלה תוכננו מראש ובוצעו בכוונה.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

תמונות מצב של Amazon EBS לא אמורות להיות ניתנות לשחזור באופן ציבורי

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: EBS_VOLUME_ENCRYPTION_ENABLED_ALL_REGIONS

תיאור הממצא:

‫Elastic Compute Cloud (EC2)‎ תומך בהצפנה במנוחה כשמשתמשים בשירות Elastic Block Store (EBS)‎. כברירת מחדל, ההצפנה מושבתת, אבל אפשר לאכוף הצפנה כשיוצרים נפח EBS.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: IA-5, SC-28, SI-7(6)
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.2.1
  • CIS AWS Foundation 3.0.0: 2.2.1
  • CIS Controls 8.0: 3.11

צריך לוודא שהצפנת נפח EBS מופעלת בכל האזורים

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: EC2_INSTANCES_IN_VPC

תיאור הממצא:

Amazon VPC מספק יותר פונקציונליות אבטחה מאשר EC2 Classic. מומלץ שכל הצמתים יהיו שייכים ל-Amazon VPC.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7

מוודא שכל המכונות שייכות ל-VPC

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: EC2_INSTANCE_NO_PUBLIC_IP

תיאור הממצא:

מכונות EC2 עם כתובת IP ציבורית נמצאות בסיכון גבוה יותר לפריצה. מומלץ לא להגדיר מכונות EC2 עם כתובת IP ציבורית.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

מוודא שלאף מכונה אין כתובת IP ציבורית

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: EC2_MANAGEDINSTANCE_ASSOCIATION_COMPLIANCE_STATUS_CHECK

תיאור הממצא:

שיוך של State Manager הוא הגדרה שמוקצית למכונות המנוהלות שלכם. ההגדרה קובעת את המצב שאתם רוצים לשמור במכונות שלכם. לדוגמה, שיוך יכול לציין שתוכנת אנטי-וירוס חייבת להיות מותקנת ופועלת במכונות שלכם, או שפורטים מסוימים חייבים להיות סגורים. מכונות EC2 שמשויכות ל-AWS Systems Manager מנוהלות על ידי Systems Manager, מה שמקל על החלת תיקונים, תיקון הגדרות שגויות ותגובה לאירועי אבטחה.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • PCI-DSS v3.2.1: 6.2

בדיקת סטטוס התאימות של שיוך AWS Systems Manager

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: EC2_MANAGEDINSTANCE_PATCH_COMPLIANCE_STATUS_CHECK

תיאור הממצא:

אמצעי הבקרה הזה בודק אם הסטטוס של תאימות השיוך של AWS Systems Manager הוא COMPLIANT או NON_COMPLIANT אחרי שהשיוך מופעל במכונה. הבדיקה נכשלת אם סטטוס התאימות של השיוך הוא NON_COMPLIANT.

שיוך של State Manager הוא הגדרה שמוקצית למכונות המנוהלות שלכם. ההגדרה קובעת את המצב שאתם רוצים לשמור במכונות שלכם. לדוגמה, שיוך יכול לציין שתוכנת אנטי-וירוס חייבת להיות מותקנת ופועלת במכונות שלכם, או שצריך לסגור יציאות מסוימות.

אחרי שיוצרים שיוך אחד או יותר של State Manager, מידע על סטטוס התאימות זמין באופן מיידי. אפשר לראות את סטטוס התאימות במסוף או בתגובה לפקודות של AWS CLI או לפעולות תואמות של Systems Manager API. ב-Configuration Compliance מוצג סטטוס התאימות של השיוכים (תואם או לא תואם). הוא גם מציג את רמת החומרה שהוקצתה לשיוך, כמו "קריטית" או "בינונית".

מידע נוסף על תאימות של שיוך State Manager זמין במאמר מידע על תאימות של שיוך State Manager במדריך למשתמש של AWS Systems Manager.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-2
  • PCI-DSS v3.2.1: 6.2

בדיקת הסטטוס של תאימות התיקונים של AWS Systems Manager

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: EC2_METADATA_SERVICE_ALLOWS_IMDSV2

תיאור הממצא:

כשמפעילים את שירות המטא-נתונים במכונות AWS EC2, המשתמשים יכולים לבחור בין Instance Metadata Service Version 1 (IMDSv1; שיטת בקשה/תגובה) לבין Instance Metadata Service Version 2 (IMDSv2; שיטה מבוססת-סשן).

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-6
  • CIS AWS Foundation 2.0.0: 5.6
  • CIS AWS Foundation 3.0.0: 5.6

צריך לוודא ששירות המטא-נתונים של EC2 מאפשר רק IMDSv2

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: EC2_VOLUME_INUSE_CHECK

תיאור הממצא:

זיהוי והסרה של אמצעי אחסון לא מחוברים (שלא בשימוש) של Elastic Block Store‏ (EBS) בחשבון AWS, כדי להוזיל את העלות של החשבון החודשי ב-AWS. מחיקת נפחי EBS שלא בשימוש גם מפחיתה את הסיכון שמידע סודי או רגיש ידלוף מהארגון. בנוסף, אמצעי הבקרה הזה בודק אם מופעי EC2 מוגדרים למחיקת אמצעי אחסון בסיום.

כברירת מחדל, מכונות EC2 מוגדרות למחוק את הנתונים בכל נפחי ה-EBS שמשויכים למכונה, ולמחוק את נפח ה-EBS הבסיסי של המכונה. עם זאת, כל נפחי EBS שאינם ברמת הבסיס (root) שמחוברים למכונה, בזמן ההפעלה או במהלך ההרצה, נשמרים אחרי הסיום כברירת מחדל.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: CM-2

בדיקה אם אמצעי אחסון של EBS מצורפים למכונות EC2 ומוגדרים למחיקה בסיום המכונה

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: EFS_ENCRYPTED_CHECK

תיאור הממצא:

‫Amazon EFS תומך בשתי צורות של הצפנה למערכות קבצים: הצפנת נתונים במעבר והצפנה במנוחה. הבדיקה הזו מוודאת שכל מערכות הקבצים של EFS מוגדרות עם הצפנה במנוחה בכל האזורים המופעלים בחשבון.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1

בדיקה אם EFS מוגדר להצפין נתוני קבצים באמצעות KMS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: EFS_IN_BACKUP_PLAN

תיאור הממצא:

לפי השיטות המומלצות של אמזון, כדאי להגדיר גיבויים למערכות הקבצים האלסטיות (EFS). הפעולה הזו בודקת את כל מערכות ה-EFS בכל האזורים שמופעלים בחשבון AWS שלכם, כדי לוודא שהגיבויים מופעלים.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-13(5)

בדיקה אם מערכות הקבצים של EFS נכללות בתוכניות הגיבוי של AWS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ELB_ACM_CERTIFICATE_REQUIRED

תיאור הממצא:

בדיקה אם מאזן העומסים הקלאסי משתמש באישורי HTTPS/SSL שסופקו על ידי AWS Certificate Manager ‏(ACM). הבדיקה נכשלת אם מאזן העומסים הקלאסי שמוגדר עם מאזין HTTPS/SSL לא משתמש באישור שסופק על ידי ACM.

כדי ליצור אישור, אתם יכולים להשתמש ב-ACM או בכלי שתומך בפרוטוקולים SSL ו-TLS, כמו OpenSSL. במרכז הבטיחות מומלץ להשתמש ב-ACM כדי ליצור או לייבא אישורים למאזן העומסים.

‫ACM משתלב עם מאזני עומסים קלאסיים, כך שאפשר לפרוס את האישור במאזן העומסים. כדאי גם לחדש את האישורים האלה באופן אוטומטי.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-17, AC-4, IA-5, SC-12, SC-13, SC-23, SC-7, SC-8, SI-7, SI-7(6)

בדיקה שכל מאזני העומסים הקלאסיים משתמשים באישורי SSL שסופקו על ידי AWS Certificate Manager

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ELB_DELETION_PROTECTION_ENABLED

תיאור הממצא:

האפליקציה בודקת אם ההגנה מפני מחיקה מופעלת במאזן עומסים של אפליקציות (ALB). הבדיקה נכשלת אם ההגנה מפני מחיקה לא מוגדרת.

כדי להגן על מאזן העומסים של האפליקציות מפני מחיקה, צריך להפעיל את ההגנה מפני מחיקה.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-5(2)

צריך להפעיל את ההגנה מפני מחיקה של מאזן עומסים של אפליקציות (ALB)

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ELB_LOGGING_ENABLED

תיאור הממצא:

הבדיקה הזו בודקת אם הרישום ביומן מופעל במאזן העומסים של האפליקציות ובמאזן העומסים הקלאסי. הבדיקה נכשלת אם הערך של access_logs.s3.enabled הוא false.

ב-Elastic Load Balancing יש יומני גישה שמתעדים מידע מפורט על בקשות שנשלחות למאזן העומסים. כל יומן מכיל מידע כמו השעה שבה הבקשה התקבלה, כתובת ה-IP של הלקוח, זמני האחזור, נתיבי הבקשות ותגובות השרת. אתם יכולים להשתמש ביומני הגישה האלה כדי לנתח דפוסי תנועה ולפתור בעיות.

מידע נוסף זמין במאמר Access logs for your Classic Load Balancer במדריך למשתמש של Classic Load Balancers.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1

בדיקה אם הרישום ביומן מופעל במאזני עומסים קלאסיים ובמאזני עומסים של אפליקציות (ALB)

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ELB_TLS_HTTPS_LISTENERS_ONLY

תיאור הממצא:

הבדיקה הזו מוודאת שכל מאזני העומסים הקלאסיים מוגדרים לשימוש בתקשורת מאובטחת.

מאזין הוא תהליך שבודק אם יש בקשות חיבור. הוא מוגדר עם פרוטוקול ויציאה לחיבורים של ממשק קצה (מהלקוח למאזן העומסים) ופרוטוקול ויציאה לחיבורים של קצה עורפי (ממאזן העומסים למכונה). מידע על היציאות, הפרוטוקולים והגדרות המאזינים שנתמכים על ידי Elastic Load Balancing זמין במאמר Listeners for your Classic Load Balancer.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(6)

בדיקה שכל מאזני העומסים הקלאסיים מוגדרים עם מאזיני SSL או HTTPS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ENCRYPTED_VOLUMES

תיאור הממצא:

בודק אם אמצעי האחסון של EBS שמחוברים מוצפנים. כדי לעבור את הבדיקה הזו, אמצעי האחסון של EBS צריכים להיות בשימוש ומוצפנים. אם אמצעי האחסון של EBS לא מצורף, הוא לא כפוף לבדיקה הזו.

כדי להוסיף שכבת אבטחה לנתונים הרגישים בנפחי EBS, צריך להפעיל הצפנת EBS במנוחה. ההצפנה של Amazon EBS היא פתרון הצפנה פשוט למשאבי EBS, שלא דורש מכם לבנות, לתחזק ולאבטח תשתית משלכם לניהול מפתחות. הוא משתמש במפתחות KMS כשיוצרים נפחים מוצפנים ותמונות מצב.

מידע נוסף על הצפנת Amazon EBS זמין במאמר Amazon EBS encryption במדריך למשתמש של Amazon EC2 למכונות Linux.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1

אמצעי אחסון מצורפים של Amazon EBS צריכים להיות מוצפנים במנוחה

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ENCRYPTION_AT_REST_ENABLED_RDS_INSTANCES

תיאור הממצא:

מופעי מסד נתונים מוצפנים של Amazon RDS משתמשים באלגוריתם ההצפנה AES-256, שהוא המקובל בתחום, כדי להצפין את הנתונים בשרת שמארח את מופעי מסד הנתונים של Amazon RDS. אחרי שהנתונים מוצפנים, Amazon RDS מטפל באימות הגישה ובפענוח הנתונים באופן שקוף, עם השפעה מינימלית על הביצועים.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: IA-5, SC-28, SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.3.1
  • CIS AWS Foundation 3.0.0: 2.3.1
  • CIS Controls 8.0: 3.11

מוודאים שההצפנה במנוחה מופעלת במכונות RDS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ENCRYPTION_ENABLED_EFS_FILE_SYSTEMS

תיאור הממצא:

נתוני EFS צריכים להיות מוצפנים במנוחה באמצעות AWS KMS (שירות ניהול מפתחות).

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.4.1
  • CIS AWS Foundation 3.0.0: 2.4.1
  • CIS Controls 8.0: 3.11

מוודאים שההצפנה מופעלת במערכות הקבצים של EFS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: IAM_PASSWORD_POLICY

תיאור הממצא:

ב-AWS אפשר להגדיר מדיניות סיסמאות מותאמת אישית בחשבון AWS כדי לציין דרישות מורכבות ותקופות רוטציה חובה לסיסמאות של משתמשי IAM. אם לא תגדירו מדיניות סיסמאות מותאמת אישית, הסיסמאות של משתמשי IAM יצטרכו לעמוד בדרישות של מדיניות הסיסמאות שמוגדרת כברירת מחדל ב-AWS. בשיטות המומלצות לאבטחה ב-AWS, מומלץ להגדיר את הדרישות הבאות למורכבות הסיסמה:

  • הסיסמה חייבת לכלול לפחות אות גדולה אחת.
  • הסיסמאות חייבות לכלול לפחות אות קטנה אחת.
  • הסיסמאות צריכות להכיל לפחות סמל אחד.
  • לדרוש לפחות ספרה אחת בסיסמאות.
  • לדרוש סיסמה באורך של 14 תווים לפחות.
  • צריך להזין לפחות 24 סיסמאות לפני שמאפשרים שימוש חוזר.
  • צריך להגדיר לפחות 90 ימים לפני שתוקף הסיסמה יפוג

אמצעי הבקרה הזה בודק את כל דרישות המדיניות שצוינו במדיניות הסיסמאות.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: IA-5(1)
  • PCI-DSS v3.2.1: 8.2.5

בדיקה אם מדיניות הסיסמאות לחשבון של משתמשי IAM עומדת בדרישות שצוינו

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: IAM_PASSWORD_POLICY_PREVENTS_PASSWORD_REUSE

תיאור הממצא:

כללי מדיניות הסיסמאות ב-IAM יכולים למנוע שימוש חוזר בסיסמה מסוימת על ידי אותו משתמש. מומלץ שמדיניות הסיסמאות תמנע שימוש חוזר בסיסמאות.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: IA-5
  • PCI-DSS v4.0: 2.2.2, 8.3.5, 8.3.6, 8.6.3
  • ISO-27001 v2022: A.5.17
  • Cloud Controls Matrix 4: IAM-02
  • SOC2 v2017: CC6.1.3, CC6.1.8, CC6.1.9
  • CIS AWS Foundation 2.0.0: 1.9
  • CIS AWS Foundation 3.0.0: 1.9
  • CIS Controls 8.0: 5.2

מוודאים שמדיניות הסיסמאות של IAM מונעת שימוש חוזר בסיסמאות

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: IAM_PASSWORD_POLICY_REQUIRES_MINIMUM_LENGTH_14_GREATER

תיאור הממצא:

מדיניות הסיסמאות משמשת, בין היתר, לאכיפת הדרישות למורכבות הסיסמה. אפשר להשתמש בכללי מדיניות הסיסמאות של IAM כדי לוודא שהסיסמאות הן באורך מינימלי מסוים. מומלץ שמדיניות הסיסמאות תדרוש אורך סיסמה מינימלי של 14 תווים.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS AWS Foundation 2.0.0: 1.8
  • CIS AWS Foundation 3.0.0: 1.8
  • CIS Controls 8.0: 5, 5.2

מוודאים שמדיניות הסיסמאות של IAM דורשת אורך מינימלי של 14 תווים לפחות

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: IAM_POLICIES_ALLOW_FULL_ADMINISTRATIVE_PRIVILEGES_ATTACHED

תיאור הממצא:

כללי מדיניות IAM הם האמצעי שדרכו ניתנות הרשאות למשתמשים, לקבוצות או לתפקידים. מומלץ לתת הרשאות מינימליות, כלומר רק את ההרשאות שנדרשות לביצוע משימה. במקום לתת הרשאות אדמין מלאות, צריך להחליט מה המשתמשים צריכים לעשות ואז ליצור בשבילם כללי מדיניות שמאפשרים להם לבצע רק את המשימות האלה.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 1.16
  • CIS AWS Foundation 3.0.0: 1.16
  • CIS Controls 8.0: 3.3

צריך לוודא שלא מצורפות מדיניות IAM שמאפשרות הרשאות אדמין מלאות של "*:*"

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: IAM_USERS_RECEIVE_PERMISSIONS_GROUPS

תיאור הממצא:

משתמשי IAM מקבלים גישה לשירותים, לפונקציות ולנתונים באמצעות כללי מדיניות IAM. יש ארבע דרכים להגדיר כללי מדיניות למשתמש: 1) לערוך את מדיניות המשתמש ישירות, כלומר מדיניות מוטבעת או מדיניות משתמש; 2) לצרף מדיניות ישירות למשתמש; 3) להוסיף את המשתמש לקבוצת IAM שיש לה מדיניות מצורפת; 4) להוסיף את המשתמש לקבוצת IAM שיש לה מדיניות מוטבעת.

מומלץ להשתמש רק בהטמעה השלישית.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-2, AC-5, AC-6, AU-9
  • PCI-DSS v4.0: 10.3.1, 7.1.1, 7.2.1, 7.2.2, 7.2.4, 7.2.6, 7.3.1, 7.3.2
  • ISO-27001 v2022: A.5.15, A.5.3, A.8.2, A.8.3
  • Cloud Controls Matrix 4: IAM-04
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.3.1, CC6.3.2, CC6.3.3
  • HIPAA: 164.308(a)(3)(ii), 164.308(a)(4)(i), 164.308(a)(4)(ii)
  • CIS AWS Foundation 2.0.0: 1.15
  • CIS AWS Foundation 3.0.0: 1.15
  • CIS Controls 8.0: 6.8

מוודאים שמשתמשי IAM מקבלים הרשאות רק דרך קבוצות

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: IAM_USER_GROUP_MEMBERSHIP_CHECK

תיאור הממצא:

כדי לפעול בהתאם לשיטות המומלצות לאבטחה ב-IAM, משתמשי IAM צריכים תמיד להיות חלק מקבוצת IAM.

הוספת משתמשים לקבוצה מאפשרת לשתף כללי מדיניות בין סוגים שונים של משתמשים.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-6

בדיקה אם משתמשי IAM חברים בקבוצת IAM אחת לפחות

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: IAM_USER_MFA_ENABLED

תיאור הממצא:

אימות רב-שלבי (MFA) הוא שיטה מומלצת שמוסיפה שכבת הגנה נוספת מעבר לשמות משתמשים וסיסמאות. כשמשתמשים ב-MFA, כשמשתמש נכנס ל-AWS Management Console, הוא נדרש לספק קוד אימות שמוגבל בזמן, שסופק על ידי מכשיר וירטואלי או פיזי רשום.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • PCI-DSS v3.2.1: 8.3.2

בדיקה אם למשתמשי AWS IAM מופעל אימות רב-שלבי (MFA)

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: IAM_USER_UNUSED_CREDENTIALS_CHECK

תיאור הממצא:

הבדיקה הזו מחפשת סיסמאות IAM או מפתחות גישה פעילים שלא היו בשימוש ב-90 הימים האחרונים.

לפי השיטות המומלצות, כדאי להסיר, להשבית או להחליף את כל פרטי הכניסה שלא היו בשימוש במשך 90 ימים או יותר. כך מצטמצם חלון ההזדמנויות לשימוש בפרטי כניסה שמשויכים לחשבון שנפרץ או ננטש.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-6
  • PCI-DSS v3.2.1: 8.1.4

בדיקה שלכל משתמשי AWS IAM יש סיסמאות או מפתחות גישה פעילים שלא היו בשימוש במשך מספר ימים שמוגדר ב-maxCredentialUsageAge (ברירת המחדל היא 90)

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: KMS_CMK_NOT_SCHEDULED_FOR_DELETION

תיאור הממצא:

אמצעי הבקרה הזה בודק אם מפתחות KMS מתוזמנים למחיקה. הבדיקה נכשלת אם מפתח KMS מתוזמן למחיקה.

אי אפשר לשחזר מפתחות KMS אחרי שמוחקים אותם. אם מוחקים את מפתח ה-KMS, גם הנתונים שמוצפנים באמצעות מפתח ה-KMS לא ניתנים לשחזור באופן סופי. אם נתונים חשובים הוצפנו באמצעות מפתח KMS שמתוזמן למחיקה, כדאי לפענח את הנתונים או להצפין אותם מחדש באמצעות מפתח KMS חדש, אלא אם אתם מבצעים מחיקה קריפטוגרפית בכוונה.

כשמפתח KMS מתוזמן למחיקה, נאכפת תקופת המתנה חובה כדי לאפשר זמן לבטל את המחיקה, אם היא תוכננה בטעות. תקופת ההמתנה שמוגדרת כברירת מחדל היא 30 יום, אבל אפשר לקצר אותה ל-7 ימים כשמפתח ה-KMS מתוזמן למחיקה. במהלך תקופת ההמתנה, אפשר לבטל את המחיקה המתוזמנת ומפתח ה-KMS לא יימחק.

מידע נוסף על מחיקת מפתחות KMS זמין במאמר מחיקת מפתחות KMS במדריך למפתחים של AWS Key Management Service.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-12

בדיקה שכל מפתחות ה-CMK לא מתוזמנים למחיקה

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: LAMBDA_CONCURRENCY_CHECK

תיאור הממצא:

בודק אם פונקציית Lambda מוגדרת עם מגבלת ביצוע בו-זמני ברמת הפונקציה. הכלל הוא NON_COMPLIANT אם פונקציית Lambda לא מוגדרת עם מגבלת הפעלה בו-זמנית ברמת הפונקציה.

רמת תמחור: Enterprise

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בדיקה אם פונקציות Lambda מוגדרות עם מגבלת ביצוע בו-זמני ברמת הפונקציה

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: LAMBDA_DLQ_CHECK

תיאור הממצא:

בדיקה אם פונקציית Lambda מוגדרת עם תור הודעות שלא נמסרו. הכלל הוא NON_COMPLIANT אם פונקציית Lambda לא מוגדרת עם תור הודעות שלא נמסרו.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-2

בדיקה אם פונקציות Lambda מוגדרות עם תור הודעות שלא טופלו (DLQ)

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: LAMBDA_FUNCTION_PUBLIC_ACCESS_PROHIBITED

תיאור הממצא:

לפי השיטות המומלצות של AWS, פונקציית Lambda לא צריכה להיות חשופה לציבור. המדיניות הזו בודקת את כל פונקציות Lambda שנפרסו בכל האזורים המופעלים בחשבון, והיא תיכשל אם הן מוגדרות לאפשר גישה ציבורית.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

בדיקה אם המדיניות שמצורפת לפונקציית Lambda אוסרת על גישה ציבורית

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: LAMBDA_INSIDE_VPC

תיאור הממצא:

בודק אם פונקציית Lambda נמצאת ב-VPC. יכול להיות שיופיעו ממצאים שנכשלו לגבי משאבי Lambda@Edge.

הוא לא בודק את הגדרת הניתוב של רשת המשנה של ה-VPC כדי לקבוע את הנגישות הציבורית.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

בדיקה אם פונקציות Lambda קיימות ב-VPC

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: MFA_DELETE_ENABLED_S3_BUCKETS

תיאור הממצא:

אחרי שמפעילים את MFA Delete בקטגוריית S3 רגישה ומסווגת, המשתמש צריך להשתמש בשתי שיטות אימות.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 2.1.2
  • CIS AWS Foundation 3.0.0: 2.1.2
  • CIS Controls 8.0: 3.3, 6.5

מוודאים שהאפשרות "מחיקה באמצעות MFA" מופעלת בקטגוריות S3

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: MFA_ENABLED_ROOT_USER_ACCOUNT

תיאור הממצא:

חשבון המשתמש "root" הוא המשתמש עם הכי הרבה הרשאות בחשבון AWS. אימות רב-שלבי (MFA) מוסיף שכבת הגנה נוספת מעבר לשם המשתמש והסיסמה. כשהאימות הרב-שלבי מופעל, כשמשתמש נכנס לאתר AWS, הוא מתבקש להזין את שם המשתמש והסיסמה שלו וגם קוד אימות ממכשיר ה-AWS MFA שלו.

הערה: כשמשתמשים ב-MFA וירטואלי לחשבונות "שורש", מומלץ שהמכשיר שבו משתמשים לא יהיה מכשיר אישי, אלא מכשיר נייד ייעודי (טאבלט או טלפון) שמנוהל כך שיהיה טעון ומאובטח ללא תלות במכשירים אישיים של אנשים פרטיים. ("אימות MFA וירטואלי לא אישי"). כך אפשר להפחית את הסיכון לאבד את הגישה לאימות ה-MFA אם המכשיר אבד, הוחלף או אם האדם שבבעלותו המכשיר כבר לא עובד בחברה.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: IA-2, IA-2(8)
  • PCI-DSS v3.2.1: 8.3.2
  • PCI-DSS v4.0: 2.2.7, 8.4.1
  • ISO-27001 v2022: A.8.2
  • Cloud Controls Matrix 4: IAM-10
  • NIST Cybersecurity Framework 1.0: PR-AC-7
  • SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8
  • CIS AWS Foundation 2.0.0: 1.5
  • CIS AWS Foundation 3.0.0: 1.5
  • CIS Controls 8.0: 6.5

מוודאים שאימות רב-שלבי (MFA) מופעל בחשבון המשתמש הבסיסי (root)

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: MULTI_FACTOR_AUTHENTICATION_MFA_ENABLED_ALL_IAM_USERS_CONSOLE

תיאור הממצא:

אימות רב-שלבי (MFA) מוסיף שכבת אבטחה נוספת לאימות, מעבר לפרטי הכניסה הרגילים. כשהאימות הרב-שלבי מופעל, כשמשתמש נכנס למסוף AWS, הוא מתבקש להזין את שם המשתמש והסיסמה שלו, וגם קוד אימות מהטוקן הפיזי או הווירטואלי של האימות הרב-שלבי. מומלץ להפעיל אימות רב-שלבי בכל החשבונות שיש להם סיסמה למסוף.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: IA-2, IA-2(8)
  • PCI-DSS v3.2.1: 8.3.2
  • PCI-DSS v4.0: 2.2.7, 8.4.1
  • ISO-27001 v2022: A.8.2
  • Cloud Controls Matrix 4: IAM-10
  • NIST Cybersecurity Framework 1.0: PR-AC-7
  • SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8
  • CIS AWS Foundation 2.0.0: 1.10
  • CIS Controls 8.0: 6.5

צריך לוודא שהאימות הרב-שלבי (MFA) מופעל לכל משתמשי ה-IAM שיש להם סיסמה למסוף

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: NO_NETWORK_ACLS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION

תיאור הממצא:

הפונקציה Network Access Control List (NACL)‎ מספקת סינון ללא שמירת מצב של תנועה נכנסת ויוצאת ברשת למשאבי AWS. מומלץ שאף רשימת ACL של רשת לא תאפשר גישה בלתי מוגבלת של תעבורת נתונים נכנסת ליציאות של ניהול שרתים מרוחקים, כמו SSH ליציאה 22 ו-RDP ליציאה 3389, באמצעות הפרוטוקולים TDP‏ (6), UDP‏ (17) או ALL‏ (1-).

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS AWS Foundation 2.0.0: 5.1
  • CIS AWS Foundation 3.0.0: 5.1

צריך לוודא שאין רשימות ACL של רשת שמאפשרות תעבורת נתונים נכנסת (ingress) מ-0.0.0.0/0 ליציאות של ניהול שרתים מרוחקים

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: NO_ROOT_USER_ACCOUNT_ACCESS_KEY_EXISTS

תיאור הממצא:

חשבון המשתמש "root" הוא המשתמש עם הכי הרבה הרשאות בחשבון AWS. מפתחות גישה ל-AWS מספקים גישה פרוגרמטית לחשבון AWS נתון. מומלץ למחוק את כל מפתחות הגישה שמשויכים לחשבון המשתמש ברמה הבסיסית (root).

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 8.1.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 1.4
  • CIS AWS Foundation 3.0.0: 1.4
  • CIS Controls 8.0: 3.3, 5.4

מוודאים שאין מפתח גישה לחשבון משתמש ב-root

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION

תיאור הממצא:

קבוצות אבטחה מספקות סינון עם שמירת מצב (stateful) של תנועה ברשת של תעבורת נתונים נכנסת (ingress) ויוצאת (egress) למשאבי AWS. מומלץ שאף קבוצת אבטחה לא תאפשר גישה בלתי מוגבלת של תעבורת נתונים נכנסת ליציאות של ניהול שרתים מרוחקים, כמו SSH ליציאה 22 ו-RDP ליציאה 3389, באמצעות הפרוטוקולים TDP‏ (6), UDP‏ (17) או ALL‏ (1-).

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS AWS Foundation 2.0.0: 5.2
  • CIS AWS Foundation 3.0.0: 5.2

צריך לוודא שאין קבוצות אבטחה שמאפשרות כניסה מ-0.0.0.0/0 ליציאות של ניהול שרתים מרוחקים

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_REMOTE_SERVER_ADMINISTRATION

תיאור הממצא:

קבוצות אבטחה מספקות סינון עם שמירת מצב (stateful) של תנועה ברשת של תעבורת נתונים נכנסת (ingress) ויוצאת (egress) למשאבי AWS. מומלץ שאף קבוצת אבטחה לא תאפשר גישה בלתי מוגבלת של תעבורת נתונים נכנסת ליציאות של ניהול שרתים מרוחקים, כמו SSH ליציאה 22 ו-RDP ליציאה 3389.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS AWS Foundation 2.0.0: 5.3
  • CIS AWS Foundation 3.0.0: 5.3

צריך לוודא שאין קבוצות אבטחה שמאפשרות כניסה מ-‎ ::/0 ליציאות של ניהול שרתים מרוחקים

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ONE_ACTIVE_ACCESS_KEY_AVAILABLE_ANY_SINGLE_IAM_USER

תיאור הממצא:

מפתחות גישה הם פרטי כניסה לטווח ארוך של משתמש IAM או של משתמש ה-root בחשבון AWS. אתם יכולים להשתמש במפתחות גישה כדי לחתום על בקשות פרוגרמטיות ל-AWS CLI או ל-AWS API (ישירות או באמצעות AWS SDK)

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • CIS AWS Foundation 2.0.0: 1.13
  • CIS AWS Foundation 3.0.0: 1.13
  • CIS Controls 8.0: 5

לוודא שיש רק מפתח גישה פעיל אחד לכל משתמש IAM

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: PUBLIC_ACCESS_GIVEN_RDS_INSTANCE

תיאור הממצא:

כדי לצמצם את סיכוני האבטחה, צריך לוודא שמופעי מסד הנתונים של RDS שהוקצו בחשבון AWS מגבילים גישה לא מורשית. כדי להגביל את הגישה לכל מכונה של מסד נתונים ב-RDS שנגישה לציבור, צריך להשבית את הדגל Publicly Accessible של מסד הנתונים ולעדכן את קבוצת האבטחה של ה-VPC שמשויכת למכונה.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7
  • PCI-DSS v3.2.1: 2.2.2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 2.3.3
  • CIS AWS Foundation 3.0.0: 2.3.3
  • CIS Controls 8.0: 3.3

מוודאים שאין גישה ציבורית למכונת RDS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: RDS_ENHANCED_MONITORING_ENABLED

תיאור הממצא:

מעקב משופר מספק מדדים בזמן אמת על מערכת ההפעלה שבה פועל מופע ה-RDS, באמצעות סוכן שמותקן במופע.

למידע נוסף, ראו מעקב אחרי מדדי מערכת הפעלה באמצעות מעקב משופר.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-2

בדיקה אם המעקב המשופר מופעל בכל המופעים של מסדי הנתונים ב-RDS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: RDS_INSTANCE_DELETION_PROTECTION_ENABLED

תיאור הממצא:

הפעלת ההגנה מפני מחיקת מכונות היא שכבת הגנה נוספת מפני מחיקה מקרית של מסד נתונים או מחיקה על ידי ישות לא מורשית.

כשההגנה מפני מחיקה מופעלת, אי אפשר למחוק מכונה של מסד נתונים ב-RDS. כדי שבקשת המחיקה תצליח, צריך להשבית את ההגנה מפני מחיקה.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-13(5)

בדיקה אם ההגנה מפני מחיקה מופעלת בכל מכונות ה-RDS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: RDS_IN_BACKUP_PLAN

תיאור הממצא:

הבדיקה הזו בוחנת אם מכונות של מסדי נתונים ב-Amazon RDS מכוסות בתוכנית גיבוי. הבדיקה הזו נכשלת אם מופע של מסד נתונים ב-RDS לא נכלל בתוכנית גיבוי.

‫AWS Backup הוא שירות גיבוי מנוהל לחלוטין שמרכז ומבצע אוטומציה של גיבוי הנתונים בשירותי AWS. ב-AWS Backup, אתם יכולים ליצור כללי מדיניות לגיבוי שנקראים "תוכניות גיבוי". אתם יכולים להשתמש בתוכניות האלה כדי להגדיר את דרישות הגיבוי, כמו התדירות שבה הנתונים יגובו ומשך הזמן שבו הגיבויים יישמרו. הכללת מכונות של מסדי נתונים ב-RDS בתוכנית גיבוי עוזרת להגן על הנתונים מפני אובדן או מחיקה לא מכוונים.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-13(5)

מומלץ להוסיף את מכונות מסד הנתונים של RDS לתוכנית גיבוי

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: RDS_LOGGING_ENABLED

תיאור הממצא:

הבדיקה הזו בודקת אם היומנים הבאים של Amazon RDS מופעלים ונשלחים אל CloudWatch.

במסדי נתונים של RDS צריך להפעיל את היומנים הרלוונטיים. רישום ביומן של מסד הנתונים מספק רשומות מפורטות של בקשות שנשלחו ל-RDS. יומני מסד הנתונים יכולים לעזור בביקורות אבטחה וגישה, וגם באבחון בעיות זמינות.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(8)

בדיקה אם יומנים מיוצאים מופעלים בכל מכונות מסד הנתונים של RDS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: RDS_MULTI_AZ_SUPPORT

תיאור הממצא:

צריך להגדיר מכונות של מסדי נתונים ב-RDS לכמה אזורי זמינות (AZ). כך אפשר להבטיח שהנתונים המאוחסנים יהיו זמינים. פריסות בכמה אזורי זמינות מאפשרות יתירות כשל אוטומטית אם יש בעיה בזמינות של אזור הזמינות ובמהלך תחזוקה שוטפת של RDS.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-13(5)

בדיקה אם זמינות גבוהה מופעלת בכל מכונות מסד הנתונים של RDS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: REDSHIFT_CLUSTER_CONFIGURATION_CHECK

תיאור הממצא:

הבדיקה הזו בודקת רכיבים חיוניים של אשכול Redshift: הצפנה במנוחה, רישום ביומן וסוג הצומת.

פריטי ההגדרה האלה חשובים לתחזוקה של אשכול Redshift מאובטח וניתן לצפייה.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1

בודק שבכל אשכולות Redshift יש הצפנה במנוחה, רישום ביומן וסוג צומת.

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: REDSHIFT_CLUSTER_MAINTENANCESETTINGS_CHECK

תיאור הממצא:

שדרוגים אוטומטיים של גרסאות ראשיות מתבצעים בהתאם לחלון הזמן לתחזוקה

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-2

בדיקה שבכל אשכולות Redshift מופעל allowVersionUpgrade ומוגדרים preferredMaintenanceWindow ו-automatedSnapshotRetentionPeriod

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: REDSHIFT_CLUSTER_PUBLIC_ACCESS_CHECK

תיאור הממצא:

המאפיין PubliclyAccessible בהגדרות של אשכול Amazon Redshift מציין אם האשכול נגיש לציבור. כשהאשכול מוגדר עם PubliclyAccessible כ-true, הוא מכונה שפונה לאינטרנט עם שם DNS שניתן לפתור באופן ציבורי, שנפתר לכתובת IP ציבורית.

כשהאשכול לא נגיש באופן ציבורי, הוא מכונה פנימית עם שם DNS שמתורגם לכתובת IP פרטית. אם אתם לא רוצים שהאשכול יהיה נגיש לכולם, אל תגדירו את PubliclyAccessible כ-true.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

בודק אם אשכולות Redshift נגישים באופן ציבורי

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: RESTRICTED_COMMON_PORTS

תיאור הממצא:

הבדיקה הזו בודקת אם תנועה נכנסת ללא הגבלה לקבוצות האבטחה נגישה ליציאות שצוינו, שיש להן את הסיכון הגבוה ביותר. הבדיקה הזו נכשלת אם אחד מהכללים בקבוצת אבטחה מאפשר תעבורת נתונים נכנסת (ingress) מ-‎0.0.0.0/0 או מ-‎::/0 ליציאות האלה.

גישה בלתי מוגבלת (0.0.0.0/0) מגדילה את הסיכויים לפעילות זדונית, כמו פריצה, התקפות מניעת שירות ואובדן נתונים.

קבוצות אבטחה מספקות סינון עם שמירת מצב (stateful) של תנועה ברשת של תעבורת נתונים נכנסת (ingress) ויוצאת (egress) למשאבי AWS. אף קבוצת אבטחה לא צריכה לאפשר גישת Ingress ללא הגבלה ליציאות הבאות:

  • ‫20, 21 (FTP)
  • ‫22 (SSH)
  • ‫23 (Telnet)
  • ‫25 (SMTP)
  • ‫110 (POP3)
  • ‫135 (RPC)
  • ‫143 (IMAP)
  • ‫445 (CIFS)
  • ‫1433, 1434 (MSSQL)
  • ‫3000 (מסגרות לפיתוח אתרים ב-Go, ב-Node.js וב-Ruby)
  • ‫3306 (mySQL)
  • ‫3389 (RDP)
  • 4333 (ahsp)
  • ‫5000 (מסגרות לפיתוח אתרים ב-Python)
  • 5432 (postgresql)
  • 5500 (fcp-addr-srvr1)‎
  • ‫5601 (מרכזי בקרה של OpenSearch)
  • 8080 (פרוקסי)
  • ‫8088 (יציאת HTTP מדור קודם)
  • ‫8888 (יציאת HTTP חלופית)
  • ‫9200 או 9300 (OpenSearch)

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

קבוצות אבטחה לא צריכות לאפשר גישה בלתי מוגבלת ליציאות בסיכון גבוה

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: RESTRICTED_SSH

תיאור הממצא:

קבוצות אבטחה מספקות סינון עם שמירת מצב (stateful) של תנועה ברשת של תעבורת נתונים נכנסת (ingress) ויוצאת (egress) למשאבי AWS.

לפי המלצת CIS, אסור לאפשר גישה בלתי מוגבלת של תעבורת נתונים נכנסת ליציאה 22 באף קבוצת אבטחה. הסרת קישוריות בלתי מוגבלת לשירותי מסוף מרוחקים, כמו SSH, מפחיתה את החשיפה של השרת לסיכון.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

קבוצות אבטחה לא צריכות לאפשר תעבורת נתונים נכנסת (ingress) מ-‎0.0.0.0/0 ליציאה 22

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ROTATION_CUSTOMER_CREATED_CMKS_ENABLED

תיאור הממצא:

בודק אם רוטציית מפתחות אוטומטית מופעלת לכל מפתח, ומתאים למזהה המפתח של מפתח AWS KMS שנוצר על ידי הלקוח. הכלל הוא NON_COMPLIANT אם לתפקיד של מקליט AWS Config למשאב אין את ההרשאה kms:DescribeKey.

רמת תמחור: Enterprise

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

צריך לוודא שהרוטציה של מפתחות CMK שנוצרו על ידי הלקוח מופעלת

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ROTATION_CUSTOMER_CREATED_SYMMETRIC_CMKS_ENABLED

תיאור הממצא:

שירות AWS Key Management Service ‏(KMS) מאפשר ללקוחות להחליף את מפתח הגיבוי, שהוא חומר מפתח שמאוחסן ב-KMS וקשור למזהה המפתח של מפתח המאסטר של הלקוח (CMK) שנוצר על ידי הלקוח. זהו מפתח הגיבוי שמשמש לביצוע פעולות קריפטוגרפיות כמו הצפנה ופענוח. רוטציית מפתחות אוטומטית שומרת כרגע את כל מפתחות הגיבוי הקודמים, כדי שפענוח הנתונים המוצפנים יתבצע באופן שקוף. מומלץ להפעיל רוטציית מפתחות CMK למפתחות סימטריים. אי אפשר להפעיל רוטציית מפתחות ל-CMK אסימטרי.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 3.8
  • CIS AWS Foundation 3.0.0: 3.6
  • CIS Controls 8.0: 3.11

מוודאים שהרוטציה של מפתחות CMK סימטריים שנוצרו על ידי הלקוח מופעלת

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: ROUTING_TABLES_VPC_PEERING_ARE_LEAST_ACCESS

תיאור הממצא:

הפונקציה בודקת אם טבלאות הניתוב של קישור VPC מוגדרות לפי עיקרון ההרשאה המינימלית.

רמת תמחור: Enterprise

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

מוודאים שטבלאות הניתוב של קישור VPC מקושרות ל "גישה מינימלית"

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: S3_ACCOUNT_LEVEL_PUBLIC_ACCESS_BLOCKS

תיאור הממצא:

התכונה Amazon S3 Block Public Access מספקת הגדרות לנקודות גישה, לקטגוריות ולחשבונות, כדי לעזור לכם לנהל את הגישה הציבורית למשאבים של Amazon S3. כברירת מחדל, קטגוריות, נקודות גישה ואובייקטים חדשים לא מאפשרים גישה ציבורית.

רמת תמחור: Enterprise

תיקון הממצא הזה

קטגוריית הממצאים הזו לא ממופה לאף תקן תאימות.

בדיקה אם הגדרות החסימה הנדרשות של הגישה הציבורית ל-S3 נקבעו ברמת החשבון

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: S3_BUCKETS_CONFIGURED_BLOCK_PUBLIC_ACCESS_BUCKET_AND_ACCOUNT_SETTINGS

תיאור הממצא:

ב-Amazon S3 יש Block public access (bucket settings) ו-Block public access (account settings) שעוזרים לנהל את הגישה הציבורית למשאבים של Amazon S3. כברירת מחדל, קטגוריות ואובייקטים של S3 נוצרים כשהגישה הציבורית מושבתת. עם זאת, חשבון משתמש ב-AWS IAM עם הרשאות S3 מספיקות יכול להפעיל גישה ציבורית ברמת הקטגוריה או האובייקט. כשהאילוץ Block public access (bucket settings) מופעל, הוא מונע מקטגוריה ספציפית ומהאובייקטים שבה להיות נגישים באופן ציבורי. באופן דומה, Block public access (account settings) מונע מכל הקטגוריות והאובייקטים שבתוכן להיות נגישים באופן ציבורי בכל החשבון.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 2.1.4
  • CIS Controls 8.0: 3.3

מוודאים שקטגוריות S3 מוגדרות עם Block public access (bucket settings).

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: S3_BUCKET_ACCESS_LOGGING_ENABLED_CLOUDTRAIL_S3_BUCKET

תיאור הממצא:

התכונה "רישום ביומן של גישה לקטגוריית S3" יוצרת יומן שמכיל רשומות גישה לכל בקשה שנשלחת לקטגוריית S3. רשומה ביומן הגישה מכילה פרטים על הבקשה, כמו סוג הבקשה, המשאבים שצוינו בבקשה והשעה והתאריך שבהם הבקשה עובדה. מומלץ להפעיל רישום ביומן של הגישה לקטגוריה בקטגוריית S3 של CloudTrail.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-6, AU-12, AU-2
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1
  • ISO-27001 v2022: A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • SOC2 v2017: CC6.1.1, CC6.1.10, CC6.1.11, CC6.1.12, CC6.1.13, CC6.1.2, CC6.1.3, CC6.1.4, CC6.1.5, CC6.1.6, CC6.1.7, CC6.1.8, CC6.1.9
  • HIPAA: 164.312(b), 164.312(c)(1), 164.312(c)(2)
  • CIS AWS Foundation 2.0.0: 3.6
  • CIS AWS Foundation 3.0.0: 3.4
  • CIS Controls 8.0: 3.14, 8.2

צריך לוודא שרישום הגישה לקטגוריית S3 מופעל בקטגוריית CloudTrail S3

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: S3_BUCKET_LOGGING_ENABLED

תיאור הממצא:

התכונה AWS S3 Server Access Logging מתעדת בקשות גישה לקטגוריות אחסון, וזה שימושי לביקורות אבטחה. כברירת מחדל, רישום הגישה לשרת לא מופעל בקטגוריות של S3.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1

בודק אם הרישום ביומן מופעל בכל קטגוריות S3

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: S3_BUCKET_POLICY_SET_DENY_HTTP_REQUESTS

תיאור הממצא:

ברמת הקטגוריה של Amazon S3, אתם יכולים להגדיר הרשאות באמצעות מדיניות קטגוריה, כך שהאובייקטים יהיו נגישים רק דרך HTTPS.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-17, IA-5, SC-8
  • PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2
  • ISO-27001 v2022: A.5.14
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-2
  • SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.1.1
  • CIS AWS Foundation 3.0.0: 2.1.1
  • CIS Controls 8.0: 3.10

מוודאים שמדיניות הקטגוריה ב-S3 מוגדרת לדחות בקשות HTTP

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: S3_BUCKET_REPLICATION_ENABLED

תיאור הממצא:

הבדיקה הזו בודקת אם בקטגוריה של Amazon S3 מופעלת רפליקציה בין אזורים. הבדיקה נכשלת אם בקטגוריה לא מופעלת שכפול בין אזורים או אם מופעלת גם שכפול באותו אזור.

רפליקציה היא העתקה אוטומטית ואסינכרונית של אובייקטים בין קטגוריות באותו אזור או באזורים שונים ב-AWS. במסגרת הרפליקציה, אובייקטים חדשים שנוצרו ועדכונים של אובייקטים מועתקים מקטגוריית מקור לקטגוריית יעד אחת או יותר. לפי השיטות המומלצות של AWS, מומלץ לבצע רפליקציה לקטגוריות מקור ויעד שנמצאות בבעלות של אותו חשבון AWS. בנוסף לזמינות, כדאי לשקול הגדרות אחרות להקשחת מערכות.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-13(5)

בדיקה אם בקטגוריות S3 מופעלת רפליקציה בין אזורים שונים

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: S3_BUCKET_SERVER_SIDE_ENCRYPTION_ENABLED

תיאור הממצא:

בבדיקה הזו המערכת מוודאת שבקטגוריית S3 מופעלת הצפנת ברירת המחדל של Amazon S3, או שמדיניות קטגוריית S3 דוחה באופן מפורש בקשות put-object ללא הצפנה בצד השרת.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 10.5.2

מוודאים שכל קטגוריות S3 משתמשות בהצפנה במנוחה

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: S3_BUCKET_VERSIONING_ENABLED

תיאור הממצא:

‫Amazon S3 הוא אמצעי לשמירת כמה וריאציות של אובייקט באותה קטגוריה, והוא יכול לעזור לכם להתאושש בקלות רבה יותר מפעולות לא מכוונות של משתמשים ומכשלים באפליקציה.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-13(5)
  • PCI-DSS v3.2.1: 10.5.5

בדיקה אם ניהול הגרסאות מופעל בכל הקטגוריות של S3

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: S3_DEFAULT_ENCRYPTION_KMS

תיאור הממצא:

בדיקה אם הקטגוריות של Amazon S3 מוצפנות באמצעות שירות ניהול המפתחות של AWS ‏(AWS KMS)

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(6)

בדיקה שכל הקטגוריות מוצפנות באמצעות KMS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: SAGEMAKER_NOTEBOOK_INSTANCE_KMS_KEY_CONFIGURED

תיאור הממצא:

בדיקה אם מפתח של AWS Key Management Service (AWS KMS) מוגדר למכונה של מחברת Amazon SageMaker. הכלל הוא NON_COMPLIANT אם לא צוין "KmsKeyId" במופע של מחברת SageMaker.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1

בדיקה שכל המכונות של SageMaker notebook מוגדרות לשימוש ב-KMS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: SAGEMAKER_NOTEBOOK_NO_DIRECT_INTERNET_ACCESS

תיאור הממצא:

בדיקה אם הגישה הישירה לאינטרנט מושבתת במכונה של SageMaker notebook. כדי לעשות את זה, הוא בודק אם השדה DirectInternetAccess מושבת במופע של ה-notebook.

אם מגדירים את המכונה של SageMaker בלי VPC, כברירת מחדל מופעלת גישה ישירה לאינטרנט במכונה. צריך להגדיר את המכונה עם VPC ולשנות את הגדרת ברירת המחדל ל-"השבתה – גישה לאינטרנט דרך VPC".

כדי לאמן או לארח מודלים מ-Notebook, צריך גישה לאינטרנט. כדי לאפשר גישה לאינטרנט, צריך לוודא של-VPC יש שער NAT ושקבוצת האבטחה מאפשרת חיבורים יוצאים. למידע נוסף על חיבור של מכונה של Notebook למשאבים ב-VPC, קראו את המאמר Connect a notebook instance to resources in a VPC במדריך למפתחים של Amazon SageMaker.

חשוב גם לוודא שהגישה להגדרות של SageMaker מוגבלת למשתמשים מורשים בלבד. להגביל את הרשאות ה-IAM של המשתמשים כדי לשנות את ההגדרות והמשאבים של SageMaker.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

בדיקה אם הגישה הישירה לאינטרנט מושבתת בכל המופעים של מחברות Amazon SageMaker

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: SECRETSMANAGER_ROTATION_ENABLED_CHECK

תיאור הממצא:

בדיקה אם סוד שמאוחסן ב-AWS Secrets Manager מוגדר עם רוטציה אוטומטית. הבדיקה נכשלת אם הסוד לא מוגדר עם רוטציה אוטומטית. אם אתם מספקים ערך מותאם אישית לפרמטר maximumAllowedRotationFrequency, הבדיקה תעבור רק אם הסוד עובר רוטציה אוטומטית בתוך חלון הזמן שצוין.

בעזרת Secrets Manager אתם יכולים לשפר את מצב האבטחה של הארגון. הסודות כוללים פרטי כניסה למסד נתונים, סיסמאות ומפתחות API של צד שלישי. אתם יכולים להשתמש ב-Secrets Manager כדי לאחסן סודות באופן מרכזי, להצפין סודות באופן אוטומטי, לשלוט בגישה לסודות ולבצע רוטציה של סודות באופן בטוח ואוטומטי.

ב-Secrets Manager אפשר להחליף סודות. אתם יכולים להשתמש ברוטציה כדי להחליף סודות לטווח ארוך בסודות לטווח קצר. רוטציה של הסודות מגבילה את משך הזמן שבו משתמש לא מורשה יכול להשתמש בסוד שנחשף. לכן, כדאי להחליף את הסודות לעיתים קרובות. מידע נוסף על רוטציה זמין במאמר Rotating your AWS Secrets Manager secrets במדריך למשתמש של AWS Secrets Manager.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: AC-3(15)
  • PCI-DSS v3.2.1: 8.2.4

בדיקה אם כל הסודות של AWS Secrets Manager מוגדרים לרוטציה

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: SNS_ENCRYPTED_KMS

תיאור הממצא:

בדיקה אם נושא SNS מוצפן במנוחה באמצעות AWS KMS. הבדיקה נכשלת אם נושא SNS לא משתמש במפתח KMS להצפנה בצד השרת (SSE).

הצפנת נתונים באחסון מפחיתה את הסיכון שמשתמש שלא אומת ב-AWS יוכל לגשת לנתונים שמאוחסנים בדיסק. היא גם מוסיפה עוד קבוצה של אמצעי בקרת גישה כדי להגביל את היכולת של משתמשים לא מורשים לגשת לנתונים. לדוגמה, נדרשות הרשאות API כדי לפענח את הנתונים לפני שאפשר יהיה לקרוא אותם. כדי להוסיף שכבת אבטחה, צריך להצפין נושאי SNS במנוחה.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-7(6)

בדיקה שכל נושאי ה-SNS מוצפנים באמצעות KMS

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: VPC_DEFAULT_SECURITY_GROUP_CLOSED

תיאור הממצא:

אמצעי הבקרה הזה בודק אם קבוצת האבטחה שמוגדרת כברירת מחדל של VPC מאפשרת תנועה נכנסת או יוצאת. הבדיקה נכשלת אם קבוצת האבטחה מאפשרת תנועה נכנסת או יוצאת.

הכללים של קבוצת האבטחה שמוגדרת כברירת מחדל מאפשרים את כל תעבורת הנתונים הנכנסת והיוצאת מממשקי הרשת (והמכונות שמשויכות אליהם) שמוקצים לאותה קבוצת אבטחה. מומלץ לא להשתמש בקבוצת האבטחה שמוגדרת כברירת מחדל. אי אפשר למחוק את קבוצת האבטחה שמוגדרת כברירת מחדל, לכן צריך לשנות את הגדרת הכללים של קבוצת האבטחה שמוגדרת כברירת מחדל כדי להגביל את התנועה הנכנסת והיוצאת. כך אפשר למנוע תנועה לא מכוונת אם קבוצת האבטחה שמוגדרת כברירת מחדל מוגדרת בטעות למשאבים כמו מכונות EC2.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2
  • CIS AWS Foundation 3.0.0: 4.14

מוודאים שקבוצת האבטחה שמוגדרת כברירת מחדל בכל VPC מגבילה את כל התנועה

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: VPC_FLOW_LOGGING_ENABLED_ALL_VPCS

תיאור הממצא:

יומני זרימה של VPC הם תכונה שמאפשרת לתעד מידע על תנועת ה-IP שנכנסת לממשקי הרשת ב-VPC ויוצאת מהם. אחרי שיוצרים יומן תנועה, אפשר לראות ולאחזר את הנתונים שלו ב-Amazon CloudWatch Logs. מומלץ להפעיל את VPC Flow Logs כדי לדחות חבילות ב-VPC.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-4, SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1
  • ISO-27001 v2022: A.8.15, A.8.16
  • Cloud Controls Matrix 4: IVS-03
  • NIST Cybersecurity Framework 1.0: DE-CM-1
  • SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4
  • CIS AWS Foundation 2.0.0: 3.9
  • CIS AWS Foundation 3.0.0: 3.7
  • CIS Controls 8.0: 13.6, 8.2

מוודאים שרישום ביומן של זרימת VPC מופעל בכל ה-VPC

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: VPC_SG_OPEN_ONLY_TO_AUTHORIZED_PORTS

תיאור הממצא:

אמצעי הבקרה הזה בודק אם קבוצת אבטחה של Amazon EC2 מאפשרת תנועה נכנסת לא מוגבלת מיציאות לא מורשות. סטטוס הבקרה נקבע באופן הבא:

אם משתמשים בערך ברירת המחדל של authorizedTcpPorts, הבדיקה נכשלת אם קבוצת האבטחה מאפשרת תנועה נכנסת לא מוגבלת מכל יציאה אחרת מלבד יציאות 80 ו-443.

אם אתם מספקים ערכים מותאמים אישית ל-authorizedTcpPorts או ל-authorizedUdpPorts, הבקרה נכשלת אם קבוצת האבטחה מאפשרת תנועה נכנסת ללא הגבלה מכל יציאה שלא מופיעה ברשימה.

אם לא משתמשים בפרמטר, הבקרה נכשלת בכל קבוצת אבטחה שיש לה כלל תנועה נכנסת ללא הגבלה.

קבוצות אבטחה מספקות סינון עם שמירת מצב (stateful) של תנועת הרשת הנכנסת והיוצאת ל-AWS. הכללים של קבוצות האבטחה צריכים לפעול לפי העיקרון של הרשאות מינימליות. גישה בלתי מוגבלת (כתובת IP עם הסיומת ‎/0) מגדילה את הסיכוי לפעילות זדונית כמו פריצה, התקפות מניעת שירות ואובדן נתונים. אלא אם יציאה מסוימת מותרת באופן ספציפי, היציאה צריכה לדחות גישה בלתי מוגבלת.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

בדיקה שכל קבוצת אבטחה עם 0.0.0.0/0 של כל VPC מאפשרת רק תנועה נכנסת ספציפית של TCP/UDP

  • סריקות בזמן אמת: לא

שם הקטגוריה ב-API: VPC_VPN_2_TUNNELS_UP

תיאור הממצא:

מנהרת VPN היא קישור מוצפן שדרכו נתונים יכולים לעבור מרשת הלקוח אל AWS או ממנה, בתוך חיבור AWS Site-to-Site VPN. כל חיבור דרך VPN כולל שתי מנהרות VPN שאפשר להשתמש בהן בו-זמנית כדי להשיג זמינות גבוהה. כדי לוודא שהחיבור דרך VPN בין AWS VPC לרשת המרוחקת מאובטח ועם זמינות גבוהה, חשוב לוודא ששתי מנהרות ה-VPN פועלות.

אמצעי הבקרה הזה בודק אם שתי מנהרות ה-VPN שסופקו על ידי AWS קישוריות מאתר לאתר נמצאות בסטטוס UP. הבדיקה נכשלת אם אחת מהמנהרות או שתיהן נמצאות בסטטוס DOWN.

רמת תמחור: Enterprise

תיקון הממצא הזה

‫Security Command Center ממפה את הגלאי הזה לתקני התאימות הבאים:

  • NIST 800-53 R5: SI-13(5)

בדיקה ששתי מנהרות ה-AWS VPN שסופקו על ידי AWS site-to-site נמצאות בסטטוס UP

  • סריקות בזמן אמת: לא

ממצאים של שירות AI Discovery בניהול סיכונים במערכות AI

שירות "איתור AI" הוא שירות גילוי בניהול סיכונים במערכות AI שמזהה רכיבים וסיכונים בסביבת Google Cloud שקשורים לאפליקציות AI.

ממצא סיכום

שם הקטגוריה ב-API: GEMINI_MODEL_DETECTED

השם הקודם: VERTEX_AI_MODEL_DETECTED

סיווג הממצא: תצפית

תיאור הממצא: זוהה מודל בסיס ב-Gemini Enterprise Agent Platform, והוא מוגן באמצעות Model Armor.

רמת תמחור: פרימיום

שם הקטגוריה ב-API: GEMINI_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR

השם הקודם: VERTEX_AI_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR

סוג הממצא: נקודת חולשה

תיאור הממצא: מודל בסיס של Gemini שזוהה ב-Gemini Enterprise Agent Platform לא מוגן על ידי Model Armor.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה:

כדי לתקן את הממצא הזה, צריך להגדיר את Model Armor למודל שזוהה. מידע נוסף זמין במאמר יצירה וניהול של תבניות.

שם הקטגוריה ב-API: TUNED_MODEL_DETECTED

השם הקודם: VERTEX_1P_TUNED_MODEL_DETECTED

סיווג הממצא: תצפית

תיאור הממצא: זוהה מודל בסיס מכוונן ב-Gemini Enterprise Agent Platform, והוא מוגן באמצעות Model Armor.

רמת תמחור: פרימיום

שם הקטגוריה ב-API: TUNED_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR

השם הקודם: VERTEX_1P_TUNED_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR

סוג הממצא: נקודת חולשה

תיאור הממצא: מודל מכוונן שזוהה ב-Gemini Enterprise Agent Platform לא מוגן על ידי Model Armor.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה:

כדי לתקן את הממצא הזה, צריך להגדיר את Model Armor למודל שזוהה. מידע נוסף זמין במאמר יצירה וניהול של תבניות.

בדיקת הממצאים במסוף Google Cloud

  1. במסוף Google Cloud , נכנסים לדף Findings של Security Command Center.

    כניסה לדף Findings

  2. בוחרים את הפרויקט או הארגון ב- Google Cloud .
  3. בקטע Quick filters, בקטע המשנה Source display name, בוחרים באפשרות AI Discovery Service. תוצאות השאילתה של הממצאים מתעדכנות ומוצגים רק הממצאים מהמקור הזה.
  4. כדי לראות את הפרטים של ממצא ספציפי, לוחצים על שם הממצא בעמודה Category. חלונית הפרטים של הממצא נפתחת ומוצגת הכרטיסייה Summary.
  5. בכרטיסייה Summary, בודקים את פרטי הממצא, כולל מידע על מה שזוהה, המשאב המושפע, ואם יש, השלבים שאפשר לבצע כדי לתקן את הממצא.
  6. אופציונלי: כדי לראות את הגדרת ה-JSON המלאה של הממצא, לוחצים על הכרטיסייה JSON.

ממצאים של Web Security Scanner

בסריקות בהתאמה אישית ובסריקות מנוהלות של Web Security Scanner אפשר לזהות את סוגי הממצאים הבאים.

בסריקות מנוהלות ומותאמות אישית של Web Security Scanner מזוהים סוגי הממצאים הבאים. בגרסה Standard-legacy, הכלי Web Security Scanner תומך בסריקות בהתאמה אישית של אפליקציות שנפרסו עם כתובות URL וכתובות IP ציבוריות שלא נמצאות מאחורי חומת אש.

קטגוריה התיאור עוד מעט מוכן חיפוש קטגוריה ‫OWASP 2017 Top 10 ‫OWASP 2021 Top 10

שם הקטגוריה ב-API: ACCESSIBLE_GIT_REPOSITORY

מאגר Git חשוף באופן ציבורי. כדי לפתור את הבעיה, צריך להסיר את הגישה הציבורית הלא מכוונת למאגר Git.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A5 A01

שם הקטגוריה ב-API: ACCESSIBLE_SVN_REPOSITORY

מאגר SVN חשוף באופן ציבורי. כדי לפתור את הבעיה, צריך להסיר את הגישה הציבורית הלא מכוונת למאגר ה-SVN.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A5 A01

שם הקטגוריה ב-API: ACCESSIBLE_ENV_FILE

קובץ ENV חשוף באופן ציבורי. כדי לפתור את הבעיה, צריך להסיר את הגישה הציבורית הלא מכוונת לקובץ ה-ENV.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A5 A01

שם הקטגוריה ב-API: CACHEABLE_PASSWORD_INPUT

סיסמאות שהוזנו באפליקציית האינטרנט יכולות להישמר במטמון רגיל של הדפדפן במקום באחסון מאובטח של סיסמאות.

רמת תמחור: פרימיום

תיקון הממצא הזה

נקודת חולשה A3 A04

Clear text password

שם הקטגוריה ב-API: CLEAR_TEXT_PASSWORD

הסיסמאות מועברות בטקסט פשוט וניתן ליירט אותן. כדי לפתור את הבעיה, צריך להצפין את הסיסמה שמועברת ברשת.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A3 A02

שם הקטגוריה ב-API: INSECURE_ALLOW_ORIGIN_ENDS_WITH_VALIDATION

נקודת קצה מסוג HTTP או HTTPS באתרים שונים מאמתת רק סיומת של כותרת הבקשה Origin לפני שהיא משקפת אותה בתוך כותרת התגובה Access-Control-Allow-Origin. כדי לפתור את הבעיה, צריך לוודא שהדומיין הבסיסי (root) הצפוי הוא חלק מהערך של הכותרת Origin לפני שמשקפים אותו בכותרת התגובה Access-Control-Allow-Origin. כדי להשתמש בתו כללי לחיפוש בתת-דומיין, מוסיפים נקודה לפני הדומיין הבסיסי (root), לדוגמה, .endsWith(".google.com").

רמת תמחור: פרימיום

תיקון הממצא הזה

נקודת חולשה A5 A01

שם הקטגוריה ב-API: INSECURE_ALLOW_ORIGIN_STARTS_WITH_VALIDATION

נקודת קצה מסוג HTTP או HTTPS באתרים שונים מאמתת רק קידומת של כותרת הבקשה Origin לפני שהיא משקפת אותה בתוך כותרת התגובה Access-Control-Allow-Origin. כדי לפתור את הבעיה, צריך לוודא שהדומיין הצפוי תואם באופן מלא לערך הכותרת Origin לפני שהוא משתקף בכותרת התגובה Access-Control-Allow-Origin – לדוגמה, .equals(".google.com").

רמת תמחור: פרימיום

תיקון הממצא הזה

נקודת חולשה A5 A01

Invalid content type

שם הקטגוריה ב-API: INVALID_CONTENT_TYPE

נטען משאב שלא תואם לכותרת ה-HTTP של Content-Type בתגובה. כדי לפתור את הבעיה, צריך להגדיר את כותרת ה-HTTP‏ X-Content-Type-Options עם הערך הנכון.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A6 A05

שם הקטגוריה ב-API: INVALID_HEADER

יש שגיאת תחביר בכותרת אבטחה והדפדפנים מתעלמים ממנה. כדי לפתור את הבעיה, צריך להגדיר כותרות אבטחה של HTTP בצורה נכונה.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A6 A05

שם הקטגוריה ב-API: MISMATCHING_SECURITY_HEADER_VALUES

כותרת אבטחה מכילה ערכים כפולים שלא תואמים, וכתוצאה מכך ההתנהגות לא מוגדרת. כדי לפתור את הבעיה, צריך להגדיר כותרות אבטחה של HTTP בצורה נכונה.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A6 A05

שם הקטגוריה ב-API: MISSPELLED_SECURITY_HEADER_NAME

כותרת אבטחה מאויתת באופן שגוי והמערכת מתעלמת ממנה. כדי לפתור את הבעיה, צריך להגדיר כותרות אבטחה של HTTP בצורה נכונה.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A6 A05

Mixed content

שם הקטגוריה ב-API: MIXED_CONTENT

משאבים מוצגים באמצעות HTTP בדף HTTPS. כדי לפתור את הבעיה, צריך לוודא שכל המשאבים מוצגים באמצעות HTTPS.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A6 A05

שם הקטגוריה ב-API: OUTDATED_LIBRARY

זוהתה ספרייה עם נקודות חולשה ידועות. כדי לפתור את הבעיה, צריך לשדרג את הספריות לגרסה חדשה יותר.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A9 A06

שם הקטגוריה ב-API: SERVER_SIDE_REQUEST_FORGERY

זוהתה נקודת חולשה מסוג זיוף בקשה בצד השרת (SSRF). כדי לפתור את הבעיה, צריך להשתמש ברשימת היתרים כדי להגביל את הדומיינים וכתובות ה-IP שאפליקציית האינטרנט יכולה לשלוח אליהם בקשות.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה לא רלוונטי A10

שם הקטגוריה ב-API: SESSION_ID_LEAK

כששולחים בקשה חוצת-דומיינים, אפליקציית האינטרנט כוללת את מזהה הסשן של המשתמש בכותרת הבקשה Referer. נקודת החולשה הזו מאפשרת לדומיין המקבל גישה למזהה הסשן, שבו אפשר להשתמש כדי להתחזות למשתמש או לזהות אותו באופן ייחודי.

רמת תמחור: פרימיום

תיקון הממצא הזה

נקודת חולשה A2 A07

שם הקטגוריה ב-API: SQL_INJECTION

זוהתה פרצת אבטחה פוטנציאלית של הזרקת SQL. כדי לפתור את הבעיה, צריך להשתמש בשאילתות עם פרמטרים כדי למנוע מקלט של משתמשים להשפיע על המבנה של שאילתת ה-SQL.

רמת תמחור: פרימיום

תיקון הממצא הזה

נקודת חולשה A1 A03

שם הקטגוריה ב-API: STRUTS_INSECURE_DESERIALIZATION

זוהה שימוש בגרסה של Apache Struts עם פרצת אבטחה. כדי לפתור את הבעיה, צריך לשדרג את Apache Struts לגרסה העדכנית.

רמת תמחור: פרימיום

תיקון הממצא הזה

נקודת חולשה A8 A08

שם הקטגוריה ב-API: XSS

שדה באפליקציית האינטרנט הזו חשוף למתקפת XSS‏ (cross-site scripting). כדי לפתור את הבעיה, צריך לאמת את הנתונים שהמשתמשים מספקים ולהוסיף להם תווי בריחה (escape).

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A7 A03

שם הקטגוריה ב-API: XSS_ANGULAR_CALLBACK

מחרוזת שסופקה על ידי המשתמש לא עוברת בריחה (escape) ו-AngularJS יכולה להוסיף אותה. כדי לפתור את הבעיה, צריך לאמת את הנתונים הלא מהימנים שסופקו על ידי המשתמש ומטופלים על ידי מסגרת Angular, ולהוסיף להם תווי בריחה (escape).

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A7 A03

שם הקטגוריה ב-API: XSS_ERROR

שדה באפליקציית האינטרנט הזו חשוף למתקפת XSS‏ (cross-site scripting). כדי לפתור את הבעיה, צריך לאמת את הנתונים שהמשתמשים מספקים ולהוסיף להם תווי בריחה (escape).

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A7 A03

שם הקטגוריה ב-API: XXE_REFLECTED_FILE_LEAKAGE

זוהתה נקודת חולשה מסוג XML External Entity ‏(XXE). הפרצה הזו עלולה לגרום לאפליקציית האינטרנט להדליף קובץ במארח. כדי לפתור את הבעיה, צריך להגדיר את מנתחי ה-XML כך שלא יאפשרו ישויות חיצוניות.

רמת תמחור: פרימיום

תיקון הממצא הזה

נקודת חולשה A4 A05

שם הקטגוריה ב-API: PROTOTYPE_POLLUTION

האפליקציה חשופה לזיהום אב טיפוס. נקודת החולשה הזו נוצרת כשאפשר להקצות למאפיינים של האובייקט Object.prototype ערכים שהתוקף יכול לשלוט בהם. ערכים שמושתלים באבות הטיפוס האלה נחשבים באופן אוניברסלי ככאלה שמתורגמים לפרצת אבטחה XSS‏ (cross-site scripting) או לנקודות חולשה דומות בצד הלקוח, וגם לבאגים לוגיים.

רמת תמחור: פרימיום או רגילה

תיקון הממצא הזה

נקודת חולשה A1 A03

שם הקטגוריה ב-API: HSTS_MISCONFIGURATION

זוהתה כותרת HTTP Strict Transport Security (HSTS)‎ שהוגדרה באופן שגוי. כדי להפחית באופן משמעותי את הסיכון למתקפות של שדרוג לאחור וציתות בחיבורי HTTP, צריך לתקן את כותרת ה-HSTS שהוגדרה באופן שגוי. כותרות HSTS מאלצות חיבורים דרך ערוצים מוצפנים (TLS) כך שחיבורי HTTP בטקסט פשוט נכשלים. מידע נוסף על כותרות HSTS

רמת תמחור: פרימיום

תיקון הממצא הזה

הגדרה שגויה לא רלוונטי לא רלוונטי

Content Security Policy Header Missing

שם הקטגוריה ב-API: CSP_MISSING

זוהתה כותרת תגובת HTTP חסרה של Content Security Policy‏ (CSP). כותרות CSP מפחיתות את הסיכון לניצול של נקודות חולשה נפוצות באינטרנט, במיוחד פרצת אבטחה XSS ‏(cross-site scripting), על ידי מניעת טעינה של סקריפטים או פלאגינים לא מהימנים. מומלץ להשתמש בכותרת CSP מחמירה. מידע נוסף על כותרות CSP

רמת תמחור: פרימיום

תיקון הממצא הזה

הגדרה שגויה לא רלוונטי לא רלוונטי

Content Security Policy Header Misconfigured

שם הקטגוריה ב-API: CSP_MISCONFIGURATION

זוהתה כותרת תגובת HTTP של Content Security Policy ‏(CSP) שלא הוגדרה בצורה נכונה. כותרות CSP מפחיתות את הסיכון לניצול של נקודות חולשה נפוצות באינטרנט, במיוחד פרצת אבטחה XSS ‏(cross-site scripting), על ידי מניעת טעינה של סקריפטים או פלאגינים לא מהימנים. מומלץ להשתמש בכותרת CSP מחמירה. מידע נוסף על כותרות CSP

רמת תמחור: פרימיום

תיקון הממצא הזה

הגדרה שגויה לא רלוונטי לא רלוונטי

שם הקטגוריה ב-API: COOP_MISSING

זוהתה כותרת HTTP חסרה של מדיניות פתיחה ממקורות שונים (COOP). ‫COOP הוא מנגנון אבטחה באינטרנט שמגביל את הגישה של דף שנפתח בחלון חדש למאפיינים של הדף המקורי. COOP מספק שכבת הגנה חזקה מפני התקפות נפוצות באינטרנט.

רמת תמחור: פרימיום

תיקון הממצא הזה

הגדרה שגויה לא רלוונטי לא רלוונטי

שם הקטגוריה ב-API: CLICKJACKING_PROTECTION_MISSING

זוהתה כותרת תגובה חסרה. כדי למנוע מתקפות clickjacking, צריך להטמיע כותרת תגובת HTTP כמו X-Frame-Option (XFO) או Content-Security-Policy (CSP). חטיפת קליקים (נקראת גם UI Redress) היא מתקפת אינטרנט שבה התוקפים משנים את הממשק של אתר היעד, כך שהקורבנות לא מבינים שהם מבצעים פעולה חשובה. מומלץ להטמיע כותרת תגובת HTTP: קל להשתמש בכותרות XFO, וכותרות CSP מספקות יותר גמישות.
- מידע נוסף על כותרות XFO
- מידע נוסף על כותרות CSP

רמת תמחור: פרימיום

תיקון הממצא הזה

הגדרה שגויה לא רלוונטי לא רלוונטי

ממצאים של Notebook Security Scanner

‫Notebook Security Scanner מזהה נקודות חולשה שקשורות לחבילות Python שמשמשות ב-notebooks של Colab Enterprise, ומפרסם אותן בקטגוריה Package vulnerability.

בממצא של נקודת חולשה בחבילה מוצגים פרטי הגרסה של חבילה עם נקודות חולשה ידועות. לגרסה נתונה של חבילת Python יכולים להיות כמה ממצאים של נקודות חולשה בחבילה, שכל אחד מהם תואם לנקודת חולשה ידועה אחרת.

כדי לפתור ממצא של פגיעוּת בחבילה, צריך להשתמש בגרסה אחרת של החבילה, כמו שמומלץ בקטע השלבים הבאים של הממצא.

מידע נוסף מופיע במאמר הפעלה ושימוש ב-Notebook Security Scanner.

ממצאים של שירות ההמלצות של IAM

Standard-legacy,‏ Standard,‏ Premium ו-Enterprise (הוצאה משימוש)

בטבלה הבאה מפורטים הממצאים של Security Command Center שנוצרים על ידי המלצות IAM.

כל ממצא של שירות ההמלצות של IAM מכיל המלצות ספציפיות להסרה או להחלפה של תפקיד שכולל הרשאות מיותרות מחשבון משתמש בסביבתGoogle Cloud .

הממצאים שנוצרים על ידי שירות ההמלצות של IAM תואמים להמלצות שמופיעות במסוף Google Cloud בדף IAM של הפרויקט, התיקייה או הארגון המושפעים.

למידע נוסף על השילוב של שירות ההמלצות של IAM עם Security Command Center, קראו את המאמר מקורות אבטחה.

גלאי סיכום

שם הקטגוריה ב-API: IAM_ROLE_HAS_EXCESSIVE_PERMISSIONS

תיאור הממצא: שירות ההמלצות של IAM זיהה חשבון שירות עם תפקיד אחד או יותר ב-IAM שנותנים הרשאות מיותרות לחשבון המשתמש.

רמת תמחור: פרימיום

נכסים נתמכים:

כדי לתקן את הממצא הזה :

כדי להחיל את התיקון המומלץ לממצא הזה באמצעות שירות ההמלצות של IAM, פועלים לפי השלבים הבאים:

  1. בקטע Next steps של פרטי הממצא במסוף Google Cloud , מעתיקים את כתובת ה-URL של הדף IAM ומדביקים אותה בסרגל הכתובות של הדפדפן, ואז לוחצים על Enter. הדף IAM נטען.
  2. בפינה השמאלית העליונה של הדף IAM, לוחצים על View recommendations in table. ההמלצות מוצגות בטבלה.
  3. בעמודה Security insights, לוחצים על המלצה שקשורה להרשאות עודפות. חלונית פרטי ההמלצה נפתחת.
  4. כדאי לעיין בהמלצה כדי להבין מה אפשר לעשות כדי לפתור את הבעיה.
  5. לוחצים על אישור.

אחרי שהבעיה תתוקן, שירות ההמלצות של IAM יעדכן את סטטוס הממצא ל-INACTIVE תוך 10 ימים.

שם הקטגוריה ב-API: SERVICE_AGENT_ROLE_REPLACED_WITH_BASIC_ROLE

תיאור הממצא: שירות ההמלצות של IAM זיהה שתפקיד ברירת המחדל המקורי של IAM שניתן לסוכן שירות הוחלף באחד מהתפקידים הבסיסיים של IAM: בעלים, עריכה או צפייה. תפקידים בסיסיים הם תפקידים מדור קודם עם הרשאות רבות מדי, ואין להקצות אותם לסוכני שירות.

רמת תמחור: פרימיום

נכסים נתמכים:

כדי לתקן את הממצא הזה :

כדי להחיל את התיקון המומלץ לממצא הזה באמצעות שירות ההמלצות של IAM, פועלים לפי השלבים הבאים:

  1. בקטע Next steps של פרטי הממצא במסוף Google Cloud , מעתיקים את כתובת ה-URL של הדף IAM ומדביקים אותה בסרגל הכתובות של הדפדפן, ואז לוחצים על Enter. הדף IAM נטען.
  2. בפינה השמאלית העליונה של הדף IAM, לוחצים על View recommendations in table. ההמלצות מוצגות בטבלה.
  3. בעמודה Security insights, לוחצים על הרשאה שקשורה להרשאות עודפות. חלונית פרטי ההמלצה נפתחת.
  4. בודקים את ההרשאות העודפות.
  5. לוחצים על אישור.

אחרי שהבעיה תתוקן, שירות ההמלצות של IAM יעדכן את סטטוס הממצא ל-INACTIVE תוך 10 ימים.

שם הקטגוריה ב-API: SERVICE_AGENT_GRANTED_BASIC_ROLE

תיאור הממצא: שירות ההמלצות של IAM זיהה שסוכן שירות קיבל את אחד מהתפקידים הבסיסיים של IAM: בעלים, עריכה או צפייה. תפקידים בסיסיים הם תפקידים מדור קודם עם הרשאות רבות מדי, ואין להקצות אותם לסוכני שירות.

רמת תמחור: פרימיום

נכסים נתמכים:

כדי לתקן את הממצא הזה :

כדי להחיל את התיקון המומלץ לממצא הזה באמצעות שירות ההמלצות של IAM, פועלים לפי השלבים הבאים:

  1. בקטע Next steps של פרטי הממצא במסוף Google Cloud , מעתיקים את כתובת ה-URL של הדף IAM ומדביקים אותה בסרגל הכתובות של הדפדפן, ואז לוחצים על Enter. הדף IAM נטען.
  2. בפינה השמאלית העליונה של הדף IAM, לוחצים על View recommendations in table. ההמלצות מוצגות בטבלה.
  3. בעמודה Security insights, לוחצים על הרשאה שקשורה להרשאות עודפות. חלונית פרטי ההמלצה נפתחת.
  4. בודקים את ההרשאות העודפות.
  5. לוחצים על אישור.

אחרי שהבעיה תתוקן, שירות ההמלצות של IAM יעדכן את סטטוס הממצא ל-INACTIVE תוך 10 ימים.

שם הקטגוריה ב-API: UNUSED_IAM_ROLE

תיאור הממצא: שירות ההמלצות של IAM זיהה חשבון משתמש עם תפקיד ב-IAM שלא היה בשימוש ב-90 הימים האחרונים.

רמת תמחור: פרימיום

נכסים נתמכים:

כדי לתקן את הממצא הזה :

כדי להחיל את התיקון המומלץ לממצא הזה באמצעות שירות ההמלצות של IAM, פועלים לפי השלבים הבאים:

  1. בקטע Next steps של פרטי הממצא במסוף Google Cloud , מעתיקים את כתובת ה-URL של הדף IAM ומדביקים אותה בסרגל הכתובות של הדפדפן, ואז לוחצים על Enter. הדף IAM נטען.
  2. בפינה השמאלית העליונה של הדף IAM, לוחצים על View recommendations in table. ההמלצות מוצגות בטבלה.
  3. בעמודה Security insights, לוחצים על הרשאה שקשורה להרשאות עודפות. חלונית פרטי ההמלצה נפתחת.
  4. בודקים את ההרשאות העודפות.
  5. לוחצים על אישור.

אחרי שהבעיה תתוקן, שירות ההמלצות של IAM יעדכן את סטטוס הממצא ל-INACTIVE תוך 10 ימים.

ממצאים של CIEM

בטבלה הבאה מפורטים הממצאים של Security Command Center בנושא זהויות והרשאות גישה ב-AWS וב-Microsoft Azure, שנוצרו על ידי ניהול הרשאות לתשתית ענן (CIEM). כאן מוסבר איך לראות את הממצאים שנוצרו על ידי Cloud Infrastructure Entitlement Management (CIEM) ב- Google Cloud.

ממצאי CIEM מכילים המלצות ספציפיות להסרה או להחלפה של מדיניות ניהול זהויות והרשאות גישה (IAM) עם הרשאות רבות, שמשויכת לזהויות, למשתמשים או לקבוצות משוערים בסביבות AWS ו-Microsoft Azure.

סקירה כללית על ניהול הרשאות לתשתית ענן

גלאי סיכום

שם הקטגוריה ב-API: ASSUMED_IDENTITY_HAS_EXCESSIVE_PERMISSIONS

תיאור הממצא: בסביבת AWS או Microsoft Azure, כלי ה-CIEM זיהה תפקיד IAM משוער עם מדיניות הרשאות מתירנית מאוד שמפרה את העיקרון של הרשאות מינימליות ומגבירה את סיכוני האבטחה. הממצא הזה מבוסס על יומני השימוש האחרונים מ-83 עד 90 הימים האחרונים.

רמת תמחור: Enterprise

כדי לתקן את הממצא הזה :

בהתאם לממצא, משתמשים בכלים של AWS או של Microsoft Azure כדי לבצע אחת ממשימות התיקון הבאות:

  • מסירים את המדיניות המתירנית מדי.
  • יוצרים מדיניות חדשה עם ההרשאות המינימליות שנדרשות למשתמש, לקבוצה או לתפקיד. לאחר מכן, מצרפים את המדיניות החדשה למשתמש, לקבוצה או לתפקיד, ומסירים את המדיניות עם ההרשאות הרבות.

כדי לראות את השלבים הספציפיים לתיקון, צריך לעיין בפרטי הממצא.

שם הקטגוריה ב-API: GROUP_HAS_EXCESSIVE_PERMISSIONS

תיאור הממצא: בסביבת AWS או Microsoft Azure, כלי ה-CIEM זיהה קבוצה עם מדיניות אחת או יותר שמעניקה הרשאות רבות מדי, בניגוד לעיקרון של הרשאות מינימליות, ומגבירה את סיכוני האבטחה. הממצא הזה מבוסס על יומני השימוש העדכניים ביותר מ-83 עד 90 הימים האחרונים.

רמת תמחור: Enterprise

כדי לתקן את הממצא הזה :

בהתאם לממצא, משתמשים בכלים של AWS או של Microsoft Azure כדי לבצע אחת ממשימות התיקון הבאות:

  • מסירים את המדיניות המתירנית מדי.
  • יוצרים מדיניות חדשה עם ההרשאות המינימליות שנדרשות למשתמש, לקבוצה או לתפקיד. לאחר מכן, מצרפים את המדיניות החדשה למשתמש, לקבוצה או לתפקיד, ומסירים את המדיניות עם ההרשאות הרבות.

כדי לראות את השלבים הספציפיים לתיקון, צריך לעיין בפרטי הממצא.

שם הקטגוריה ב-API: USER_HAS_EXCESSIVE_PERMISSIONS

תיאור הממצא: בסביבת AWS או Microsoft Azure, כלי ה-CIEM זיהה משתמש שיש לו מדיניות אחת או יותר עם הרשאות רבות, שמפרה את העיקרון של הרשאות מינימליות ומגבירה את סיכוני האבטחה. הממצא הזה מבוסס על יומני השימוש האחרונים מ-83 עד 90 הימים האחרונים.

רמת תמחור: Enterprise

כדי לתקן את הממצא הזה :

בהתאם לממצא, משתמשים בכלים של AWS או של Microsoft Azure כדי לבצע אחת ממשימות התיקון הבאות:

  • מסירים את המדיניות המתירנית מדי.
  • יוצרים מדיניות חדשה עם ההרשאות המינימליות שנדרשות למשתמש, לקבוצה או לתפקיד. לאחר מכן, מצרפים את המדיניות החדשה למשתמש, לקבוצה או לתפקיד, ומסירים את המדיניות עם ההרשאות הרבות.

כדי לראות את השלבים הספציפיים לתיקון, צריך לעיין בפרטי הממצא.

שם הקטגוריה ב-API: INACTIVE_USER

תיאור הממצא: בסביבת AWS או Microsoft Azure, כלי ה-CIEM זיהה משתמש לא פעיל עם הרשאה אחת או יותר. זה מפר את העקרון של הרשאות מינימליות ומגביר את סיכוני האבטחה. הממצא הזה מבוסס על יומני השימוש העדכניים ביותר מ-83 עד 90 הימים האחרונים.

רמת תמחור: Enterprise

כדי לתקן את הממצא הזה :

בהתאם לממצא, מבצעים את אחת ממשימות התיקון הבאות:

  • משתמשים בכלים של AWS או של Microsoft Azure כדי להסיר את ההרשאות שניתנו למשתמש.
  • אם אתם בטוחים שאתם לא צריכים יותר את הזהות, אתם יכולים למחוק את המשתמש.

כדי לראות את השלבים הספציפיים לתיקון, צריך לעיין בפרטי הממצא.

שם הקטגוריה ב-API: INACTIVE_GROUP

תיאור הממצא: בסביבת AWS או Microsoft Azure, מערכת CIEM זיהתה קבוצה לא פעילה עם הרשאה אחת או יותר. זה מפר את העקרון של הרשאות מינימליות ומגביר את סיכוני האבטחה. הממצא הזה מבוסס על יומני השימוש העדכניים ביותר מ-83 עד 90 הימים האחרונים.

רמת תמחור: Enterprise

כדי לתקן את הממצא הזה :

בהתאם לממצא, מבצעים את אחת ממשימות התיקון הבאות:

  • משתמשים בכלים של AWS או של Microsoft Azure כדי להסיר את כללי המדיניות שמצורפים לקבוצה.
  • אם אתם בטוחים שהזהויות האלה לא נדרשות יותר, אתם יכולים למחוק חלק מהמשתמשים בקבוצה או את כולם.

כדי לראות את השלבים הספציפיים לתיקון, צריך לעיין בפרטי הממצא.

שם הקטגוריה ב-API: INACTIVE_ASSUMED_IDENTITY

תיאור הממצא: בסביבת AWS או Microsoft Azure, מערכת CIEM זיהתה תפקיד IAM משוער שלא פעיל ויש לו הרשאה אחת או יותר. זה מפר את העקרון של הרשאות מינימליות ומגביר את סיכוני האבטחה. הממצא הזה מבוסס על יומני השימוש האחרונים מ-83 עד 90 הימים האחרונים.

רמת תמחור: Enterprise

כדי לתקן את הממצא הזה :

בהתאם לממצא, מבצעים את אחת ממשימות התיקון הבאות:

  • משתמשים בכלים של AWS או של Microsoft Azure כדי להסיר את כללי המדיניות שמצורפים לתפקיד ב-IAM.
  • אם אתם בטוחים שאין יותר צורך בזהות המשוערת, מחקו אותה.

כדי לראות את השלבים הספציפיים לתיקון, צריך לעיין בפרטי הממצא.

שם הקטגוריה ב-API: OVERLY_PERMISSIVE_TRUST_POLICY_ENFORCED_ON_ASSUMED_IDENTITY

תיאור הממצא: בסביבת AWS או Microsoft Azure, כלי ה-CIEM זיהה מדיניות אמון מתירנית מדי שנאכפת על תפקיד IAM, שמפרה את העיקרון של הרשאות מינימליות ומגבירה את סיכוני האבטחה. הממצא הזה מבוסס על יומני השימוש העדכניים ביותר מ-83 עד 90 הימים האחרונים.

רמת תמחור: Enterprise

כדי לתקן את הממצא הזה :

משתמשים בכלים של AWS או של Microsoft Azure כדי לערוך את ההרשאות במדיניות האמון שנאכפת על התפקיד, בהתאם לעקרון של הרשאות מינימליות.

כדי לראות את השלבים הספציפיים לתיקון, צריך לעיין בפרטי הממצא.

שם הקטגוריה ב-API: ASSUMED_IDENTITY_HAS_LATERAL_MOVEMENT_RISK

תיאור הממצא: בסביבת AWS או Microsoft Azure, מערכת CIEM זיהתה זהות אחת או יותר שיכולה לעבור באופן רוחבי באמצעות התחזות. הממצא הזה מבוסס על יומני השימוש האחרונים מ-83 עד 90 הימים האחרונים.

רמת תמחור: Enterprise

כדי לתקן את הממצא הזה :

משתמשים בכלים של AWS או של Microsoft Azure כדי להסיר את כללי המדיניות שמצורפים לזהויות שמאפשרות תנועה רוחבית.

כדי לראות את השלבים הספציפיים לתיקון, צריך לעיין בפרטי הממצא.

ממצאים של ניהול אבטחת המידע (DSPM)

אמצעי הבקרה בענן של מצב אבטחת המידע הם הממצאים שנוצרים על ידי Data Security Posture Management (DSPM) כשיש הפרות של כללי אמצעי הבקרה בענן. מידע נוסף על אמצעי הבקרה בענן זמין במאמר אמצעי בקרה בענן לאבטחת מידע.

ממצאים של External Exposure

הכלי "חשיפה חיצונית" יוצר ממצאים מסוג EXTERNAL_EXPOSURE שמזהים כתובות IP שפונות החוצה ושירותים חשופים שאפשר להגיע אליהם מהאינטרנט הציבורי.

מידע נוסף על הממצאים האלה זמין במאמר זיהוי משאבים חשופים.

הממצאים האלה נוצרים בקטגוריות המפורטות הבאות של סיכון וחשיפה:

  • ‫EXTERNALLY_EXPOSED_UI: מזהה לוחות ניהול, מרכזי בקרה או מסופי ניהול שנגישים לכולם (כמו Jupyter Notebooks או מרכזי בקרה של Kubernetes).
  • ‫EXTERNALLY_EXPOSED_API: זיהוי ממשקי API חשופים של נקודות קצה (endpoint) ללא אימות.
  • ‫EXTERNALLY_EXPOSED_WEAK_CREDENTIALS: מזהה יציאות או שירותים חשופים שאפשר לגשת אליהם באמצעות פרטי כניסה חלשים שמוגדרים כברירת מחדל או שקל לנחש אותם.
  • ‫EXTERNALLY_EXPOSED_RCE_VULNERABILITY: מזהה נקודות קצה (endpoint) חשופות עם נקודות חולשה של הרצת קוד מרחוק (RCE) שאומתו באופן פעיל.
  • ‫EXTERNALLY_EXPOSED_ARBITRARY_DATA_READ: מזהה נקודות חולשה שמאפשרות לתוקף לקרוא קבצים או נתונים שרירותיים מהמערכת.
  • ‫EXTERNALLY_EXPOSED_VM_INSTANCE: זיהוי משאבים של Compute Engine או של Google Kubernetes Engine (GKE) עם כתובת IP ציבורית ישירה שמאפשרת גישה למערכת ההפעלה המארחת.
  • ‫EXTERNALLY_EXPOSED_SERVERLESS_WORKLOAD: זיהוי עומסי עבודה חשופים ב-Cloud Run.
  • EXTERNALLY_EXPOSED_DATABASE: זיהוי מופעים של מסדי נתונים עם גישה ישירה (כמו Cloud SQL או AlloyDB ל-PostgreSQL).
  • ‫EXTERNALLY_EXPOSED_SERVICE_VIA_LOAD_BALANCER: מזהה עומסי עבודה בקצה העורפי שמאזני עומסים חיצוניים, nginx-ingress או שערי Istio נמצאים בחזית שלהם.
  • ‫EXTERNALLY_EXPOSED_STORAGE_VIA_LOAD_BALANCER: זיהוי קטגוריות קצה עורפי של Cloud Storage שנחשפות ישירות מאחורי Cloud Load Balancing, תוך עקיפת ההרשאה הרגילה של ניהול הזהויות והרשאות הגישה (IAM).

ממצאים של שירות מצב האבטחה

בקטע הזה מפורטים הממצאים של Security Command Center שנוצרים על ידי שירות מצב האבטחה.

שירות מצב האבטחה יוצר את הקבוצות הבאות של קטגוריות ממצאים:

חריגה ממצב האבטחה שנפרס

בטבלה הבאה מפורטים הממצאים של מצב האבטחה שמזהים מופע של חריגה ממצב האבטחה שהגדרתם.

ממצא סיכום

שם הקטגוריה ב-API: SECURITY_POSTURE_DETECTOR_DRIFT

תיאור הממצא: שירות מצב האבטחה זיהה שינוי בגלאי של Security Health Analytics שהתרחש מחוץ לעדכון של מצב האבטחה.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

כדי לטפל בממצא הזה, צריך לאשר את השינוי או לבטל אותו, כדי שההגדרות של הגלאי במערך האבטחה ובסביבה יהיו זהות. יש שתי דרכים לפתור את הממצא הזה: לעדכן את הגלאי של Security Health Analytics או לעדכן את המערך ואת פריסת המערך.

כדי לבטל את השינוי, צריך לעדכן את הגלאי של Security Health Analytics במסוף Google Cloud . הוראות מפורטות מופיעות במאמר הפעלה והשבתה של גלאים.

כדי לאשר את השינוי:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: SECURITY_POSTURE_DETECTOR_DRIFT

תיאור הממצא: שירות מצב האבטחה זיהה שינוי במודול בהתאמה אישית של Security Health Analytics, שהתרחש מחוץ לעדכון של מצב האבטחה.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

כדי לטפל בממצא הזה, צריך לאשר את השינוי או לבטל אותו, כדי שההגדרות של המודול בהתאמה אישית במערך ובסביבה יהיו זהות. יש שתי דרכים לפתור את הממצא הזה: לעדכן את המודול בהתאמה אישית של Security Health Analytics או לעדכן את המערך ואת פריסת המערך.

כדי לבטל את השינוי, צריך לעדכן את המודול בהתאמה אישית של Security Health Analytics במסוף Google Cloud . הוראות מפורטות זמינות במאמר עדכון מודול בהתאמה אישית.

כדי לאשר את השינוי:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: SECURITY_POSTURE_DETECTOR_DELETE

תיאור הממצא: שירות מצב האבטחה זיהה שמודול בהתאמה אישית של Security Health Analytics נמחק. המחיקה הזו התרחשה מחוץ לעדכון של המערך.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

כדי לטפל בממצא הזה, צריך לאשר את השינוי או לבטל אותו, כדי שההגדרות של המודול בהתאמה אישית במערך ובסביבה יהיו זהות. יש שתי דרכים לפתור את הממצא הזה: לעדכן את המודול בהתאמה אישית של Security Health Analytics או לעדכן את המערך ואת פריסת המערך.

כדי לבטל את השינוי, צריך לעדכן את המודול בהתאמה אישית של Security Health Analytics במסוף Google Cloud . הוראות מפורטות זמינות במאמר עדכון מודול בהתאמה אישית.

כדי לאשר את השינוי:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: SECURITY_POSTURE_POLICY_DRIFT

תיאור הממצא: שירות מצב האבטחה זיהה שינוי במדיניות הארגון שהתרחש מחוץ לעדכון של מצב האבטחה.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

כדי לטפל בממצא הזה, צריך לאשר את השינוי או לבטל אותו, כדי שההגדרות של מדיניות הארגון במערך ובסביבה יהיו זהות. יש שתי אפשרויות לפתור את הממצא הזה: לעדכן את מדיניות הארגון או לעדכן את המערך ואת פריסת המערך.

כדי לבטל את השינוי, צריך לעדכן את מדיניות הארגון במסוף Google Cloud . הוראות ליצירה ועריכה של כללי מדיניות מפורטות במאמר יצירה ועריכה של כללי מדיניות.

כדי לאשר את השינוי:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: SECURITY_POSTURE_POLICY_DELETE

תיאור הממצא: שירות מצב האבטחה זיהה שמדיניות הארגון נמחקה. המחיקה הזו התרחשה מחוץ לעדכון של מצב האבטחה.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

כדי לטפל בממצא הזה, צריך לאשר את השינוי או לבטל אותו, כדי שההגדרות של מדיניות הארגון במערך ובסביבה יהיו זהות. יש שתי אפשרויות לפתור את הממצא הזה: לעדכן את מדיניות הארגון או לעדכן את המערך ואת פריסת המערך.

כדי לבטל את השינוי, צריך לעדכן את מדיניות הארגון במסוף Google Cloud . הוראות ליצירה ועריכה של כללי מדיניות מפורטות במאמר יצירה ועריכה של כללי מדיניות.

כדי לאשר את השינוי:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: SECURITY_POSTURE_POLICY_DRIFT

תיאור הממצא: שירות מצב האבטחה זיהה שינוי במדיניות ארגונית בהתאמה אישית, שהתרחש מחוץ לעדכון של מצב האבטחה.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

כדי לטפל בממצא הזה, צריך לאשר את השינוי או לבטל אותו, כדי שההגדרות של מדיניות הארגון בהתאמה אישית במערך ובסביבה יהיו זהות. יש שתי אפשרויות לפתור את הממצא הזה: לעדכן את מדיניות הארגון בהתאמה אישית או לעדכן את המערך ואת פריסת המערך.

כדי לבטל את השינוי, צריך לעדכן את מדיניות הארגון בהתאמה אישית במסוף Google Cloud . להוראות, ראו עדכון אילוץ בהתאמה אישית.

כדי לאשר את השינוי:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: SECURITY_POSTURE_POLICY_DELETE

תיאור הממצא: שירות מצב האבטחה זיהה שמדיניות ארגונית בהתאמה אישית נמחקה. המחיקה הזו התרחשה מחוץ לעדכון של מצב האבטחה.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

כדי לטפל בממצא הזה, צריך לאשר את השינוי או לבטל אותו, כדי שההגדרות של מדיניות הארגון בהתאמה אישית במערך ובסביבה יהיו זהות. יש שתי אפשרויות לפתור את הממצא הזה: לעדכן את מדיניות הארגון בהתאמה אישית או לעדכן את המערך ואת פריסת המערך.

כדי לבטל את השינוי, צריך לעדכן את מדיניות הארגון בהתאמה אישית במסוף Google Cloud . להוראות, ראו עדכון אילוץ בהתאמה אישית.

כדי לאשר את השינוי:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

משאב שמפר את מצב האבטחה שנפרס

שירות מצב האבטחה ו-Security Health Analytics יוצרים את הממצאים הבאים, שמזהים מקרים של משאבים שמפרים את מצב האבטחה שהגדרתם.

ממצא סיכום

שם הקטגוריה ב-API: DISABLE_VPC_EXTERNAL_IP_V6_ORG_POLICY

תיאור הממצא: שירות מצב האבטחה זיהה שברשת משנה מופעלת כתובת IPv6 חיצונית.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

יש שתי דרכים לפתור את הבעיה: למחוק את המשאב שמפר את המדיניות, או לעדכן את ההגדרה ולפרוס אותה מחדש.

כדי למחוק את המשאב:

  1. פותחים את סיכום הממצא.
  2. בודקים את הקטע של המשאב המושפע ומוצאים את השם המלא של המשאב שמפר את מדיניות התצורה.
  3. לוחצים על השם המלא של המשאב כדי לפתוח את הפרטים שלו.
  4. מוחקים את המשאב.

אם רוצים להשאיר את המשאב באותה הגדרה, צריך לעדכן את המערך. כדי לעדכן את המערך:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: DISABLE_VPC_INTERNAL_IP_V6_ORG_POLICY

תיאור הממצא: שירות מצב האבטחה זיהה שברשת משנה מופעלת כתובת IPv6 פנימית.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

יש שתי דרכים לפתור את הבעיה: למחוק את המשאב שמפר את המדיניות, או לעדכן את ההגדרה ולפרוס אותה מחדש.

כדי למחוק את המשאב:

  1. פותחים את סיכום הממצא.
  2. בודקים את הקטע של המשאב המושפע ומוצאים את השם המלא של המשאב שמפר את מדיניות התצורה.
  3. לוחצים על השם המלא של המשאב כדי לפתוח את הפרטים שלו.
  4. מוחקים את המשאב.

אם רוצים להשאיר את המשאב באותה הגדרה, צריך לעדכן את המערך. כדי לעדכן את המערך:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: REQUIRE_OS_LOGIN_ORG_POLICY

תיאור הממצא: שירות מצב האבטחה זיהה ש-OS Login מושבת במכונה וירטואלית.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

יש שתי אפשרויות לפתור את הממצא הזה: לעדכן את המשאב שמפר את המדיניות, או לעדכן את המערך ולפרוס אותו מחדש.

כדי לעדכן את המשאב:

  1. פותחים את סיכום הממצא.
  2. בודקים את הקטע של המשאב המושפע ומוצאים את השם המלא של המשאב שמפר את מדיניות התצורה.
  3. לוחצים על השם המלא של המשאב כדי לפתוח את הפרטים שלו.
  4. עורכים את המשאב. מוצאים את הקטע של המטא-נתונים ומשנים את הרשומה עם המפתח enable-oslogin לערך TRUE.
  5. שומרים את המשאב.

אם רוצים להשאיר את המשאב באותה הגדרה, צריך לעדכן את המערך. כדי לעדכן את המערך:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: RESTRICT_AUTHORIZED_NETWORKS_ORG_POLICY

ממצא: שירות מצב האבטחה זיהה שרשת מורשית נוספה למכונה של SQL.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

הממצא הזה מחייב אתכם לתקן את ההפרה או לעדכן את המערך. יש שתי אפשרויות לפתור את הממצא הזה: לעדכן את המשאב שמפר את המדיניות, או לעדכן את המערך ולפרוס אותו מחדש.

כדי לעדכן את המשאב:

  1. פותחים את סיכום הממצא.
  2. בודקים את הקטע של המשאב המושפע ומוצאים את השם המלא של המשאב שמפר את מדיניות התצורה.
  3. לוחצים על השם המלא של המשאב כדי לפתוח את הפרטים שלו.
  4. עורכים את המשאב. מאתרים את הקטע Authorized network בקטע Connections ומוחקים את כל הרשומות שבו.
  5. שומרים את המשאב.

אם רוצים להשאיר את המשאב באותה הגדרה, צריך לעדכן את המערך. כדי לעדכן את המערך:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: REQUIRE_VPC_CONNECTOR_ORG_POLICY

תיאור הממצא: שירות מצב האבטחה זיהה שמחבר VPC לא מופעל במכונה של פונקציית Cloud Run.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

יש שתי אפשרויות לפתור את הממצא הזה: לעדכן את המשאב שמפר את המדיניות, או לעדכן את המערך ולפרוס אותו מחדש.

כדי לעדכן את המשאב:

  1. פותחים את סיכום הממצא.
  2. בודקים את הקטע של המשאב המושפע ומוצאים את השם המלא של המשאב שמפר את מדיניות התצורה.
  3. לוחצים על השם המלא של המשאב כדי לפתוח את הפרטים שלו.
  4. לוחצים על Edit.
  5. לוחצים על הכרטיסייה חיבורים.
  6. מאתרים את הקטע Egress settings. בתפריט Network, בוחרים מחבר VPC מתאים.
  7. לוחצים על הבא.
  8. לוחצים על Deploy.

אם רוצים להשאיר את המשאב באותה הגדרה, צריך לעדכן את המערך. כדי לעדכן את המערך:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: DISABLED_SERIAL_PORT_ACCESS_ORG_POLICY

תיאור הממצא: שירות מצב האבטחה זיהה שהגישה ליציאה טורית במכונה וירטואלית מופעלת.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

יש שתי אפשרויות לפתור את הממצא הזה: לעדכן את המשאב שמפר את המדיניות, או לעדכן את המערך ולפרוס אותו מחדש.

כדי לעדכן את המשאב:

  1. פותחים את סיכום הממצא.
  2. בודקים את הקטע של המשאב המושפע ומוצאים את השם המלא של המשאב שמפר את מדיניות התצורה.
  3. לוחצים על השם המלא של המשאב כדי לפתוח את הפרטים שלו.
  4. עורכים את המשאב. מוצאים את הקטע של הגישה מרחוק ומבטלים את הסימון בתיבה Enable connecting to serial ports.
  5. שומרים את המשאב.

אם רוצים להשאיר את המשאב באותה הגדרה, צריך לעדכן את המערך. כדי לעדכן את המערך:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: SKIP_DEFAULT_NETWORK_CREATION_ORG_POLICY

תיאור הממצא: שירות מצב האבטחה זיהה שנוצרה רשת שמוגדרת כברירת מחדל.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

יש שתי דרכים לפתור את הבעיה: למחוק את המשאב שמפר את המדיניות, או לעדכן את ההגדרה ולפרוס אותה מחדש.

כדי למחוק את המשאב:

  1. פותחים את סיכום הממצא.
  2. בודקים את הקטע של המשאב המושפע ומוצאים את השם המלא של המשאב שמפר את מדיניות התצורה.
  3. לוחצים על השם המלא של המשאב כדי לפתוח את הפרטים שלו.
  4. מוחקים את המשאב.

אם רוצים להשאיר את המשאב באותה הגדרה, צריך לעדכן את המערך. כדי לעדכן את המערך:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: ALLOWED_INGRESS_ORG_POLICY

תיאור הממצא: שירות מצב האבטחה זיהה ששירות Cloud Run לא עומד בהגדרות הכניסה שצוינו.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

יש שתי אפשרויות לפתור את הממצא הזה: לעדכן את המשאב שמפר את המדיניות, או לעדכן את המערך ולפרוס אותו מחדש.

כדי לעדכן את המשאב:

  1. פותחים את סיכום הממצא.
  2. בודקים את הקטע של המשאב המושפע ומוצאים את השם המלא של המשאב שמפר את מדיניות התצורה.
  3. לוחצים על השם המלא של המשאב כדי לפתוח את הפרטים שלו.
  4. נכנסים לכרטיסייה Networking. משנים את ההגדרות כך שיתאימו למדיניות הכניסה המותרת.
  5. שומרים את המשאב.

אם רוצים להשאיר את המשאב באותה הגדרה, צריך לעדכן את המערך. כדי לעדכן את המערך:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: UNIFORM_BUCKET_LEVEL_ACCESS_ORG_POLICY

תיאור הממצא: שירות מצב האבטחה זיהה שהגישה ברמת הקטגוריה היא מפורטת במקום אחידה.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

יש שתי אפשרויות לפתור את הממצא הזה: לעדכן את המשאב שמפר את המדיניות, או לעדכן את המערך ולפרוס אותו מחדש.

כדי לעדכן את המשאב:

  1. פותחים את סיכום הממצא.
  2. בודקים את הקטע של המשאב המושפע ומוצאים את השם המלא של המשאב שמפר את מדיניות התצורה.
  3. לוחצים על השם המלא של המשאב כדי לפתוח את הפרטים שלו.
  4. לוחצים על הכרטיסייה Permissions. בכרטיס בקרת גישה, לוחצים על Switch to uniform.
  5. בוחרים את המדים ולוחצים על "שמירה".

אם רוצים להשאיר את המשאב באותה הגדרה, צריך לעדכן את המערך. כדי לעדכן את המערך:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

שם הקטגוריה ב-API: ALLOWED_VPC_EGRESS_ORG_POLICY

תיאור הממצא: שירות מצב האבטחה זיהה ששירות Cloud Run לא עומד בהגדרות שצוינו לתעבורת נתונים יוצאת.

רמת תמחור: פרימיום

כדי לתקן את הממצא הזה :

יש שתי אפשרויות לפתור את הממצא הזה: לעדכן את המשאב שמפר את המדיניות, או לעדכן את המערך ולפרוס אותו מחדש.

כדי לעדכן את המשאב:

  1. פותחים את סיכום הממצא.
  2. בודקים את הקטע של המשאב המושפע ומוצאים את השם המלא של המשאב שמפר את מדיניות התצורה.
  3. לוחצים על השם המלא של המשאב כדי לפתוח את הפרטים שלו.
  4. לוחצים על Edit & deploy new revision ואז על הכרטיסייה Networking. בקטע Connect to a VPC for outbound traffic, משנים את ההגדרה Traffic routing כך שתתאים למדיניות תעבורת הנתונים היוצאת המותרת.
  5. פורסים את המשאב.

אם רוצים להשאיר את המשאב באותה הגדרה, צריך לעדכן את המערך. כדי לעדכן את המערך:

  1. מעדכנים את הקובץ posture.yaml עם השינוי.
  2. מריצים את הפקודה gcloud scc postures update. הוראות מפורטות זמינות במאמר עדכון הגדרות המדיניות במערך.
  3. פורסים את הגדרת האבטחה המעודכנת עם מזהה הגרסה החדש. הוראות מפורטות זמינות במאמר עדכון פריסה של מערך אבטחה.

ממצאים של Model Armor

Standard-legacy,‏ Standard,‏ Premium ו-Enterprise (הוצאה משימוש)

‫Model Armor הוא שירות מנוהל Google Cloudשמשפר את האבטחה והבטיחות של אפליקציות AI על ידי סריקת ההנחיות והתשובות של מודל ה-LLM כדי לאתר סיכוני אבטחה ובטיחות שונים.

בטבלה הבאה מפורטים הממצאים של Security Command Center שנוצרים על ידי Model Armor.

ממצא סיכום

שם הקטגוריה ב-API: FLOOR_SETTINGS_VIOLATION

תיאור הממצא: הפרה של הגדרת הרף שמתרחשת כשתבנית של "הגנה מוגברת על המודל" לא עומדת בתקני האבטחה המינימליים שמוגדרים בהגדרות הרף של היררכיית המשאבים.

סיווג הממצא: הגדרה שגויה

רמת תמחור: פרימיום

תיקון הממצא הזה:

כדי לפתור את הבעיה, צריך לעדכן את התבנית של Model Armor בהתאם להגדרות המינימום שנקבעו בהיררכיית המשאבים.

בדיקת הממצאים במסוף Google Cloud

  1. במסוף Google Cloud , נכנסים לדף Findings של Security Command Center.

    כניסה לדף Findings

  2. בוחרים את הפרויקט או הארגון ב- Google Cloud .
  3. בקטע מסננים מהירים, בקטע המשנה השם המוצג של המקור, בוחרים באפשרות הגנה מוגברת על המודל. תוצאות השאילתה של הממצאים מתעדכנות ומוצגים רק הממצאים מהמקור הזה.
  4. כדי לראות את הפרטים של ממצא ספציפי, לוחצים על שם הממצא בעמודה Category. חלונית הפרטים של הממצא נפתחת ומוצגת הכרטיסייה Summary.
  5. בכרטיסייה Summary, בודקים את פרטי הממצא, כולל מידע על מה שזוהה, המשאב המושפע, ואם יש, השלבים שאפשר לבצע כדי לתקן את הממצא.
  6. אופציונלי: כדי לראות את הגדרת ה-JSON המלאה של הממצא, לוחצים על הכרטיסייה JSON.

תיקון הממצאים של Model Armor

הממצא FLOOR_SETTINGS_VIOLATION מציין שהתבנית של Model Armor לא עמדה בתקני האבטחה המינימליים שמוגדרים בהגדרות המינימום של היררכיית המשאבים.

כדי לתקן את הממצא הזה:

  1. נכנסים לדף Model Armor במסוף Google Cloud .
  2. מוודאים שאתם צופים בפרויקט שבו הפעלתם את Model Armor. בדף Model Armor מופיעה רשימה של התבניות שנוצרו בפרויקט.
  3. לוחצים על התבנית שרוצים לשנות.
  4. משנים את התבנית בהתאם להגדרות של מחיר המינימום שנקבעו בהיררכיית המשאבים.
  5. לוחצים על Save.

VM Manager

‫VM Manager היא חבילת כלים לניהול מערכות הפעלה של קבוצות גדולות של מכונות וירטואליות (VM) שמריצות Windows ו-Linux ב-Compute Engine.

אם מפעילים את VM Manager ברמת הארגון, המערכת כותבת את הממצאים מדוחות נקודות החולשה (גרסת טרום-השקה (Preview)) ב-Security Command Center. הדוחות מזהים נקודות חולשה במערכות ההפעלה שמותקנות במכונות הווירטואליות, כולל נקודות חולשה וחשיפות נפוצות (CVE).

כדי להשתמש ב-VM Manager עם הפעלות ברמת הפרויקט של Security Command Center Premium, צריך להפעיל את Security Command Center Standard בארגון ההורה.

דוחות על נקודות חולשה לא זמינים ב-Security Command Center Standard.

הממצאים מפשטים את תהליך השימוש בתכונה Patch Compliance (גרסת טרום-השקה (Preview)) של VM Manager. התכונה מאפשרת לכם לבצע ניהול תיקונים ברמת הארגון בכל הפרויקטים.

רמת החומרה של ממצאי נקודות החולשה שמתקבלים מ-VM Manager היא תמיד CRITICAL או HIGH.

ממצאים של VM Manager

כל נקודות החולשה מהסוג הזה קשורות לחבילות של מערכות הפעלה שמותקנות במכונות וירטואליות נתמכות של Compute Engine.

גלאי סיכום הגדרות סריקת נכסים

שם הקטגוריה ב-API: OS_VULNERABILITY

תיאור הממצא: VM Manager זיהה נקודת חולשה בחבילת מערכת ההפעלה (OS) שמותקנת במכונה וירטואלית של Compute Engine.

רמת תמחור: פרימיום

נכסים נתמכים

compute.googleapis.com/Instance

תיקון הממצא הזה

דוחות נקודות החולשה של VM Manager מפרטים את נקודות החולשה בחבילות של מערכות ההפעלה שמותקנות במכונות הווירטואליות של Compute Engine, כולל נקודות חולשה וחשיפות נפוצות (CVE).

כאן תוכלו למצוא רשימה מלאה של מערכות ההפעלה הנתמכות.

הממצאים מופיעים ב-Security Command Center זמן קצר אחרי שזוהו נקודות החולשה. דוחות נקודות החולשה ב-VM Manager נוצרים באופן הבא:

  • כשמתקינים או מעדכנים חבילה במערכת ההפעלה של VM, המידע על חשיפות ונקודות חולשה נפוצות (CVE) של ה-VM אמור להופיע ב-Security Command Center תוך שעתיים מהשינוי.
  • כשמתפרסמות התראות אבטחה חדשות למערכת הפעלה, בדרך כלל עדכוני ה-CVE זמינים תוך 24 שעות אחרי שספק מערכת ההפעלה מפרסם את ההתראה.

בדיקת הממצאים במסוף

  1. במסוף Google Cloud , נכנסים לדף Findings של Security Command Center.

    כניסה לדף Findings

  2. בוחרים את הפרויקט או הארגון ב- Google Cloud .
  3. בקטע Quick filters, בקטע המשנה Source display name, בוחרים באפשרות VM Manager. תוצאות השאילתה של הממצאים מתעדכנות ומוצגים רק הממצאים מהמקור הזה.
  4. כדי לראות את הפרטים של ממצא ספציפי, לוחצים על שם הממצא בעמודה Category. חלונית הפרטים של הממצא נפתחת ומוצגת הכרטיסייה Summary.
  5. בכרטיסייה Summary, בודקים את פרטי הממצא, כולל מידע על מה שזוהה, המשאב המושפע, ואם יש, השלבים שאפשר לבצע כדי לתקן את הממצא.
  6. אופציונלי: כדי לראות את הגדרת ה-JSON המלאה של הממצא, לוחצים על הכרטיסייה JSON.

תיקון הממצאים של VM Manager

ממצא מסוג OS_VULNERABILITY מציין ש-VM Manager מצא נקודת חולשה בחבילות של מערכת ההפעלה שמותקנות במכונה וירטואלית של Compute Engine.

כדי לתקן את הממצא הזה:

  1. פותחים ממצא של OS vulnerability וצופים בהגדרת ה-JSON שלו.

  2. מעתיקים את הערך של השדה externalUri. הערך הזה הוא ה-URI של הדף OS info של המכונה הווירטואלית ב-Compute Engine שבה מותקנת מערכת ההפעלה עם נקודת החולשה.

  3. מחילים את כל התיקונים המתאימים למערכת ההפעלה שמוצגת בקטע מידע בסיסי. במאמר יצירת משימות תיקון מוסבר איך פורסים תיקונים.

מידע על הנכסים הנתמכים והגדרות הסריקה של סוג הממצא הזה

השתקת ממצאים של VM Manager

אם הממצאים של VM Manager לא רלוונטיים לדרישות האבטחה שלכם, אתם יכולים להסתיר חלק מהם או את כולם ב-Security Command Center.

כדי להסתיר ממצאים של VM Manager, אתם יכולים ליצור כלל להשתקת ממצאים ולהוסיף מאפייני שאילתה ספציפיים לממצאים של VM Manager שאתם רוצים להסתיר.

למידע על יצירת כלל להשתקת ממצאים, ראו יצירת כלל להשתקת ממצאים.

לדוגמה, אם רוצים להסתיר מזהי CVE ספציפיים בממצאי נקודות החולשה של VM Manager, בוחרים באפשרות Vulnerability > CVE ID, ואז בוחרים את מזהי ה-CVE שרוצים להסתיר.

השדה Findings query של הכלל להשתקת ממצאים נראה בערך כך:

parent_display_name="VM Manager"
AND vulnerability.cve.id="CVE-2025-26923" OR vulnerability.cve.id="CVE-2025-27635"

ממצאים של הערכת נקודות חולשה ב-Agent Platform

זיהוי נקודות חולשה

הכלי "הערכת נקודות חולשה ב-Agent Platform" מזהה נקודות חולשה בתוכנה (CVE) בעומסי עבודה אג'נטיים שנפרסו באמצעות Gemini Enterprise Agent Platform.

הממצאים הם מסוג VULNERABILITY ורמת החומרה שלהם היא HIGH או CRITICAL.

כדי לפתור את הממצא, מעדכנים את הדרישות של הנציג או את ההגדרה של מאגר בהתאמה אישית כך שישתמשו בגרסה מאובטחת של החבילה, כפי שצוין בשדה Fixed package.

זיהוי סודות

הכלי "הערכת נקודות חולשה ב-Agent Platform" סורק באופן אוטומטי ורציף סודות בטקסט פשוט בתמונות של Agent Platform שנפרסו על ידי הלקוח, ומפיק ממצאים ב-Security Command Center.

כל ממצא מזהה את ה-URI של Agent Platform, מאגר התמונות, סוג הסוד והנתיב.

הממצאים הם מסוג SECRET וברמת חומרה CRITICAL.

חומר עזר בנושא ממצאים

גלאי סיכום

שם הקטגוריה ב-API: SOFTWARE_VULNERABILITY

כיתה: VULNERABILITY

רמת החומרה: CRITICAL או HIGH

תיאור הממצא: זוהתה נקודת חולשה בתוכנה (CVE) בעומס עבודה של סוכן שנפרס באמצעות Agent Platform. הסורק הזה מעריך באופן אוטומטי קוד מותאם אישית ויחסי תלות בתוך המכונה התפעולית.

רמת תמחור: פרימיום או ארגונית

כדי לתקן את הממצא הזה :

בודקים את פרטי הממצא כדי לזהות את החבילה והגרסה שהושפעו. כדי לפתור את הבעיה, צריך לעדכן את הדרישות של הסוכן או את ההגדרה של הקונטיינר בהתאמה אישית כך שישתמשו בגרסה מאובטחת של החבילה, ואז לפרוס מחדש את המכונה של Agent Platform.

שם הקטגוריה ב-API: SECRETS_IN_AGENT_ENGINE

כיתה: SECRET

מידת החוּמרה: CRITICAL

תיאור הממצא: פרטי כניסה בטקסט פשוט מסוג <TYPE> נמצאו בשכבת התמונה בנתיב: <PATH>.

רמת תמחור: פרימיום או ארגונית

כדי לתקן את הממצא הזה :

  • בודקים את הממצא כדי לאמת את פרטי הסוד, ואז מבטלים או מחליפים את פרטי הכניסה שנחשפו.
  • מסירים את הסוד בטקסט פשוט מקובץ ה-Docker, מקוד המקור או מקובצי התצורה שמשמשים ליצירת קובץ האימג'.
  • כדאי להטמיע פתרון מאובטח לניהול סודות, כמו Secret Manager, כדי לאחסן סודות ולגשת אליהם בצורה מאובטחת בזמן הריצה.
  • יוצרים מחדש את המכונה של Agent Platform ופורסים אותה מחדש עם קובץ האימג' המתוקן.

מידע נוסף זמין במאמר הגדרת ניהול סיכונים במערכות AI.

ממצאים של הערכת נקודות חולשה ב-Artifact Registry

בטבלה הבאה מפורטים ממצאים שמתריעים על נקודות חולשה פוטנציאליות שזוהו בקובצי האימג' של הקונטיינרים. הממצאים האלה נוצרים רק לגבי קובצי אימג' של קונטיינרים עם נקודות חולשה שמאוחסנים ב-Artifact Registry ונפרסים באחד מהנכסים הבאים:

  • אשכול של Google Kubernetes Engine
  • שירות Cloud Run
  • משימה ב-Cloud Run
  • App Engine

הממצאים האלה מסווגים לפי רמת חומרה HIGH או CRITICAL.

במאמר שירות הזיהוי של הערכת נקודות חולשה ב-Artifact Registry מוסבר איך להפעיל, להשבית ולראות את הממצאים של הערכת נקודות החולשה ב-Artifact Registry במסוף Google Cloud .

גלאי סיכום

שם הקטגוריה ב-API: CONTAINER_IMAGE_VULNERABILITY

תיאור הממצא: זוהתה נקודת חולשה בקובץ אימג' של קונטיינר שנסרק ב-Artifact Registry. התמונה הזו פרוסה באחד מהנכסים הבאים:

  • אשכול של Google Kubernetes Engine
  • שירות Cloud Run
  • משימה ב-Cloud Run
  • App Engine

רמת תמחור: רגילה, פרימיום או ארגונית

כדי לתקן את הממצא הזה :

בהתאם לסוג המשאב, מבצעים את הפעולות הבאות:

  • במשימות או בהפעלות של Cloud Run, מעדכנים את הגדרות המשימה עם גרסת קובץ אימג' קבועה. הממצא נפתר אם משימת Cloud Run עם גרסת האימג' הפגיעה לא מופעלת במשך 12 שעות.
  • בשירותים או בגרסאות של Cloud Run, מקצים תנועה לגרסה אחרת שנפרסה עם גרסת קובץ אימג' קבועה. מוודאים שהתנועה לא מוקצית לגרסה עם קובץ האימג' הפגיע.
  • בנכסים של Google Kubernetes Engine או App Engine, משדרגים או מוחקים את גרסת קובץ האימג' של הקונטיינר.

כדי לראות את השלבים הספציפיים לתיקון, צריך לעיין בפרטי הממצא בהתאם למשאב המתאים בזמן הריצה.

לקוחות עם מינוי Standard-legacy לא יכולים להשתמש בתכונה "שאילתת נכסים" של מאגר משאבי ענן כדי לזהות איפה נפרס קובץ האימג' של הקונטיינר עם נקודת החולשה. כדי לקבל מידע מפורט יותר, מומלץ לשדרג לרמת Premium או Enterprise.

Sensitive Data Protection

בקטע הזה מתוארים ממצאי נקודות החולשה שנוצרים על ידי Sensitive Data Protection, תקני התאימות שבהם הם תומכים ואיך לתקן את הממצאים.

בנוסף, Sensitive Data Protection שולח ממצאים תצפיתיים ל-Security Command Center. למידע נוסף על ממצאי התצפית ועל Sensitive Data Protection, קראו את המאמר Sensitive Data Protection.

במאמר בדיקת הממצאים של Sensitive Data Protection במסוף Google Cloud מוסבר איך לצפות בממצאים.

ממצאי פגיעויות מ-Sensitive Data Protection

שירות הגילוי של Sensitive Data Protection עוזר לכם לקבוע אם אתם מאחסנים מידע אישי רגיש מאוד שלא מוגן.

קטגוריה סיכום

שם הקטגוריה ב-API:

PUBLIC_SENSITIVE_DATA

תיאור הממצא: המשאב שצוין מכיל נתונים ברגישות גבוהה שכל אחד באינטרנט יכול לגשת אליהם.

נכסים נתמכים:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • קטגוריה של Amazon S3
  • מאגר Azure Blob Storage

תיקון:

בנתוני Google Cloud , מסירים את allUsers ואת allAuthenticatedUsers ממדיניות ה-IAM של נכס הנתונים.

בנתונים של Amazon S3, צריך להגדיר את החסימה של הגישה הציבורית או לעדכן את רשימת ה-ACL של האובייקט כדי לדחות את הגישה הציבורית לקריאה. למידע נוסף, קראו את המאמרים הגדרת חסימת גישה ציבורית לקטגוריות S3 והגדרת רשימות ACL במסמכי התיעוד של AWS.

בנתונים של Azure Blob Storage, מסירים את הגישה הציבורית למאגר ול-blobs. מידע נוסף זמין במאמר Overview: Remediating anonymous read access for blob data במסמכי התיעוד של Azure.

תקני תאימות: לא ממופים

שם הקטגוריה ב-API:

SECRETS_IN_ENVIRONMENT_VARIABLES

תיאור הממצא: יש סודות – כמו סיסמאות, אסימוני אימות ופרטי כניסה ל- Google Cloud – במשתני סביבה.

כדי להפעיל את הגלאי הזה, קראו את המאמר דיווח על סודות במשתני סביבה ל-Security Command Center במסמכי התיעוד של Sensitive Data Protection.

נכסים נתמכים:

תיקון:

במשתני הסביבה של פונקציות Cloud Run, מסירים את הסוד ממשתנה הסביבה ומאחסנים אותו ב-Secret Manager.

במשתני סביבה של גרסאות שירות ב-Cloud Run, מעבירים את כל התנועה מהגרסה ואז מוחקים אותה.

תקני תאימות:

  • ‫CIS GCP Foundation 1.3: ‏ 1.18
  • ‫CIS GCP Foundation 2.0: ‏ 1.18

שם הקטגוריה ב-API:

SECRETS_IN_STORAGE

תיאור הממצא: במשאב שצוין יש סודות, כמו סיסמאות, אסימוני אימות ופרטי כניסה לענן.

נכסים נתמכים:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • קטגוריה של Amazon S3
  • מאגר Azure Blob Storage

תיקון:

  1. לנתוני Google Cloud , משתמשים ב-Sensitive Data Protection כדי להריץ סריקה מעמיקה של המשאב שצוין ולזהות את כל המשאבים המושפעים. לנתונים ב-Cloud SQL, מייצאים את הנתונים לקובץ CSV או AVRO בקטגוריה של Cloud Storage ומריצים סריקה מעמיקה של הקטגוריה.

    לגבי נתונים מספקי שירותי ענן אחרים, צריך לבדוק ידנית את הקטגוריה או המאגר שצוינו.

  2. מסירים את הסודות שזוהו.
  3. כדאי לאפס את פרטי הכניסה.
  4. לנתוני Google Cloud , כדאי לשקול לאחסן את הסודות שזוהו ב-Secret Manager.

תקני תאימות: לא ממופים

ממצאים של הגדרות שגויות מ-Sensitive Data Protection

שירות הגילוי של Sensitive Data Protection עוזר לכם לזהות הגדרות שגויות שעלולות לחשוף מידע אישי רגיש.

קטגוריה סיכום

שם הקטגוריה ב-API:

SENSITIVE_DATA_CMEK_DISABLED

תיאור הממצא: המשאב שצוין מכיל נתונים ברגישות גבוהה או בינונית, והמשאב לא משתמש במפתח הצפנה בניהול הלקוח (CMEK).

נכסים נתמכים:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • קטגוריה של Amazon S3
  • מאגר Azure Blob Storage

תיקון:

תקני תאימות: לא ממופים

ממצאי תצפיות מ-Sensitive Data Protection

שירות הגילוי של Sensitive Data Protection עוזר לכם לקבוע אם הנתונים שלכם מכילים סוגי מידע ספציפיים, ואיפה הם נמצאים בארגון, בתיקיות ובפרויקטים. הוא יוצר את קטגוריות הממצאים הבאות של תצפיות ב-Security Command Center:

קטגוריה סיכום

שם הקטגוריה ב-API:

DATA_SENSITIVITY

תיאור הממצא: אינדיקציה לרמת הרגישות של הנתונים בנכס נתונים מסוים. נתונים נחשבים לרגישים אם הם מכילים פרטים אישיים מזהים (PII) או רכיבים אחרים שעשויים לדרוש בקרה או ניהול נוספים. חומרת הממצא היא רמת הרגישות שחושבה על ידי Sensitive Data Protection בזמן יצירת פרופיל הנתונים.

שם הקטגוריה ב-API:

DATA_RISK

תיאור הממצא: הסיכון שקשור לנתונים במצב הנוכחי שלהם. כשמחשבים את הסיכון לנתונים, Sensitive Data Protection מביא בחשבון את רמת הרגישות של הנתונים בנכס הנתונים ואת נוכחות אמצעי בקרת הגישה להגנה על הנתונים האלה. חומרת הממצא היא רמת הסיכון לנתונים שחושבה על ידי Sensitive Data Protection בזמן יצירת פרופיל הנתונים.

Policy Controller

Policy Controller מאפשר להחיל ולאכוף כללי מדיניות שניתנים לתכנות באשכולות Kubernetes שרשומים כחברים ב-fleet. כללי המדיניות האלה פועלים כמעקות בטיחות ויכולים לעזור לכם לנהל את השיטות המומלצות, האבטחה והתאימות של האשכולות וה-fleet.

בדף הזה לא מפורטים כל הממצאים של Policy Controller, אבל המידע על הממצאים של המחלקה Misconfiguration ש-Policy Controller כותב ב-Security Command Center זהה להפרות באשכולות שמתועדות בכל חבילה של Policy Controller. המסמכים של סוגי הממצאים הספציפיים של Policy Controller נמצאים בחבילות הבאות של Policy Controller:

היכולת הזו לא תואמת לגבולות גזרה לשירות של VPC Service Controls סביב Stackdriver API.

איתור ותיקון של ממצאים ב-Policy Controller

הקטגוריות של Policy Controller תואמות לשמות האילוצים שמפורטים במסמכי התיעוד של חבילות Policy Controller. לדוגמה, הממצא require-namespace-network-policies מציין שמרחב שמות מפר את המדיניות שלפיה לכל מרחב שמות באשכול יש NetworkPolicy.

כדי לתקן ממצא:

  1. במסוף Google Cloud , נכנסים לדף Findings של Security Command Center.

    כניסה לדף Findings

  2. בוחרים את הפרויקט או הארגון ב- Google Cloud .
  3. בקטע Quick filters, בסעיף המשנה Source display name, בוחרים באפשרות Policy Controller On-Cluster. תוצאות השאילתה של הממצאים מתעדכנות ומוצגים רק הממצאים מהמקור הזה.
  4. כדי לראות את הפרטים של ממצא ספציפי, לוחצים על שם הממצא בעמודה Category. חלונית הפרטים של הממצא נפתחת ומוצגת הכרטיסייה Summary.
  5. בכרטיסייה Summary, בודקים את פרטי הממצא, כולל מידע על מה שזוהה, המשאב המושפע, ואם יש, השלבים שאפשר לבצע כדי לתקן את הממצא.
  6. אופציונלי: כדי לראות את הגדרת ה-JSON המלאה של הממצא, לוחצים על הכרטיסייה JSON.

המאמרים הבאים