Temuan kerentanan

Setiap layanan membuat temuan dengan class yang berbeda. Class temuan ditentukan oleh kondisi keamanan yang membuat temuan.

Kemampuan Anda untuk melihat dan mengedit temuan ditentukan oleh peran dan izin Identity and Access Management (IAM) yang ditetapkan kepada Anda. Untuk mengetahui informasi selengkapnya tentang peran IAM di Security Command Center, lihat Kontrol akses.

Detektor dan kepatuhan

Security Command Center memantau kepatuhan Anda dengan detektor yang dipetakan ke kontrol berbagai standar keamanan.

Untuk setiap standar keamanan yang didukung, Security Command Center memeriksa sebagian kontrol. Untuk kontrol yang diperiksa, Security Command Center menunjukkan jumlah kontrol yang lulus. Untuk kontrol yang tidak lulus, Security Command Center menampilkan daftar temuan yang menjelaskan kegagalan kontrol.

CIS meninjau dan menyertifikasi pemetaan detektor Security Command Center ke setiap versi CIS Google Cloud Foundations Benchmark yang didukung. Pemetaan kepatuhan tambahan disertakan hanya untuk tujuan referensi.

Security Command Center menambahkan dukungan untuk versi dan standar tolok ukur baru secara berkala. Versi lama tetap didukung, tetapi pada akhirnya tidak digunakan lagi. Sebaiknya gunakan benchmark atau standar terbaru yang didukung dan tersedia.

Dengan layanan postur keamanan, Anda dapat memetakan kebijakan organisasi dan detektor Security Health Analytics ke standar dan kontrol yang berlaku untuk bisnis Anda. Setelah membuat postur keamanan, Anda dapat memantau setiap perubahan pada lingkungan yang dapat memengaruhi kepatuhan bisnis Anda.

Dengan Compliance Manager, Anda dapat men-deploy framework yang memetakan kontrol peraturan ke kontrol cloud. Setelah membuat framework, Anda dapat memantau setiap perubahan pada lingkungan yang mungkin memengaruhi kepatuhan bisnis dan mengaudit lingkungan Anda.

Untuk mengetahui informasi selengkapnya tentang cara mengelola kepatuhan, lihat Menilai dan melaporkan kepatuhan terhadap standar keamanan.

Standar keamanan yang didukung

Google Cloud

Security Command Center memetakan detektor untuk Google Cloud ke satu atau beberapa standar kepatuhan berikut:

AWS

Di paket layanan Enterprise (Tidak Digunakan Lagi), Security Command Center memetakan detektor untuk Amazon Web Services (AWS) ke satu atau beberapa standar kepatuhan berikut:

Untuk mengetahui petunjuk tentang cara melihat dan mengekspor laporan kepatuhan, lihat Menilai dan melaporkan kepatuhan terhadap standar keamanan.

Temuan Security Health Analytics

Detektor Security Health Analytics memantau subset resource dari Inventaris Aset Cloud (CAI), menerima notifikasi perubahan resource dan kebijakan Identity and Access Management (IAM). Beberapa detektor mengambil data dengan langsung memanggil API Google Cloud , seperti yang ditunjukkan dalam tabel di bagian selanjutnya di halaman ini.

Untuk mengetahui informasi selengkapnya tentang Security Health Analytics, jadwal pemindaian, dan dukungan Security Health Analytics untuk detektor modul bawaan dan kustom, lihat Ringkasan Security Health Analytics.

Tabel berikut menjelaskan detektor Security Health Analytics, aset dan standar kepatuhan yang didukung, setelan yang digunakan untuk pemindaian, dan jenis temuan yang dihasilkan. Anda dapat memfilter temuan berdasarkan berbagai atribut di halaman konsol Google Cloud berikut:

  • Halaman Vulnerabilities
  • Halaman Risk Overview > dasbor Vulnerabilities

Untuk mengetahui petunjuk tentang cara memperbaiki temuan dan melindungi resource Anda, lihat Memperbaiki temuan Security Health Analytics.

Temuan kerentanan kunci API

Detektor API_KEY_SCANNER mengidentifikasi kerentanan yang terkait dengan kunci API yang digunakan dalam deployment cloud Anda.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: API_KEY_APIS_UNRESTRICTED

Deskripsi temuan: Ada kunci API yang digunakan terlalu luas. Untuk mengatasi hal ini, batasi penggunaan kunci API agar hanya mengizinkan API yang diperlukan oleh aplikasi.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.12
  • CIS GCP Foundation 1.1: 1.14
  • CIS GCP Foundation 1.2: 1.14
  • CIS GCP Foundation 1.3: 1.14
  • CIS GCP Foundation 2.0: 1.14
  • CIS GCP Foundation 3.0: 1.14
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

Mengambil properti restrictions dari semua kunci API dalam project, memeriksa apakah ada yang ditetapkan ke cloudapis.googleapis.com.

  • Pemindaian real-time: Tidak

Nama kategori di API: API_KEY_APPS_UNRESTRICTED

Deskripsi temuan: Ada kunci API yang digunakan tanpa batasan, sehingga dapat digunakan oleh aplikasi yang tidak tepercaya.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.11
  • CIS GCP Foundation 1.1: 1.13
  • CIS GCP Foundation 1.2: 1.13
  • CIS GCP Foundation 1.3: 1.13
  • CIS GCP Foundation 2.0: 1.13
  • CIS GCP Foundation 3.0: 1.13

Mengambil properti restrictions dari semua kunci API dalam project, memeriksa apakah browserKeyRestrictions, serverKeyRestrictions, androidKeyRestrictions, atau iosKeyRestrictions ditetapkan.

  • Pemindaian real-time: Tidak

Nama kategori di API: API_KEY_EXISTS

Deskripsi temuan: Project menggunakan kunci API, bukan autentikasi standar.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.10
  • CIS GCP Foundation 1.1: 1.12
  • CIS GCP Foundation 1.2: 1.12
  • CIS GCP Foundation 1.3: 1.12
  • CIS GCP Foundation 2.0: 1.12
  • CIS GCP Foundation 3.0: 1.12
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

Mengambil semua kunci API yang dimiliki oleh sebuah project.

  • Pemindaian real-time: Tidak

Nama kategori di API: API_KEY_NOT_ROTATED

Deskripsi temuan: Kunci API belum dirotasi selama lebih dari 90 hari.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.13
  • CIS GCP Foundation 1.1: 1.15
  • CIS GCP Foundation 1.2: 1.15
  • CIS GCP Foundation 1.3: 1.15
  • CIS GCP Foundation 2.0: 1.15
  • CIS GCP Foundation 3.0: 1.15
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

Mengambil stempel waktu yang terdapat dalam properti createTime dari semua kunci API, memeriksa apakah 90 hari telah berlalu.

  • Pemindaian real-time: Tidak

Temuan kerentanan Inventaris Aset Cloud

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi Inventaris Aset Cloud dan termasuk dalam jenis CLOUD_ASSET_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: CLOUD_ASSET_API_DISABLED

Deskripsi temuan: Pengambilan resource Google Cloud dan kebijakan IAM oleh Inventaris Aset Cloud memungkinkan analisis keamanan, pelacakan perubahan resource, dan audit kepatuhan. Sebaiknya layanan Inventaris Aset Cloud diaktifkan untuk semua project. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.3: 2.13
  • CIS GCP Foundation 2.0: 2.13
  • CIS GCP Foundation 3.0: 2.13
  • NIST 800-53 R5: CM-8, PM-5
  • PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1
  • ISO-27001 v2022: A.5.9, A.8.8
  • Cloud Controls Matrix 4: UEM-04
  • NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3
  • SOC2 v2017: CC3.2.6, CC6.1.1
  • HIPAA: 164.310(d)(2)(iii)
  • CIS Controls 8.0: 1.1, 6.6

Memeriksa apakah layanan Inventaris Aset Cloud diaktifkan.

  • Pemindaian real-time: Tidak

Temuan kerentanan penyimpanan

Kerentanan jenis detektor ini semuanya berkaitan dengan konfigurasi Bucket Cloud Storage, dan termasuk dalam jenisSTORAGE_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: BUCKET_CMEK_DISABLED

Deskripsi temuan: Bucket tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
storage.googleapis.com/Bucket

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa kolom encryption dalam metadata bucket untuk nama resource CMEK Anda.

  • Pemindaian real-time: Ya

Nama kategori di API: BUCKET_POLICY_ONLY_DISABLED

Deskripsi temuan: Akses level bucket yang seragam, yang sebelumnya disebut Bucket Policy Only, tidak dikonfigurasi.

Tingkat harga: Premium

Aset yang didukung
storage.googleapis.com/Bucket

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 5.2
  • CIS GCP Foundation 1.3: 5.2
  • CIS GCP Foundation 2.0: 5.2
  • CIS GCP Foundation 3.0: 5.2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Memeriksa apakah properti uniformBucketLevelAccess di bucket ditetapkan ke "enabled":false

  • Pemindaian real-time: Ya

Nama kategori di API: PUBLIC_BUCKET_ACL

Deskripsi temuan: Bucket Cloud Storage dapat diakses secara publik.

Tingkat harga: Premium atau Standard

Aset yang didukung
storage.googleapis.com/Bucket

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 5.1
  • CIS GCP Foundation 1.1: 5.1
  • CIS GCP Foundation 1.2: 5.1
  • CIS GCP Foundation 1.3: 5.1
  • CIS GCP Foundation 2.0: 5.1
  • CIS GCP Foundation 3.0: 5.1
  • NIST 800-53 R4: AC-2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Memeriksa kebijakan izin IAM bucket untuk peran publik, allUsers atau allAuthenticatedUsers.

  • Pemindaian real-time: Ya

Nama kategori di API: PUBLIC_LOG_BUCKET

Deskripsi temuan: Bucket penyimpanan yang digunakan sebagai sink log dapat diakses secara publik.

Temuan ini tidak tersedia untuk aktivasi level project.

Tingkat harga: Premium atau Standard

Aset yang didukung
storage.googleapis.com/Bucket

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: AU-9
  • PCI-DSS v3.2.1: 10.5
  • ISO-27001 v2013: A.12.4.2, A.18.1.3, A.8.2.3

Memeriksa kebijakan izin IAM bucket untuk akun utama allUsers atau allAuthenticatedUsers, yang memberikan akses publik.

  • Input tambahan: Membaca sink log (filter log dan tujuan log) untuk bucket guna menentukan apakah bucket tersebut adalah bucket log
  • Pemindaian real-time: Ya, tetapi hanya jika kebijakan IAM pada bucket berubah, bukan jika sink log diubah

Temuan kerentanan image Compute

Detektor COMPUTE_IMAGE_SCANNER mengidentifikasi kerentanan yang terkait dengan konfigurasi imageGoogle Cloud .

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: PUBLIC_COMPUTE_IMAGE

Deskripsi temuan: Image Compute Engine dapat diakses secara publik.

Tingkat harga: Premium atau Standard

Aset yang didukung
compute.googleapis.com/Image

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa kebijakan izin IAM dalam metadata resource untuk akun utama allUsers atau allAuthenticatedUsers, yang memberikan akses publik.

  • Pemindaian real-time: Ya

Temuan kerentanan instance komputasi

Detektor COMPUTE_INSTANCE_SCANNER mengidentifikasi kerentanan yang terkait dengan konfigurasi instance Compute Engine.

Detektor COMPUTE_INSTANCE_SCANNER tidak melaporkan temuan pada instance Compute Engine yang dibuat oleh GKE. Instance tersebut memiliki nama yang dimulai dengan "gke-", yang tidak dapat diedit oleh pengguna. Untuk mengamankan instance ini, lihat bagian Temuan kerentanan container.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: CONFIDENTIAL_COMPUTING_DISABLED

Deskripsi temuan: Confidential Computing dinonaktifkan di instance Compute Engine.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 4.11
  • CIS GCP Foundation 1.3: 4.11
  • CIS GCP Foundation 2.0: 4.11
  • CIS GCP Foundation 3.0: 4.11
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Memeriksa properti confidentialInstanceConfig metadata instance untuk key-value pair "enableConfidentialCompute":true.

  • Aset yang dikecualikan dari pemindaian:
    • Instance GKE
    • Akses VPC Serverless
    • Instance yang terkait dengan tugas Dataflow
    • Instance Compute Engine yang bukan jenis N2D
  • Pemindaian real-time: Ya

Nama kategori di API: COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

Deskripsi temuan: Kunci SSH di seluruh project digunakan, sehingga memungkinkan login ke semua instance dalam project.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 4.2
  • CIS GCP Foundation 1.1: 4.3
  • CIS GCP Foundation 1.2: 4.3
  • CIS GCP Foundation 1.3: 4.3
  • CIS GCP Foundation 2.0: 4.3
  • CIS GCP Foundation 3.0: 4.3
  • NIST 800-53 R5: AC-17, IA-5, SC-8
  • PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2
  • ISO-27001 v2022: A.5.14
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-2
  • SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.10, 5.2

Memeriksa objek metadata.items[] dalam metadata instance untuk key-value pair "key": "block-project-ssh-keys", "value": TRUE.

  • Aset yang dikecualikan dari pemindaian: instance GKE, tugas Dataflow, instance Windows
  • Izin IAM tambahan: roles/compute.Viewer
  • Input tambahan: Membaca metadata dari Compute Engine
  • Pemindaian real-time: Tidak

Nama kategori di API: COMPUTE_SECURE_BOOT_DISABLED

Deskripsi temuan: Shielded VM ini tidak mengaktifkan Booting Aman. Penggunaan Booting Aman membantu melindungi instance virtual machine dari ancaman tingkat lanjut seperti rootkit dan bootkit.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Instance

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa properti shieldedInstanceConfig pada instance Compute Engine untuk menentukan apakah enableSecureBoot ditetapkan ke true. Detektor ini memeriksa apakah disk yang terpasang kompatibel dengan Booting Aman dan Booting Aman diaktifkan.

  • Aset yang dikecualikan dari pemindaian: Instance GKE, disk Compute Engine yang memiliki akselerator GPU dan tidak menggunakan Container-Optimized OS, Akses VPC Serverless
  • Pemindaian real-time: Ya

Nama kategori di API: COMPUTE_SERIAL_PORTS_ENABLED

Deskripsi temuan: Port serial diaktifkan untuk instance, sehingga memungkinkan koneksi ke konsol serial instance.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 4.4
  • CIS GCP Foundation 1.1: 4.5
  • CIS GCP Foundation 1.2: 4.5
  • CIS GCP Foundation 1.3: 4.5
  • CIS GCP Foundation 2.0: 4.5
  • CIS GCP Foundation 3.0: 4.5
  • NIST 800-53 R5: CM-6, CM-7
  • PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1
  • ISO-27001 v2022: A.8.9
  • SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4
  • CIS Controls 8.0: 4.8

Memeriksa objek metadata.items[] dalam metadata instance untuk key-value pair "key": "serial-port-enable", "value": TRUE.

  • Aset yang dikecualikan dari pemindaian: Instance GKE
  • Izin IAM tambahan: roles/compute.Viewer
  • Input tambahan: Membaca metadata dari Compute Engine
  • Pemindaian real-time: Ya

Nama kategori di API: DEFAULT_SERVICE_ACCOUNT_USED

Deskripsi temuan: Instance dikonfigurasi untuk menggunakan akun layanan default.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 4.1
  • CIS GCP Foundation 1.2: 4.1
  • CIS GCP Foundation 1.3: 4.1
  • CIS GCP Foundation 2.0: 4.1
  • CIS GCP Foundation 3.0: 4.1
  • NIST 800-53 R5: IA-5
  • PCI-DSS v4.0: 2.2.2, 2.3.1
  • ISO-27001 v2022: A.8.2, A.8.9
  • NIST Cybersecurity Framework 1.0: PR-AC-1
  • SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 4.7

Memeriksa properti serviceAccounts dalam metadata instance untuk setiap alamat email akun layanan dengan awalan PROJECT_NUMBER-compute@, yang menunjukkan akun layanan default yang dibuat Google.

  • Aset yang dikecualikan dari pemindaian: Instance GKE, tugas Dataflow
  • Pemindaian real-time: Ya

Nama kategori di API: DISK_CMEK_DISABLED

Deskripsi temuan: Disk di VM ini tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Disk

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa kolom kmsKeyName di objek diskEncryptionKey, dalam metadata disk, untuk nama resource CMEK Anda.

  • Aset yang dikecualikan dari pemindaian: Disk yang terkait dengan lingkungan Managed Airflow, tugas Dataflow, dan instance GKE
  • Pemindaian real-time: Ya

Nama kategori di API: DISK_CSEK_DISABLED

Deskripsi temuan: Disk pada VM ini tidak dienkripsi dengan Kunci Enkripsi yang Disediakan Pelanggan (CSEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Pendeteksi kasus khusus.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Disk

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 4.6
  • CIS GCP Foundation 1.1: 4.7
  • CIS GCP Foundation 1.2: 4.7
  • CIS GCP Foundation 1.3: 4.7
  • CIS GCP Foundation 2.0: 4.7
  • CIS GCP Foundation 3.0: 4.7
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Memeriksa kolom sha256 di objek diskEncryptionKey untuk nama resource CSEK Anda.

  • Aset yang dikecualikan dari pemindaian:
    Disk Compute Engine tanpa tanda keamanan enforce_customer_supplied_disk_encryption_keys yang ditetapkan ke true
  • Izin IAM tambahan: roles/compute.Viewer
  • Input tambahan: Membaca metadata dari Compute Engine
  • Pemindaian real-time: Ya

Nama kategori di API: FULL_API_ACCESS

Deskripsi temuan: Instance dikonfigurasi untuk menggunakan akun layanan default dengan akses penuh ke semua API Google Cloud.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 4.1
  • CIS GCP Foundation 1.1: 4.2
  • CIS GCP Foundation 1.2: 4.2
  • CIS GCP Foundation 1.3: 4.2
  • CIS GCP Foundation 2.0: 4.2
  • CIS GCP Foundation 3.0: 4.2
  • NIST 800-53 R4: AC-6
  • NIST 800-53 R5: IA-5
  • PCI-DSS v3.2.1: 7.1.2
  • PCI-DSS v4.0: 2.2.2, 2.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.8.2, A.8.9
  • NIST Cybersecurity Framework 1.0: PR-AC-1
  • SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 4.7

Mengambil kolom scopes di properti serviceAccounts untuk memeriksa apakah akun layanan default digunakan dan apakah akun tersebut diberi cakupan cloud-platform.

  • Aset yang dikecualikan dari pemindaian: Instance GKE, tugas Dataflow
  • Pemindaian real-time: Ya

Nama kategori di API: HTTP_LOAD_BALANCER

Deskripsi temuan: Instance menggunakan load balancer yang dikonfigurasi untuk menggunakan proxy HTTP target, bukan proxy HTTPS target.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/TargetHttpProxy

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • PCI-DSS v3.2.1: 2.3

Menentukan apakah properti selfLink dari resource targetHttpProxy cocok dengan atribut target dalam aturan penerusan, dan apakah aturan penerusan berisi kolom loadBalancingScheme yang ditetapkan ke External.

  • Izin IAM tambahan: roles/compute.Viewer
  • Input tambahan: Membaca aturan penerusan untuk proxy HTTP target dari Compute Engine, memeriksa aturan eksternal
  • Pemindaian real-time: Ya

Nama kategori di API: INSTANCE_OS_LOGIN_DISABLED

Deskripsi temuan: Login OS dinonaktifkan pada instance ini.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 4.3
  • CIS GCP Foundation 1.1: 4.4
  • CIS GCP Foundation 1.2: 4.4
  • CIS GCP Foundation 1.3: 4.4
  • CIS GCP Foundation 2.0: 4.4
  • NIST 800-53 R5: AC-2
  • ISO-27001 v2022: A.5.15
  • SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9
  • CIS Controls 8.0: 5.6, 6.7

Memeriksa apakah properti enable-oslogin dari Custom metadata instance ditetapkan ke TRUE.

  • Aset yang dikecualikan dari pemindaian: Instance GKE, instance yang terkait dengan tugas Dataflow, Akses VPC Serverless
  • Izin IAM tambahan: roles/compute.Viewer
  • Input tambahan: Membaca metadata dari Compute Engine.
  • Pemindaian real-time: Tidak

Nama kategori di API: IP_FORWARDING_ENABLED

Deskripsi temuan: Penerusan IP diaktifkan pada instance.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 4.5
  • CIS GCP Foundation 1.1: 4.6
  • CIS GCP Foundation 1.2: 4.6
  • CIS GCP Foundation 1.3: 4.6
  • CIS GCP Foundation 2.0: 4.6
  • CIS GCP Foundation 3.0: 4.6
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

Memeriksa apakah properti canIpForward instance ditetapkan ke true.

  • Aset yang dikecualikan dari pemindaian: Instance GKE, Akses VPC Serverless
  • Pemindaian real-time: Ya

Nama kategori di API: OS_LOGIN_DISABLED

Deskripsi temuan: Login OS dinonaktifkan di project ini.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 4.3
  • CIS GCP Foundation 1.1: 4.4
  • CIS GCP Foundation 1.2: 4.4
  • CIS GCP Foundation 1.3: 4.4
  • CIS GCP Foundation 2.0: 4.4
  • NIST 800-53 R5: AC-2
  • ISO-27001 v2022: A.5.15
  • SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9
  • CIS Controls 8.0: 5.6, 6.7

Memeriksa objek commonInstanceMetadata.items[] dalam metadata project untuk key-value pair, "key": "enable-oslogin", "value": TRUE. Detektor juga memeriksa semua instance dalam project Compute Engine untuk menentukan apakah Login OS dinonaktifkan untuk instance tertentu.

  • Aset yang dikecualikan dari pemindaian: Instance GKE, instance yang terkait dengan tugas Dataflow
  • Izin IAM tambahan: roles/compute.Viewer
  • Input tambahan: Membaca metadata dari Compute Engine. Detektor juga memeriksa instance Compute Engine dalam project
  • Pemindaian real-time: Tidak

Nama kategori di API: PUBLIC_IP_ADDRESS

Deskripsi temuan: Instance memiliki alamat IP publik.

Tingkat harga: Premium atau Standard

Aset yang didukung
compute.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 4.9
  • CIS GCP Foundation 1.2: 4.9
  • CIS GCP Foundation 1.3: 4.9
  • CIS GCP Foundation 2.0: 4.9
  • CIS GCP Foundation 3.0: 4.9
  • NIST 800-53 R4: CA-3, SC-7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Memeriksa apakah properti networkInterfaces berisi kolom accessConfigs, yang menunjukkan bahwa properti tersebut dikonfigurasi untuk menggunakan alamat IP publik.

  • Aset yang dikecualikan dari pemindaian: Instance GKE, instance yang terkait dengan tugas Dataflow
  • Pemindaian real-time: Ya

Nama kategori di API: SHIELDED_VM_DISABLED

Deskripsi temuan: Shielded VM dinonaktifkan pada instance ini.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 4.8
  • CIS GCP Foundation 1.2: 4.8
  • CIS GCP Foundation 1.3: 4.8
  • CIS GCP Foundation 2.0: 4.8
  • CIS GCP Foundation 3.0: 4.8

Memeriksa properti shieldedInstanceConfig di instance Compute Engine untuk menentukan apakah kolom enableIntegrityMonitoring dan enableVtpm ditetapkan ke true. Kolom ini menunjukkan apakah Shielded VM diaktifkan.

  • Aset yang dikecualikan dari pemindaian: Instance GKE dan Akses VPC Serverless
  • Pemindaian real-time: Ya

Nama kategori di API: WEAK_SSL_POLICY

Deskripsi temuan: Instance memiliki kebijakan SSL yang lemah.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/TargetHttpsProxy
compute.googleapis.com/TargetSslProxy

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 3.9
  • CIS GCP Foundation 1.2: 3.9
  • CIS GCP Foundation 1.3: 3.9
  • CIS GCP Foundation 2.0: 3.9
  • CIS GCP Foundation 3.0: 3.9
  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.14.1.3

Memeriksa apakah sslPolicy dalam metadata aset kosong atau menggunakan kebijakan default Google Cloud dan, untuk resource sslPolicies yang dilampirkan, apakah profile ditetapkan ke Restricted atau Modern, minTlsVersion ditetapkan ke TLS 1.2, dan customFeatures kosong atau tidak berisi cipher berikut: TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA.

  • Izin IAM tambahan: roles/compute.Viewer
  • Input tambahan: Membaca kebijakan SSL untuk penyimpanan proxy target, memeriksa kebijakan yang lemah
  • Pemindaian real-time: Ya, tetapi hanya saat TargetHttpsProxy dari TargetSslProxy diperbarui, bukan saat kebijakan SSL diperbarui

Temuan kerentanan container

Semua jenis temuan ini terkait dengan konfigurasi container GKE, dan termasuk dalam jenis detektor CONTAINER_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: ALPHA_CLUSTER_ENABLED

Deskripsi temuan: Fitur cluster alfa diaktifkan untuk cluster GKE.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GKE 1.0: 6.10.2

Memeriksa apakah properti enableKubernetesAlpha cluster ditetapkan ke true.

  • Pemindaian real-time: Ya

Nama kategori di API: AUTO_REPAIR_DISABLED

Deskripsi temuan: Fitur perbaikan otomatis cluster GKE, yang menjaga node dalam status responsif dan berjalan, dinonaktifkan.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.7
  • CIS GKE 1.0: 6.5.2
  • PCI-DSS v3.2.1: 2.2

Memeriksa properti management dari node pool untuk key-value pair, "key": "autoRepair", "value": true.

  • Pemindaian real-time: Ya

Nama kategori di API: AUTO_UPGRADE_DISABLED

Deskripsi temuan: Fitur upgrade otomatis cluster GKE, yang menjaga cluster dan node pool tetap menggunakan versi stabil terbaru Kubernetes, dinonaktifkan.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.8
  • CIS GKE 1.0: 6.5.3
  • PCI-DSS v3.2.1: 2.2

Memeriksa properti management dari node pool untuk key-value pair, "key": "autoUpgrade", "value": true.

  • Pemindaian real-time: Ya

Nama kategori di API: BINARY_AUTHORIZATION_DISABLED

Deskripsi temuan: Otorisasi Biner dinonaktifkan di cluster GKE atau kebijakan Otorisasi Biner dikonfigurasi untuk mengizinkan semua image di-deploy.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa hal berikut:

  • Memeriksa apakah properti binaryAuthorization memiliki salah satu key-value pair berikut:
    • "evaluationMode": "PROJECT_SINGLETON_POLICY_ENFORCE"
    • "evaluationMode": "POLICY_BINDINGS"
    • "evaluationMode": "POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE"
  • Memeriksa apakah properti kebijakan defaultAdmissionRule tidak berisi key-value pair evaluationMode: ALWAYS_ALLOW.

  • Pemindaian real-time: Ya

Nama kategori di API: CLUSTER_LOGGING_DISABLED

Deskripsi temuan: Logging tidak diaktifkan untuk cluster GKE.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.1
  • CIS GKE 1.0: 6.7.1
  • PCI-DSS v3.2.1: 10.2.2, 10.2.7

Memeriksa apakah properti loggingService cluster berisi lokasi yang harus digunakan Cloud Logging untuk menulis log.

  • Pemindaian real-time: Ya

Nama kategori di API: CLUSTER_MONITORING_DISABLED

Deskripsi temuan: Pemantauan dinonaktifkan di cluster GKE.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.2
  • CIS GKE 1.0: 6.7.1
  • PCI-DSS v3.2.1: 10.1, 10.2

Memeriksa apakah properti monitoringService cluster berisi lokasi yang harus digunakan Cloud Monitoring untuk menulis metrik.

  • Pemindaian real-time: Ya

Nama kategori di API: CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED

Deskripsi temuan: Host cluster tidak dikonfigurasi untuk hanya menggunakan alamat IP internal pribadi guna mengakses Google API.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.16
  • PCI-DSS v3.2.1: 1.3

Memeriksa apakah properti privateIpGoogleAccess subnetwork ditetapkan ke false.

  • Input tambahan: Membaca subnetwork dari penyimpanan, hanya mengajukan temuan untuk cluster dengan subnetwork
  • Pemindaian real-time: Ya, tetapi hanya jika cluster diupdate, bukan untuk update subnetwork

Nama kategori di API: CLUSTER_SECRETS_ENCRYPTION_DISABLED

Deskripsi temuan: Enkripsi secret lapisan aplikasi dinonaktifkan di cluster GKE.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GKE 1.0: 6.3.1

Memeriksa properti keyName dari objek databaseEncryption untuk key-value pair "state": ENCRYPTED.

  • Pemindaian real-time: Ya

Nama kategori di API: CLUSTER_SHIELDED_NODES_DISABLED

Deskripsi temuan: Shielded GKE Node tidak diaktifkan untuk cluster.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GKE 1.0: 6.5.5

Memeriksa properti shieldedNodes untuk pasangan nilai kunci "enabled": true.

  • Pemindaian real-time: Ya

Nama kategori di API: COS_NOT_USED

Deskripsi temuan: VM Compute Engine tidak menggunakan Container-Optimized OS yang dirancang untuk menjalankan container Docker di Google Cloud dengan aman.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.9
  • CIS GKE 1.0: 6.5.1
  • PCI-DSS v3.2.1: 2.2

Memeriksa properti config dari node pool untuk pasangan nilai kunci, "imageType": "COS".

  • Pemindaian real-time: Ya

Nama kategori di API: INTEGRITY_MONITORING_DISABLED

Deskripsi temuan: Pemantauan integritas dinonaktifkan untuk cluster GKE.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GKE 1.0: 6.5.6

Memeriksa properti shieldedInstanceConfig dari objek nodeConfig untuk key-value pair "enableIntegrityMonitoring": true.

  • Pemindaian real-time: Ya

Nama kategori di API: INTRANODE_VISIBILITY_DISABLED

Deskripsi temuan: Visibilitas intranode dinonaktifkan untuk cluster GKE.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GKE 1.0: 6.6.1

Memeriksa properti networkConfig untuk pasangan nilai kunci "enableIntraNodeVisibility": true.

  • Pemindaian real-time: Ya

Nama kategori di API: IP_ALIAS_DISABLED

Deskripsi temuan: Cluster GKE dibuat dengan rentang IP alias yang dinonaktifkan.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.13
  • CIS GKE 1.0: 6.6.2
  • PCI-DSS v3.2.1: 1.3.4, 1.3.7

Memeriksa apakah kolom useIPAliases dari ipAllocationPolicy dalam cluster ditetapkan ke false.

  • Pemindaian real-time: Ya

Nama kategori di API: LEGACY_AUTHORIZATION_ENABLED

Deskripsi temuan: Otorisasi Lama diaktifkan di cluster GKE.

Tingkat harga: Premium atau Standard

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.3
  • CIS GKE 1.0: 6.8.3
  • PCI-DSS v3.2.1: 4.1

Memeriksa properti legacyAbac cluster untuk pasangan nilai kunci, "enabled": true.

  • Pemindaian real-time: Ya

Nama kategori di API: LEGACY_METADATA_ENABLED

Deskripsi temuan: Metadata lama diaktifkan di cluster GKE.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GKE 1.0: 6.4.1

Memeriksa properti config dari node pool untuk pasangan nilai kunci, "disable-legacy-endpoints": "false".

  • Pemindaian real-time: Ya

Nama kategori di API: MASTER_AUTHORIZED_NETWORKS_DISABLED

Deskripsi temuan: Jaringan yang Diizinkan Bidang Kontrol tidak diaktifkan di cluster GKE.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.4
  • CIS GKE 1.0: 6.6.3
  • PCI-DSS v3.2.1: 1.2.1, 1.3.2

Memeriksa properti masterAuthorizedNetworksConfig cluster untuk pasangan nilai kunci, "enabled": false.

  • Pemindaian real-time: Ya

Nama kategori di API: NETWORK_POLICY_DISABLED

Deskripsi temuan: Kebijakan jaringan dinonaktifkan di cluster GKE.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.11
  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.3
  • ISO-27001 v2013: A.13.1.1

Memeriksa kolom networkPolicy dari properti addonsConfig untuk key-value pair, "disabled": true.

  • Pemindaian real-time: Ya

Nama kategori di API: NODEPOOL_BOOT_CMEK_DISABLED

Deskripsi temuan: Boot disk di node pool ini tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa properti bootDiskKmsKey node pool untuk nama resource CMEK Anda.

  • Pemindaian real-time: Ya

Nama kategori di API: NODEPOOL_SECURE_BOOT_DISABLED

Deskripsi temuan: Booting Aman dinonaktifkan untuk cluster GKE.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GKE 1.0: 6.5.7

Memeriksa properti shieldedInstanceConfig dari objek nodeConfig untuk key-value pair "enableSecureBoot": true.

  • Pemindaian real-time: Ya

Nama kategori di API: OVER_PRIVILEGED_ACCOUNT

Deskripsi temuan: Akun layanan memiliki akses project yang terlalu luas dalam cluster.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.17
  • NIST 800-53 R4: AC-6, SC-7
  • CIS GKE 1.0: 6.2.1
  • PCI-DSS v3.2.1: 2.1, 7.1.2
  • ISO-27001 v2013: A.9.2.3

Mengevaluasi properti config dari node pool untuk memeriksa apakah tidak ada akun layanan yang ditentukan atau apakah akun layanan default digunakan.

  • Pemindaian real-time: Ya

Nama kategori di API: OVER_PRIVILEGED_SCOPES

Deskripsi temuan: Akun layanan node memiliki cakupan akses yang luas.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.18
  • CIS GKE 1.0: 6.2.1
 Memeriksa apakah cakupan akses yang tercantum dalam properti config.oauthScopes dari node pool adalah cakupan akses akun layanan terbatas: https://www.googleapis.com/auth/devstorage.read_only, https://www.googleapis.com/auth/logging.write, atau https://www.googleapis.com/auth/monitoring.
  • Pemindaian real-time: Ya

Nama kategori di API: POD_SECURITY_POLICY_DISABLED

Deskripsi temuan: PodSecurityPolicy dinonaktifkan di cluster GKE.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.14
  • CIS GKE 1.0: 6.10.3

Memeriksa properti podSecurityPolicyConfig cluster untuk pasangan nilai kunci, "enabled": false.

  • Izin IAM tambahan: roles/container.clusterViewer
  • Input tambahan: Membaca informasi cluster dari GKE, karena kebijakan keamanan pod adalah fitur Beta. Kubernetes secara resmi telah menghentikan penggunaan PodSecurityPolicy di versi 1.21. PodSecurityPolicy akan dinonaktifkan di versi 1.25. Untuk mengetahui informasi tentang alternatif, lihat Penghentian penggunaan PodSecurityPolicy.
  • Pemindaian real-time: Tidak

Nama kategori di API: PRIVATE_CLUSTER_DISABLED

Deskripsi temuan: Cluster GKE memiliki Cluster pribadi yang dinonaktifkan.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.15
  • CIS GKE 1.0: 6.6.5
  • PCI-DSS v3.2.1: 1.3.2

Memeriksa apakah kolom enablePrivateNodes dari properti privateClusterConfig ditetapkan ke false.

  • Pemindaian real-time: Ya

Nama kategori di API: RELEASE_CHANNEL_DISABLED

Deskripsi temuan: Cluster GKE tidak berlangganan ke saluran rilis.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GKE 1.0: 6.5.4

Memeriksa properti releaseChannel untuk pasangan nilai kunci "channel": UNSPECIFIED.

  • Pemindaian real-time: Ya

Nama kategori di API: WEB_UI_ENABLED

Deskripsi temuan: UI web (dasbor) GKE diaktifkan.

Tingkat harga: Premium atau Standard

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 7.6
  • CIS GKE 1.0: 6.10.1
  • PCI-DSS v3.2.1: 6.6

Memeriksa kolom kubernetesDashboard properti addonsConfig untuk pasangan nilai kunci, "disabled": false.

  • Pemindaian real-time: Ya

Nama kategori di API: WORKLOAD_IDENTITY_DISABLED

Deskripsi temuan: Workload Identity Federation untuk GKE dinonaktifkan di cluster GKE.

Tingkat harga: Premium

Aset yang didukung
container.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GKE 1.0: 6.2.2

Memeriksa apakah properti workloadIdentityConfig cluster telah ditetapkan. Detektor juga memeriksa apakah properti workloadMetadataConfig dari node pool ditetapkan ke GKE_METADATA.

  • Izin IAM tambahan: roles/container.clusterViewer
  • Pemindaian real-time: Ya

Temuan kerentanan Managed Service untuk Apache Spark

Kerentanan jenis detektor ini semuanya terkait dengan Managed Service untuk Apache Spark dan termasuk dalam jenis detektor DATAPROC_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: DATAPROC_CMEK_DISABLED

Deskripsi temuan: Cluster Managed Service untuk Apache Spark dibuat tanpa konfigurasi enkripsi CMEK. Dengan CMEK, kunci yang Anda buat dan kelola di Cloud Key Management Service menggabungkan kunci yang digunakan Google Cloud untuk mengenkripsi data Anda, sehingga Anda memiliki lebih banyak kontrol atas akses ke data Anda. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
dataproc.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.3: 1.17
  • CIS GCP Foundation 2.0: 1.17
  • CIS GCP Foundation 3.0: 8.1
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Memeriksa apakah kolom kmsKeyName di properti encryptionConfiguration kosong.

  • Pemindaian real-time: Ya

Nama kategori di API: DATAPROC_IMAGE_OUTDATED

Deskripsi temuan: Cluster Managed Service untuk Apache Spark dibuat dengan versi image Managed Service untuk Apache Spark yang terpengaruh oleh kerentanan keamanan di utilitas Apache Log4j 2 (CVE-2021-44228 dan CVE-2021-45046).

Tingkat harga: Premium atau Standard

Aset yang didukung
dataproc.googleapis.com/Cluster

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa apakah kolom softwareConfig.imageVersion di properti config dari Cluster lebih awal dari 1.3.95 atau merupakan versi image subminor yang lebih awal dari 1.4.77, 1.5.53, atau 2.0.27.

  • Pemindaian real-time: Ya

Temuan kerentanan set data

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi Set Data BigQuery, dan termasuk dalam jenis detektor DATASET_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: BIGQUERY_TABLE_CMEK_DISABLED

Deskripsi temuan: Tabel BigQuery tidak dikonfigurasi untuk menggunakan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
bigquery.googleapis.com/Table

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 7.2
  • CIS GCP Foundation 1.3: 7.2
  • CIS GCP Foundation 2.0: 7.2
  • CIS GCP Foundation 3.0: 7.2
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Memeriksa apakah kolom kmsKeyName di properti encryptionConfiguration kosong.

  • Pemindaian real-time: Ya

Nama kategori di API: DATASET_CMEK_DISABLED

Deskripsi temuan: Set data BigQuery tidak dikonfigurasi untuk menggunakan CMEK default. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
bigquery.googleapis.com/Dataset

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 7.3
  • CIS GCP Foundation 1.3: 7.3
  • CIS GCP Foundation 2.0: 7.3
  • CIS GCP Foundation 3.0: 7.3
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Memeriksa apakah kolom kmsKeyName di properti defaultEncryptionConfiguration kosong.

  • Pemindaian real-time: Tidak

Nama kategori di API: PUBLIC_DATASET

Deskripsi temuan: Set data dikonfigurasi agar terbuka untuk akses publik.

Tingkat harga: Premium atau Standard

Aset yang didukung
bigquery.googleapis.com/Dataset

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 7.1
  • CIS GCP Foundation 1.2: 7.1
  • CIS GCP Foundation 1.3: 7.1
  • CIS GCP Foundation 2.0: 7.1
  • CIS GCP Foundation 3.0: 7.1
  • NIST 800-53 R4: AC-2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Memeriksa kebijakan izin IAM dalam metadata resource untuk akun utama allUsers atau allAuthenticatedUsers, yang memberikan akses publik.

  • Pemindaian real-time: Ya

Temuan kerentanan DNS

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi Cloud DNS, dan termasuk dalam jenis detektor DNS_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: DNSSEC_DISABLED

Deskripsi temuan: DNSSEC dinonaktifkan untuk zona Cloud DNS.

Tingkat harga: Premium

Aset yang didukung
dns.googleapis.com/ManagedZone

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 3.3
  • CIS GCP Foundation 1.1: 3.3
  • CIS GCP Foundation 1.2: 3.3
  • CIS GCP Foundation 1.3: 3.3
  • CIS GCP Foundation 2.0: 3.3
  • CIS GCP Foundation 3.0: 3.3
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2013: A.8.2.3
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Memeriksa apakah kolom state dari properti dnssecConfig ditetapkan ke off.

  • Aset yang dikecualikan dari pemindaian: Zona Cloud DNS yang tidak bersifat publik
  • Pemindaian real-time: Ya

Nama kategori di API: RSASHA1_FOR_SIGNING

Deskripsi temuan: RSASHA1 digunakan untuk penandatanganan kunci di zona Cloud DNS.

Tingkat harga: Premium

Aset yang didukung
dns.googleapis.com/ManagedZone

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 3.4, 3.5
  • CIS GCP Foundation 1.1: 3.4, 3.5
  • CIS GCP Foundation 1.2: 3.4, 3.5
  • CIS GCP Foundation 1.3: 3.4, 3.5
  • CIS GCP Foundation 2.0: 3.4, 3.5
  • CIS GCP Foundation 3.0: 3.4, 3.5
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Memeriksa apakah objek defaultKeySpecs.algorithm dari properti dnssecConfig ditetapkan ke rsasha1.

  • Pemindaian real-time: Ya

Temuan kerentanan firewall

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi firewall, dan termasuk dalam jenis detektor FIREWALL_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: EGRESS_DENY_RULE_NOT_SET

Deskripsi temuan: Aturan penolakan egress tidak ditetapkan di firewall. Aturan penolakan egress harus ditetapkan untuk memblokir traffic keluar yang tidak diinginkan.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • PCI-DSS v3.2.1: 7.2

Memeriksa apakah properti destinationRanges di firewall ditetapkan ke 0.0.0.0/0 dan properti denied berisi pasangan nilai kunci, "IPProtocol": "all".

  • Input tambahan: Membaca firewall egress untuk project dari penyimpanan
  • Pemindaian real-time: Ya, tetapi hanya pada perubahan project, bukan perubahan aturan firewall

Nama kategori di API: FIREWALL_RULE_LOGGING_DISABLED

Deskripsi temuan: Logging aturan firewall dinonaktifkan. Firewall rule logging should be enabled so you can audit network access.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SI-4
  • PCI-DSS v3.2.1: 10.1, 10.2
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti logConfig dalam metadata firewall untuk melihat apakah properti tersebut kosong atau berisi key-value pair "enable": false.

Nama kategori di API: OPEN_CASSANDRA_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port Cassandra terbuka yang memungkinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:7000-7001, 7199, 8888, 9042, 9160, 61620-61621.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_CISCOSECURE_WEBSM_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port CISCOSECURE_WEBSM terbuka yang mengizinkan akses umum.

Tingkat harga: Premium atau Standard

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed di metadata firewall untuk protokol dan port berikut: TCP:9090.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_DIRECTORY_SERVICES_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port DIRECTORY_SERVICES terbuka yang mengizinkan akses umum.

Tingkat harga: Premium atau Standard

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:445 dan UDP:445.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_DNS_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port DNS terbuka yang mengizinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:53 dan UDP:53.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_ELASTICSEARCH_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port ELASTICSEARCH terbuka yang memungkinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:9200, 9300.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_FIREWALL

Deskripsi temuan: Firewall dikonfigurasi agar terbuka untuk akses publik.

Tingkat harga: Premium atau Standard

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • PCI-DSS v3.2.1: 1.2.1

Memeriksa properti sourceRanges dan allowed untuk salah satu dari dua konfigurasi:

  • Properti sourceRanges berisi 0.0.0.0/0 dan properti allowed berisi kombinasi aturan yang menyertakan protocol atau protocol:port, kecuali hal berikut:
    • icmp
    • tcp:22
    • tcp:443
    • tcp:3389
    • udp:3389
    • sctp:22
  • Properti sourceRanges berisi kombinasi rentang IP yang mencakup alamat IP non-pribadi dan properti allowed berisi kombinasi aturan yang mengizinkan semua port tcp atau semua port udp.

Nama kategori di API: OPEN_FTP_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port FTP terbuka yang memungkinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed di metadata firewall untuk protokol dan port berikut: TCP:21.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_HTTP_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port HTTP terbuka yang mengizinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:80.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_LDAP_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port LDAP terbuka yang mengizinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:389, 636 dan UDP:389.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_MEMCACHED_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port MEMCACHED terbuka yang memungkinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:11211, 11214-11215 dan UDP:11211, 11214-11215.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_MONGODB_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port MONGODB terbuka yang memungkinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:27017-27019.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_MYSQL_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port MYSQL terbuka yang mengizinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed di metadata firewall untuk protokol dan port berikut: TCP:3306.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_NETBIOS_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port NETBIOS terbuka yang memungkinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:137-139 dan UDP:137-139.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_ORACLEDB_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port ORACLEDB terbuka yang memungkinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:1521, 2483-2484 dan UDP:2483-2484.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_POP3_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port POP3 terbuka yang memungkinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed di metadata firewall untuk protokol dan port berikut: TCP:110.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_POSTGRESQL_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port PostgreSQL terbuka yang memungkinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:5432 dan UDP:5432.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_RDP_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port RDP terbuka yang mengizinkan akses umum.

Tingkat harga: Premium atau Standard

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 3.7
  • CIS GCP Foundation 1.1: 3.7
  • CIS GCP Foundation 1.2: 3.7
  • CIS GCP Foundation 1.3: 3.7
  • CIS GCP Foundation 2.0: 3.7
  • CIS GCP Foundation 3.0: 3.7
  • NIST 800-53 R4: SC-7
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • ISO-27001 v2013: A.13.1.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

Memeriksa properti allowed dalam metadata firewall untuk protokol dan port berikut: TCP:3389 dan UDP:3389.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_REDIS_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port REDIS terbuka yang mengizinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa apakah properti allowed dalam metadata firewall berisi protokol dan port berikut: TCP:6379.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_SMTP_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port SMTP terbuka yang mengizinkan akses umum.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa apakah properti allowed dalam metadata firewall berisi protokol dan port berikut: TCP:25.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_SSH_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port SSH terbuka yang mengizinkan akses umum.

Tingkat harga: Premium atau Standard

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 3.6
  • CIS GCP Foundation 1.1: 3.6
  • CIS GCP Foundation 1.2: 3.6
  • CIS GCP Foundation 1.3: 3.6
  • CIS GCP Foundation 2.0: 3.6
  • CIS GCP Foundation 3.0: 3.6
  • NIST 800-53 R4: SC-7
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • ISO-27001 v2013: A.13.1.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

Memeriksa apakah properti allowed dalam metadata firewall berisi protokol dan port berikut: TCP:22 dan SCTP:22.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_TELNET_PORT

Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port TELNET terbuka yang mengizinkan akses umum.

Tingkat harga: Premium atau Standard

Aset yang didukung
compute.googleapis.com/Firewall

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Memeriksa apakah properti allowed dalam metadata firewall berisi protokol dan port berikut: TCP:23.

  • Pemindaian real-time: Ya

Temuan kerentanan IAM

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi Identity and Access Management (IAM), dan termasuk dalam jenis detektor IAM_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: ACCESS_TRANSPARENCY_DISABLED

Deskripsi temuan: Google Cloud Transparansi Akses dinonaktifkan untuk organisasi Anda. Transparansi Akses mencatat log saat karyawan Google Cloud mengakses project di organisasi Anda untuk memberikan dukungan. Aktifkan Transparansi Akses untuk mencatat siapa dari Google Cloud yang mengakses informasi Anda, kapan, dan mengapa.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.3: 2.14
  • CIS GCP Foundation 2.0: 2.14
  • CIS GCP Foundation 3.0: 2.14

Memeriksa apakah organisasi Anda telah mengaktifkan Transparansi Akses.

  • Pemindaian real-time: Tidak

Nama kategori di API: ADMIN_SERVICE_ACCOUNT

Deskripsi temuan: Akun layanan memiliki hak istimewa Admin, Owner, atau Editor. Peran ini tidak boleh ditetapkan ke akun layanan yang dibuat pengguna.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.4
  • CIS GCP Foundation 1.1: 1.5
  • CIS GCP Foundation 1.2: 1.5
  • CIS GCP Foundation 1.3: 1.5
  • CIS GCP Foundation 2.0: 1.5
  • CIS GCP Foundation 3.0: 1.5
  • NIST 800-53 R5: AC-6
  • ISO-27001 v2022: A.5.15, A.8.2
  • Cloud Controls Matrix 4: IAM-09
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.7, CC6.1.8, CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 5.4

Memeriksa kebijakan izin IAM dalam metadata resource untuk setiap akun layanan yang dibuat pengguna (ditunjukkan dengan awalan ), yang diberi roles/Owner atau roles/Editor, atau ID peran yang berisi admin.

  • Aset yang dikecualikan dari pemindaian: Akun layanan Container Registry (containerregistry.) dan akun layanan Security Command Center (security-center-api.)
  • Pemindaian real-time: Ya, kecuali jika update IAM dilakukan pada folder

Nama kategori di API: ESSENTIAL_CONTACTS_NOT_CONFIGURED

Deskripsi temuan: Organisasi Anda belum menunjuk orang atau grup untuk menerima notifikasi dari Google Cloud tentang peristiwa penting seperti serangan, kerentanan, dan insiden data dalam organisasi Google Cloud Anda. Sebaiknya Anda menetapkan satu atau beberapa orang atau grup di organisasi bisnis Anda sebagai Kontak Penting.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.3: 1.16
  • CIS GCP Foundation 2.0: 1.16
  • CIS GCP Foundation 3.0: 1.16
  • NIST 800-53 R5: IR-6
  • ISO-27001 v2022: A.5.20, A.5.24, A.5.5, A.5.6
  • Cloud Controls Matrix 4: SEF-08
  • NIST Cybersecurity Framework 1.0: RS-CO-1
  • SOC2 v2017: CC2.3.1
  • CIS Controls 8.0: 17.2

Memeriksa apakah kontak ditentukan untuk kategori kontak penting berikut:

  • Hukum
  • Keamanan
  • Penangguhan
  • Teknis

  • Pemindaian real-time: Tidak

Nama kategori di API: KMS_ROLE_SEPARATION

Deskripsi temuan: Pemisahan tugas tidak diterapkan, dan ada pengguna yang memiliki peran Cloud KMS Admin dan salah satu peran Cloud Key Management Service (Cloud KMS) berikut secara bersamaan: CryptoKey Encrypter/Decrypter, Encrypter, Decrypter, Public Key Viewer, Signer, atau Signer/Verifier.

Temuan ini tidak tersedia untuk aktivasi level project.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.9
  • CIS GCP Foundation 1.1: 1.11
  • CIS GCP Foundation 2.0: 1.11
  • NIST 800-53 R4: AC-5
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.10.1.2, A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
 Memeriksa kebijakan izin IAM dalam metadata resource dan mengambil akun utama yang ditetapkan ke salah satu peran berikut pada saat yang sama: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, dan roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier, roles/cloudkms.publicKeyViewer.
  • Pemindaian real-time: Ya

Nama kategori di API: NON_ORG_IAM_MEMBER

Deskripsi temuan: Ada pengguna yang tidak menggunakan kredensial organisasi. Berdasarkan CIS GCP Foundations 1.0, saat ini, hanya identitas dengan alamat email @gmail.com yang memicu detektor ini.

Tingkat harga: Premium atau Standard

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.1
  • CIS GCP Foundation 1.1: 1.1
  • CIS GCP Foundation 1.2: 1.1
  • CIS GCP Foundation 1.3: 1.1
  • CIS GCP Foundation 2.0: 1.1
  • CIS GCP Foundation 3.0: 1.1
  • NIST 800-53 R4: AC-3
  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

Membandingkan alamat email @gmail.com di kolom user dalam metadata kebijakan izin IAM dengan daftar identitas yang disetujui untuk organisasi Anda.

  • Pemindaian real-time: Ya

Nama kategori di API: OPEN_GROUP_IAM_MEMBER

Deskripsi temuan: Akun Google Grup yang dapat diikuti tanpa persetujuan digunakan sebagai akun utama kebijakan izin IAM.

Paket harga: Premium atau Standard

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

 Memeriksa kebijakan IAM dalam metadata resource untuk menemukan binding yang berisi anggota (akun utama) yang diawali dengan group. Jika grup tersebut adalah grup terbuka, Security Health Analytics akan menghasilkan temuan ini.
  • Input tambahan: Membaca metadata Google Grup untuk memeriksa apakah grup yang diidentifikasi adalah grup terbuka.
  • Pemindaian real-time: Tidak

Nama kategori di API: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER

Deskripsi temuan: Pengguna memiliki peran Service Account User atau Service Account Token Creator di level project, bukan untuk akun layanan tertentu.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.5
  • CIS GCP Foundation 1.1: 1.6
  • CIS GCP Foundation 1.2: 1.6
  • CIS GCP Foundation 1.3: 1.6
  • CIS GCP Foundation 2.0: 1.6
  • CIS GCP Foundation 3.0: 1.6
  • NIST 800-53 R4: AC-6
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1.2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
 Memeriksa kebijakan izin IAM dalam metadata resource untuk setiap akun utama yang ditetapkan roles/iam.serviceAccountUser atau roles/iam.serviceAccountTokenCreator di level project.
  • Aset yang dikecualikan dari pemindaian: Akun layanan Cloud Build
  • Pemindaian real-time: Tidak

Nama kategori di API: PRIMITIVE_ROLES_USED

Deskripsi temuan: Pengguna memiliki salah satu peran dasar berikut:

  • Pemilik (roles/owner)
  • Editor (roles/editor)
  • Viewer (roles/viewer)

Peran ini terlalu permisif dan tidak boleh digunakan.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: AC-6
  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

Memeriksa kebijakan izin IAM dalam metadata resource untuk setiap akun utama yang diberi peran roles/owner, roles/editor, atau roles/viewer.

  • Pemindaian real-time: Ya

Nama kategori di API: REDIS_ROLE_USED_ON_ORG

Deskripsi temuan: Peran IAM Redis ditetapkan di level organisasi atau folder.

Temuan ini tidak tersedia untuk aktivasi level project.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

Memeriksa kebijakan izin IAM dalam metadata resource untuk akun utama yang diberi peran roles/redis.admin, roles/redis.editor, roles/redis.viewer di level organisasi atau folder.

  • Pemindaian real-time: Ya

Nama kategori di API: SERVICE_ACCOUNT_ROLE_SEPARATION

Deskripsi temuan: Seorang pengguna telah diberi peran Service Account Admin dan Service Account User. Hal ini melanggar prinsip "Pemisahan Tugas".

Temuan ini tidak tersedia untuk aktivasi level project.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.7
  • CIS GCP Foundation 1.1: 1.8
  • CIS GCP Foundation 1.2: 1.8
  • CIS GCP Foundation 1.3: 1.8
  • CIS GCP Foundation 2.0: 1.8
  • CIS GCP Foundation 3.0: 1.8
  • NIST 800-53 R4: AC-5
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
 Memeriksa kebijakan izin IAM dalam metadata resource untuk setiap akun utama yang ditetapkan ke roles/iam.serviceAccountUser dan roles/iam.serviceAccountAdmin.
  • Pemindaian real-time: Ya

Nama kategori di API: SERVICE_ACCOUNT_KEY_NOT_ROTATED

Deskripsi temuan: Kunci akun layanan belum dirotasi selama lebih dari 90 hari.

Tingkat harga: Premium

Aset yang didukung
iam.googleapis.com/ServiceAccountKey

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.6
  • CIS GCP Foundation 1.1: 1.7
  • CIS GCP Foundation 1.2: 1.7
  • CIS GCP Foundation 1.3: 1.7
  • CIS GCP Foundation 2.0: 1.7
  • CIS GCP Foundation 3.0: 1.7

Mengevaluasi stempel waktu pembuatan kunci yang dicatat dalam properti validAfterTime di metadata kunci akun layanan.

  • Aset yang dikecualikan dari pemindaian: Kunci akun layanan yang sudah tidak berlaku dan kunci yang tidak dikelola oleh pengguna
  • Pemindaian real-time: Ya

Nama kategori di API: USER_MANAGED_SERVICE_ACCOUNT_KEY

Deskripsi temuan: Pengguna mengelola kunci akun layanan.

Tingkat harga: Premium

Aset yang didukung
iam.googleapis.com/ServiceAccountKey

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.3
  • CIS GCP Foundation 1.1: 1.4
  • CIS GCP Foundation 1.2: 1.4
  • CIS GCP Foundation 1.3: 1.4
  • CIS GCP Foundation 2.0: 1.4
  • CIS GCP Foundation 3.0: 1.4

Memeriksa apakah properti keyType dalam metadata kunci akun layanan ditetapkan ke User_Managed.

  • Pemindaian real-time: Ya

Temuan kerentanan KMS

Kerentanan jenis detektor ini semuanya berkaitan dengan konfigurasi Cloud KMS, dan termasuk dalam jenis detektor KMS_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: KMS_KEY_NOT_ROTATED

Deskripsi temuan: Rotasi tidak dikonfigurasi pada kunci enkripsi Cloud KMS. Kunci harus dirotasi dalam periode 90 hari.

Tingkat harga: Premium

Aset yang didukung
cloudkms.googleapis.com/CryptoKey

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.8
  • CIS GCP Foundation 1.1: 1.10
  • CIS GCP Foundation 1.2: 1.10
  • CIS GCP Foundation 1.3: 1.10
  • CIS GCP Foundation 2.0: 1.10
  • NIST 800-53 R4: SC-12
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v3.2.1: 3.5
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2013: A.10.1.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Memeriksa metadata resource untuk mengetahui keberadaan properti rotationPeriod atau nextRotationTime.

  • Aset yang dikecualikan dari pemindaian: Kunci asimetris dan kunci dengan versi utama yang dinonaktifkan atau dihancurkan
  • Pemindaian real-time: Ya

Nama kategori di API: KMS_PROJECT_HAS_OWNER

Deskripsi temuan: Pengguna memiliki izin Owner di project yang memiliki kunci kriptografis.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 1.11
  • CIS GCP Foundation 1.2: 1.11
  • CIS GCP Foundation 1.3: 1.11
  • CIS GCP Foundation 2.0: 1.11
  • NIST 800-53 R4: AC-6, SC-12
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 3.5
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.10.1.2, A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Memeriksa kebijakan izin IAM dalam metadata project untuk akun utama yang diberi peran roles/Owner.

  • Input tambahan: Membaca kunci kripto untuk project dari penyimpanan, hanya mengajukan temuan untuk project dengan kunci kripto
  • Pemindaian real-time: Ya, tetapi hanya pada perubahan pada kebijakan izin IAM, bukan pada perubahan pada kunci KMS

Nama kategori di API: KMS_PUBLIC_KEY

Deskripsi temuan: Kunci kriptografis Cloud KMS dapat diakses secara publik.

Tingkat harga: Premium

Aset yang didukung
cloudkms.googleapis.com/CryptoKey
cloudkms.googleapis.com/KeyRing

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 1.9
  • CIS GCP Foundation 1.2: 1.9
  • CIS GCP Foundation 1.3: 1.9
  • CIS GCP Foundation 2.0: 1.9
  • CIS GCP Foundation 3.0: 1.9
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Memeriksa kebijakan izin IAM dalam metadata resource untuk akun utama allUsers atau allAuthenticatedUsers, yang memberikan akses publik.

  • Pemindaian real-time: Ya

Nama kategori di API: TOO_MANY_KMS_USERS

Deskripsi temuan: Ada lebih dari tiga pengguna kunci kriptografis.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
cloudkms.googleapis.com/CryptoKey

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • PCI-DSS v3.2.1: 3.5.2
  • ISO-27001 v2013: A.9.2.3
 Memeriksa kebijakan izin IAM untuk key ring, project, dan organisasi, serta mengambil akun utama dengan peran yang memungkinkan mereka mengenkripsi, mendekripsi, atau menandatangani data menggunakan kunci Cloud KMS: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, dan roles/cloudkms.signerVerifier.
  • Input tambahan: Membaca versi kunci kripto untuk kunci kripto dari penyimpanan, dan hanya mengajukan temuan untuk kunci dengan versi aktif. Detektor juga membaca kebijakan izin IAM key ring, project, dan organisasi dari penyimpanan
  • Pemindaian real-time: Ya

Mencatat temuan kerentanan ke dalam log

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi logging, dan termasuk dalam jenis detektor LOGGING_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: AUDIT_LOGGING_DISABLED

Deskripsi temuan: Logging audit telah dinonaktifkan untuk resource ini.

Temuan ini tidak tersedia untuk aktivasi level project.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 2.1
  • CIS GCP Foundation 1.1: 2.1
  • CIS GCP Foundation 1.2: 2.1
  • CIS GCP Foundation 1.3: 2.1
  • CIS GCP Foundation 2.0: 2.1
  • CIS GCP Foundation 3.0: 2.1
  • NIST 800-53 R4: AC-2, AU-2
  • NIST 800-53 R5: AU-6, AU-7
  • PCI-DSS v3.2.1: 10.1, 10.2
  • PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3
  • ISO-27001 v2013: A.12.4.1, A.16.1.7
  • ISO-27001 v2022: A.5.25
  • Cloud Controls Matrix 4: LOG-05
  • NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1
  • SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5
  • HIPAA: 164.308(a)(1)(ii), 164.312(b)
  • CIS Controls 8.0: 8.11, 8.2

Memeriksa kebijakan izin IAM dalam metadata resource untuk mengetahui keberadaan objek auditLogConfigs.

  • Pemindaian real-time: Ya

Nama kategori di API: BUCKET_LOGGING_DISABLED

Deskripsi temuan: Ada bucket penyimpanan tanpa logging yang diaktifkan.

Tingkat harga: Premium

Aset yang didukung
storage.googleapis.com/Bucket

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 5.3

Memeriksa apakah kolom logBucket di properti logging bucket kosong.

  • Pemindaian real-time: Ya

Nama kategori di API: LOCKED_RETENTION_POLICY_NOT_SET

Deskripsi temuan: Kebijakan retensi terkunci tidak ditetapkan untuk log.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
storage.googleapis.com/Bucket

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 2.3
  • CIS GCP Foundation 1.2: 2.3
  • CIS GCP Foundation 1.3: 2.3
  • CIS GCP Foundation 2.0: 2.3
  • CIS GCP Foundation 3.0: 2.3
  • NIST 800-53 R4: AU-11
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 10.5
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.12.4.2, A.18.1.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Memeriksa apakah kolom isLocked di properti retentionPolicy bucket ditetapkan ke true.

  • Input tambahan: Membaca sink log (filter log dan tujuan log) untuk bucket guna menentukan apakah bucket tersebut adalah bucket log
  • Pemindaian real-time: Ya

Nama kategori di API: LOG_NOT_EXPORTED

Deskripsi temuan: Ada resource yang tidak memiliki sink log yang dikonfigurasi dengan tepat.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 2.2
  • CIS GCP Foundation 1.1: 2.2
  • CIS GCP Foundation 1.2: 2.2
  • CIS GCP Foundation 1.3: 2.2
  • CIS GCP Foundation 2.0: 2.2
  • CIS GCP Foundation 3.0: 2.2
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2013: A.18.1.3
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.3

Mengambil objek logSink dalam project, memeriksa apakah kolom includeChildren ditetapkan ke true, kolom destination menyertakan lokasi untuk menulis log, dan kolom filter diisi.

  • Input tambahan: Membaca sink log (filter log dan tujuan log) untuk bucket guna menentukan apakah bucket tersebut adalah bucket log
  • Pemindaian real-time: Ya, tetapi hanya pada perubahan project, bukan jika ekspor log disiapkan di folder atau organisasi

Nama kategori di API: OBJECT_VERSIONING_DISABLED

Deskripsi temuan: Pembuatan versi objek tidak diaktifkan di bucket penyimpanan tempat sink dikonfigurasi.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
storage.googleapis.com/Bucket

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 2.3
  • NIST 800-53 R4: AU-11
  • PCI-DSS v3.2.1: 10.5
  • ISO-27001 v2013: A.12.4.2, A.18.1.3

Memeriksa apakah kolom enabled di properti versioning bucket ditetapkan ke true.

  • Aset yang dikecualikan dari pemindaian: Bucket Cloud Storage dengan kebijakan retensi terkunci
  • Input tambahan: Membaca sink log (filter log dan tujuan log) untuk bucket guna menentukan apakah bucket tersebut adalah bucket log
  • Pemindaian real-time: Ya, tetapi hanya jika pembuatan versi objek berubah, bukan jika bucket log dibuat

Memantau temuan kerentanan

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi pemantauan, dan termasuk dalam jenis MONITORING_SCANNER. Semua properti temuan detektor Monitoring mencakup:

  • RecommendedLogFilter yang akan digunakan dalam membuat metrik log.
  • QualifiedLogMetricNames yang mencakup kondisi yang tercantum dalam filter log yang direkomendasikan.
  • AlertPolicyFailureReasonsyang menunjukkan apakah project tidak memiliki kebijakan pemberitahuan yang dibuat untuk metrik log yang memenuhi syarat atau kebijakan pemberitahuan yang ada tidak memiliki setelan yang direkomendasikan.
Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: AUDIT_CONFIG_NOT_MONITORED

Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan Konfigurasi Audit.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 2.5
  • CIS GCP Foundation 1.1: 2.5
  • CIS GCP Foundation 1.2: 2.5
  • CIS GCP Foundation 1.3: 2.5
  • CIS GCP Foundation 2.0: 2.5
  • CIS GCP Foundation 3.0: 2.5
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Memeriksa apakah properti filter dari resource LogsMetric project ditetapkan ke protoPayload.methodName="SetIamPolicy" AND protoPayload.serviceData.policyDelta.auditConfigDeltas:*, dan jika resource.type ditentukan, nilainya adalah global. Detektor juga menelusuri resource alertPolicy yang sesuai, memeriksa apakah properti conditions dan notificationChannels dikonfigurasi dengan benar.
  • Izin IAM tambahan: roles/monitoring.alertPolicyViewer
  • Input tambahan: Membaca metrik log untuk project dari penyimpanan. Membaca informasi akun Google Cloud Observability dari Google Cloud Observability, dan hanya mengajukan temuan untuk project dengan akun aktif
  • Pemindaian real-time: Tidak

Nama kategori di API: BUCKET_IAM_NOT_MONITORED

Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan izin IAM Cloud Storage.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 2.10
  • CIS GCP Foundation 1.1: 2.10
  • CIS GCP Foundation 1.2: 2.10
  • CIS GCP Foundation 1.3: 2.10
  • CIS GCP Foundation 2.0: 2.10
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Memeriksa apakah properti filter dari resource LogsMetric project ditetapkan ke resource.type=gcs_bucket AND protoPayload.methodName="storage.setIamPermissions". Detektor juga menelusuri resource alertPolicy yang sesuai, memeriksa apakah properti conditions dan notificationChannels dikonfigurasi dengan benar.
  • Izin IAM tambahan: roles/monitoring.alertPolicyViewer
  • Input tambahan: Membaca metrik log untuk project dari penyimpanan. Membaca informasi akun Google Cloud Observability dari Google Cloud Observability, dan hanya mengajukan temuan untuk project dengan akun aktif
  • Pemindaian real-time: Tidak

Nama kategori di API: CUSTOM_ROLE_NOT_MONITORED

Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan Peran Khusus.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 2.6
  • CIS GCP Foundation 1.1: 2.6
  • CIS GCP Foundation 1.2: 2.6
  • CIS GCP Foundation 1.3: 2.6
  • CIS GCP Foundation 2.0: 2.6
  • CIS GCP Foundation 3.0: 2.6
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Memeriksa apakah properti filter dari resource LogsMetric project ditetapkan ke resource.type="iam_role" AND (protoPayload.methodName="google.iam.admin.v1.CreateRole" OR protoPayload.methodName="google.iam.admin.v1.DeleteRole" OR protoPayload.methodName="google.iam.admin.v1.UpdateRole"). Detektor juga menelusuri resource alertPolicy yang sesuai, memeriksa apakah properti conditions dan notificationChannels dikonfigurasi dengan benar.
  • Izin IAM tambahan: roles/monitoring.alertPolicyViewer
  • Input tambahan: Membaca metrik log untuk project dari penyimpanan. Membaca informasi akun Google Cloud Observability dari Google Cloud Observability, dan hanya mengajukan temuan untuk project dengan akun aktif
  • Pemindaian real-time: Tidak

Nama kategori di API: FIREWALL_NOT_MONITORED

Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan aturan Firewall Jaringan Virtual Private Cloud (VPC).

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 2.7
  • CIS GCP Foundation 1.1: 2.7
  • CIS GCP Foundation 1.2: 2.7
  • CIS GCP Foundation 1.3: 2.7
  • CIS GCP Foundation 2.0: 2.7
  • CIS GCP Foundation 3.0: 2.7
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Memeriksa apakah properti filter dari resource LogsMetric project ditetapkan ke resource.type="gce_firewall_rule" AND (protoPayload.methodName:"compute.firewalls.insert" OR protoPayload.methodName:"compute.firewalls.patch" OR protoPayload.methodName:"compute.firewalls.delete"). Detektor juga menelusuri resource alertPolicy yang sesuai, memeriksa apakah properti conditions dan notificationChannels dikonfigurasi dengan benar.
  • Izin IAM tambahan: roles/monitoring.alertPolicyViewer
  • Input tambahan: Membaca metrik log untuk project dari penyimpanan. Membaca informasi akun Google Cloud Observability dari Google Cloud Observability, dan hanya mengajukan temuan untuk project dengan akun aktif
  • Pemindaian real-time: Tidak

Nama kategori di API: NETWORK_NOT_MONITORED

Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan jaringan VPC.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 2.9
  • CIS GCP Foundation 1.1: 2.9
  • CIS GCP Foundation 1.2: 2.9
  • CIS GCP Foundation 1.3: 2.9
  • CIS GCP Foundation 2.0: 2.9
  • CIS GCP Foundation 3.0: 2.9
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Memeriksa apakah properti filter dari resource LogsMetric project ditetapkan ke resource.type="gce_network" AND (protoPayload.methodName:"compute.networks.insert" OR protoPayload.methodName:"compute.networks.patch" OR protoPayload.methodName:"compute.networks.delete" OR protoPayload.methodName:"compute.networks.removePeering" OR protoPayload.methodName:"compute.networks.addPeering"). Detektor juga menelusuri resource alertPolicy yang sesuai, memeriksa apakah properti conditions dan notificationChannels dikonfigurasi dengan benar.
  • Izin IAM tambahan: roles/monitoring.alertPolicyViewer
  • Input tambahan: Membaca metrik log untuk project dari penyimpanan. Membaca informasi akun Google Cloud Observability dari Google Cloud Observability, dan hanya mengajukan temuan untuk project dengan akun aktif
  • Pemindaian real-time: Tidak

Nama kategori di API: OWNER_NOT_MONITORED

Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau penetapan atau perubahan Project Owner.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 2.4
  • CIS GCP Foundation 1.1: 2.4
  • CIS GCP Foundation 1.2: 2.4
  • CIS GCP Foundation 1.3: 2.4
  • CIS GCP Foundation 2.0: 2.4
  • CIS GCP Foundation 3.0: 2.4
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2
 Memeriksa apakah properti filter dari resource LogsMetric project ditetapkan ke (protoPayload.serviceName="cloudresourcemanager.googleapis.com") AND ( (ProjectOwnership OR projectOwnerInvitee) OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") ), dan jika resource.type ditentukan, nilainya adalah global. Detektor juga menelusuri resource alertPolicy yang sesuai, memeriksa apakah properti conditions dan notificationChannels dikonfigurasi dengan benar.
  • Izin IAM tambahan: roles/monitoring.alertPolicyViewer
  • Input tambahan: Membaca metrik log untuk project dari penyimpanan. Membaca informasi akun Google Cloud Observability dari Google Cloud Observability, dan hanya mengajukan temuan untuk project dengan akun aktif
  • Pemindaian real-time: Tidak

Nama kategori di API: ROUTE_NOT_MONITORED

Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan rute jaringan VPC.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 2.8
  • CIS GCP Foundation 1.1: 2.8
  • CIS GCP Foundation 1.2: 2.8
  • CIS GCP Foundation 1.3: 2.8
  • CIS GCP Foundation 2.0: 2.8
  • CIS GCP Foundation 3.0: 2.8
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Memeriksa apakah properti filter dari resource LogsMetric project ditetapkan ke resource.type="gce_route" AND (protoPayload.methodName:"compute.routes.delete" OR protoPayload.methodName:"compute.routes.insert"). Detektor juga menelusuri resource alertPolicy yang sesuai, memeriksa apakah properti conditions dan notificationChannels dikonfigurasi dengan benar.
  • Izin IAM tambahan: roles/monitoring.alertPolicyViewer
  • Input tambahan: Membaca metrik log untuk project dari penyimpanan. Membaca informasi akun Google Cloud Observability dari Google Cloud Observability, dan hanya mengajukan temuan untuk project dengan akun aktif
  • Pemindaian real-time: Tidak

SQL_INSTANCE_NOT_MONITORED

Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan konfigurasi instance Cloud SQL.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
cloudresourcemanager.googleapis.com/Project

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 2.8
  • CIS GCP Foundation 1.1: 2.8
  • CIS GCP Foundation 1.2: 2.8
  • CIS GCP Foundation 1.3: 2.8
  • CIS GCP Foundation 2.0: 2.8
  • CIS GCP Foundation 3.0: 2.8
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Memeriksa apakah properti filter dari resource LogsMetric project ditetapkan ke protoPayload.methodName="cloudsql.instances.update" OR protoPayload.methodName="cloudsql.instances.create" OR protoPayload.methodName="cloudsql.instances.delete", dan jika resource.type ditentukan, nilainya adalah global. Detektor juga menelusuri resource alertPolicy yang sesuai, memeriksa apakah properti conditions dan notificationChannels dikonfigurasi dengan benar.
  • Izin IAM tambahan: roles/monitoring.alertPolicyViewer
  • Input tambahan: Membaca metrik log untuk project dari penyimpanan. Membaca informasi akun Google Cloud Observability dari Google Cloud Observability, dan hanya mengajukan temuan untuk project dengan akun aktif
  • Pemindaian real-time: Tidak

Temuan autentikasi multi-faktor

Detektor MFA_SCANNER mengidentifikasi kerentanan yang terkait dengan autentikasi multi-faktor untuk pengguna.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: MFA_NOT_ENFORCED

Ada pengguna yang tidak menggunakan Verifikasi 2 Langkah. Jika Anda mengambil langkah-langkah untuk memperbaiki temuan ini, pemindaian Security Health Analytics mungkin memerlukan waktu hingga 24 jam untuk diselesaikan dan agar temuan diperbarui.

Google Workspace memungkinkan Anda menentukan masa tenggang pendaftaran bagi pengguna baru untuk mendaftar ke Verifikasi 2 Langkah. Detektor ini membuat temuan untuk pengguna selama masa tenggang pendaftaran.

Detektor ini mungkin menghasilkan temuan untuk organisasi dengan jumlah pengguna yang besar (biasanya 450.000 atau lebih), meskipun Verifikasi 2 Langkah diterapkan untuk semua pengguna. Jika Anda yakin bahwa temuan tersebut adalah positif palsu, hubungi Cloud Customer Care untuk menonaktifkan temuan tersebut.

Pendeteksi ini sebelumnya disebut 2SV_NOT_ENFORCED.

Temuan ini tidak tersedia untuk aktivasi level project.

Tingkat harga: Premium atau Standard

Aset yang didukung
cloudresourcemanager.googleapis.com/Organization

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 1.2
  • CIS GCP Foundation 1.1: 1.2
  • CIS GCP Foundation 1.2: 1.2
  • CIS GCP Foundation 1.3: 1.2
  • CIS GCP Foundation 2.0: 1.2
  • CIS GCP Foundation 3.0: 1.2
  • NIST 800-53 R4: IA-2
  • PCI-DSS v3.2.1: 8.3
  • ISO-27001 v2013: A.9.4.2
  • ISO-27001 v2022: A.8.5

Mengevaluasi kebijakan pengelolaan identitas di organisasi dan setelan pengguna untuk akun terkelola di Cloud Identity.

  • Aset yang dikecualikan dari pemindaian: Unit organisasi yang diberi pengecualian terhadap kebijakan
  • Input tambahan: Membaca data dari Google Workspace
  • Pemindaian real-time: Tidak

Temuan kerentanan jaringan

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi jaringan organisasi, dan termasuk dalam jenisNETWORK_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: DEFAULT_NETWORK

Deskripsi temuan: Jaringan default ada dalam project.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Network

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 3.1
  • CIS GCP Foundation 1.1: 3.1
  • CIS GCP Foundation 1.2: 3.1
  • CIS GCP Foundation 1.3: 3.1
  • CIS GCP Foundation 2.0: 3.1
  • CIS GCP Foundation 3.0: 3.1
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Memeriksa apakah properti name dalam metadata jaringan ditetapkan ke default

  • Aset yang dikecualikan dari pemindaian: Project tempat Compute Engine API dinonaktifkan dan resource Compute Engine dalam status dibekukan
  • Pemindaian real-time: Ya

Nama kategori di API: DNS_LOGGING_DISABLED

Deskripsi temuan: Logging DNS di jaringan VPC tidak diaktifkan.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Network
dns.googleapis.com/Policy

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 2.12
  • CIS GCP Foundation 1.3: 2.12
  • CIS GCP Foundation 2.0: 2.12
  • CIS GCP Foundation 3.0: 2.12
  • NIST 800-53 R5: AU-6, AU-7
  • PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3
  • ISO-27001 v2022: A.5.25
  • Cloud Controls Matrix 4: LOG-05
  • NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1
  • SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5
  • HIPAA: 164.308(a)(1)(ii), 164.312(b)
  • CIS Controls 8.0: 8.11, 8.2, 8.6

Memeriksa semua policies yang terkait dengan jaringan VPC melalui kolom networks[].networkUrl, dan mencari setidaknya satu kebijakan yang memiliki enableLogging yang ditetapkan ke true.

  • Aset yang dikecualikan dari pemindaian: Project tempat Compute Engine API dinonaktifkan dan resource Compute Engine dalam status dibekukan
  • Pemindaian real-time: Ya

Nama kategori di API: LEGACY_NETWORK

Deskripsi temuan: Jaringan lama ada dalam project.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Network

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 3.2
  • CIS GCP Foundation 1.1: 3.2
  • CIS GCP Foundation 1.2: 3.2
  • CIS GCP Foundation 1.3: 3.2
  • CIS GCP Foundation 2.0: 3.2
  • CIS GCP Foundation 3.0: 3.2
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Memeriksa metadata jaringan untuk mengetahui keberadaan properti IPv4Range.

  • Aset yang dikecualikan dari pemindaian: Project tempat Compute Engine API dinonaktifkan dan resource Compute Engine dalam status dibekukan
  • Pemindaian real-time: Ya

Nama kategori di API: LOAD_BALANCER_LOGGING_DISABLED

Deskripsi temuan: Logging dinonaktifkan untuk load balancer.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/BackendServices

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 2.0: 2.16
  • CIS GCP Foundation 3.0: 2.16
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2

Memeriksa apakah properti enableLogging layanan backend di load balancer ditetapkan ke true.

  • Pemindaian real-time: Ya

Temuan kerentanan Kebijakan Organisasi

Kerentanan jenis detektor ini semuanya berkaitan dengan konfigurasi batasan Kebijakan Organisasi, dan termasuk dalam jenis ORG_POLICY.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: ORG_POLICY_CONFIDENTIAL_VM_POLICY

 Deskripsi temuan: Resource Compute Engine tidak mematuhi kebijakan organisasi constraints/compute.restrictNonConfidentialComputing. Untuk mengetahui informasi selengkapnya tentang batasan kebijakan organisasi ini, lihat Menerapkan batasan kebijakan organisasi di Confidential VM.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Instance

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa apakah properti enableConfidentialCompute instance Compute Engine ditetapkan ke true.

  • Aset yang dikecualikan dari pemindaian: Instance GKE
  • Izin IAM tambahan: permissions/orgpolicy.policy.get
  • Input tambahan: Membaca kebijakan organisasi yang efektif dari layanan kebijakan organisasi
  • Pemindaian real-time: Tidak

Nama kategori di API: ORG_POLICY_LOCATION_RESTRICTION

 Deskripsi temuan: Resource Compute Engine tidak mematuhi batasan constraints/gcp.resourceLocations. Untuk mengetahui informasi selengkapnya tentang batasan kebijakan organisasi ini, lihat Menerapkan batasan kebijakan organisasi.

Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standard-lama diaktifkan di organisasi induk.

Tingkat harga: Premium

Aset yang didukung
Di baris berikut, lihat Aset yang didukung untuk ORG_POLICY_LOCATION_RESTRICTION

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa properti listPolicy dalam metadata resource yang didukung untuk mengetahui daftar lokasi yang diizinkan atau ditolak.

  • Izin IAM tambahan: permissions/orgpolicy.policy.get
  • Input tambahan: Membaca kebijakan organisasi yang efektif dari layanan kebijakan organisasi
  • Pemindaian real-time: Tidak

Aset yang didukung untuk ORG_POLICY_LOCATION_RESTRICTION

Compute Engine
compute.googleapis.com/Autoscaler
compute.googleapis.com/Address
compute.googleapis.com/Commitment
compute.googleapis.com/Disk
compute.googleapis.com/ForwardingRule
compute.googleapis.com/HealthCheck
compute.googleapis.com/Image
compute.googleapis.com/Instance
compute.googleapis.com/InstanceGroup
compute.googleapis.com/InstanceGroupManager
compute.googleapis.com/InterconnectAttachment
compute.googleapis.com/NetworkEndpointGroup
compute.googleapis.com/NodeGroup
compute.googleapis.com/NodeTemplate
compute.googleapis.com/PacketMirroring
compute.googleapis.com/RegionBackendService
compute.googleapis.com/RegionDisk
compute.googleapis.com/ResourcePolicy
compute.googleapis.com/Reservation
compute.googleapis.com/Router
compute.googleapis.com/Snapshot
compute.googleapis.com/SslCertificate
compute.googleapis.com/Subnetwork
compute.googleapis.com/TargetHttpProxy
compute.google.apis.com/TargetHttpsProxy
compute.googleapis.com/TargetInstance
compute.googleapis.com/TargetPool
compute.googleapis.com/TargetVpnGateway
compute.googleapis.com/UrlMap
compute.googleapis.com/VpnGateway
compute.googleapis.com/VpnTunnel

GKE
container.googleapis.com/Cluster
container.googleapis.com/NodePool

Cloud Storage
storage.googleapis.com/Bucket

Cloud KMS
cloudkms.googleapis.com/CryptoKey1
cloudkms.googleapis.com/CryptoKeyVersion1
cloudkms.googleapis.com/ImportJob2
cloudkms.googleapis.com/KeyRing1

Managed Service untuk Apache Spark
dataproc.googleapis.com/Cluster

BigQuery
bigquery.googleapis.com/Dataset

Dataflow
dataflow.googleapis.com/Job3

Cloud SQL
sqladmin.googleapis.com/Instance

Managed Airflow
composer.googleapis.com/Environment

Logging
logging.googleapis.com/LogBucket

Pub/Sub
pubsub.googleapis.com/Topic

Platform Agen
aiplatform.googleapis.com/BatchPredictionJob
aiplatform.googleapis.com/CustomJob
aiplatform.googleapis.com/Dataset
aiplatform.googleapis.com/Endpoint
aiplatform.googleapis.com/HyperparameterTuningJob
aiplatform.googleapis.com/Model
aiplatform.googleapis.com/SpecialistPool
aiplatform.googleapis.com/TrainingPipeline

Artifact Registry
artifactregistry.googleapis.com/Repository

1 Karena aset Cloud KMS tidak dapat dihapus, aset tersebut tidak dianggap berada di luar region jika data aset telah dihancurkan.

2 Karena tugas impor Cloud KMS memiliki siklus proses yang terkontrol dan tidak dapat dihentikan lebih awal, ImportJob tidak dianggap berada di luar region jika tugas tersebut telah habis masa berlakunya dan tidak dapat lagi digunakan untuk mengimpor kunci.

3 Karena siklus proses tugas Dataflow tidak dapat dikelola, Tugas tidak dianggap berada di luar region setelah mencapai status terminal (dihentikan atau dikosongkan), yang tidak dapat lagi digunakan untuk memproses data.

Temuan kerentanan Pub/Sub

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi Pub/Sub, dan termasuk dalam jenis PUBSUB_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: PUBSUB_CMEK_DISABLED

Deskripsi temuan: Topik Pub/Sub tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
pubsub.googleapis.com/Topic

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa kolom kmsKeyName untuk nama resource CMEK Anda.

  • Pemindaian real-time: Ya

Temuan kerentanan SQL

Bagian berikut menjelaskan temuan kerentanan untuk AlloyDB untuk PostgreSQL dan Cloud SQL.

Temuan kerentanan AlloyDB untuk PostgreSQL

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi AlloyDB untuk PostgreSQL, dan termasuk dalam jenis SQL_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: ALLOYDB_AUTO_BACKUP_DISABLED

Deskripsi temuan: Cluster AlloyDB untuk PostgreSQL tidak mengaktifkan pencadangan otomatis.

Tingkat harga: Premium

Aset yang didukung
alloydb.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)

Memeriksa apakah properti automated_backup_policy.enabled dalam metadata cluster AlloyDB untuk PostgreSQL ditetapkan ke true.

  • Aset yang dikecualikan dari pemindaian: Cluster sekunder AlloyDB untuk PostgreSQL
  • Pemindaian real-time: Ya

Nama kategori di API: ALLOYDB_BACKUPS_DISABLED

Deskripsi temuan: Cluster AlloyDB untuk PostgreSQL tidak mengaktifkan pencadangan.

Tingkat harga: Premium

Aset yang didukung
alloydb.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)

Memeriksa apakah properti automated_backup_policy.enabled atau continuous_backup_policy.enabled dalam metadata cluster AlloyDB untuk PostgreSQL ditetapkan ke true.

  • Aset yang dikecualikan dari pemindaian: Cluster sekunder AlloyDB untuk PostgreSQL
  • Pemindaian real-time: Ya

Nama kategori di API: ALLOYDB_CMEK_DISABLED

Deskripsi temuan: Cluster AlloyDB tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK).

Tingkat harga: Premium

Aset yang didukung
alloydb.googleapis.com/Cluster

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Memeriksa kolom encryption_type dalam metadata cluster untuk menentukan apakah CMEK diaktifkan.

  • Pemindaian real-time: Ya

Nama kategori di API: ALLOYDB_LOG_MIN_ERROR_STATEMENT_SEVERITY

Deskripsi temuan: Flag database log_min_error_statement untuk instance AlloyDB untuk PostgreSQL tidak disetel ke error atau nilai rekomendasi lainnya.

Tingkat harga: Premium

Aset yang didukung
alloydb.googleapis.com/Instances

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

Untuk memastikan cakupan jenis pesan yang memadai dalam log, buat temuan jika kolom log_min_error_statement dari properti databaseFlags tidak ditetapkan ke salah satu nilai berikut: debug5, debug4, debug3, debug2, debug1, info, notice, warning, atau nilai default error.

  • Pemindaian real-time: Ya

Nama kategori di API: ALLOYDB_LOG_MIN_MESSAGES

Deskripsi temuan: Flag database log_min_messages untuk instance AlloyDB untuk PostgreSQL tidak disetel ke warning atau nilai lain yang direkomendasikan.

Tingkat harga: Premium

Aset yang didukung
alloydb.googleapis.com/Instances

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

Untuk memastikan cakupan jenis pesan yang memadai dalam log, buat temuan jika kolom log_min_messages dari properti databaseFlags tidak ditetapkan ke salah satu nilai berikut: debug5, debug4, debug3, debug2, debug1, info, notice, atau nilai default warning.

  • Pemindaian real-time: Ya

Nama kategori di API: ALLOYDB_LOG_ERROR_VERBOSITY

Deskripsi temuan: Flag database log_error_verbosity untuk instance AlloyDB untuk PostgreSQL tidak disetel ke default atau nilai rekomendasi lainnya.

Tingkat harga: Premium

Aset yang didukung
alloydb.googleapis.com/Instances

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

Untuk memastikan cakupan jenis pesan yang memadai dalam log, buat temuan jika kolom log_error_verbosity dari properti databaseFlags tidak ditetapkan ke salah satu nilai berikut: verbose atau nilai default default.

  • Pemindaian real-time: Ya

Nama kategori di API: ALLOYDB_PUBLIC_IP

Deskripsi temuan: Instance database AlloyDB untuk PostgreSQL memiliki alamat IP publik.

Tingkat harga: Premium

Aset yang didukung
alloydb.googleapis.com/Instances

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3, 4.6

Memeriksa apakah kolom enablePublicIp properti instanceNetworkConfig dikonfigurasi untuk mengizinkan alamat IP publik.

  • Pemindaian real-time: Ya

Nama kategori di API: ALLOYDB_SSL_NOT_ENFORCED

Deskripsi temuan: Instance database AlloyDB untuk PostgreSQL tidak mewajibkan semua koneksi masuk untuk menggunakan SSL.

Tingkat harga: Premium

Aset yang didukung
alloydb.googleapis.com/Instances

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3

Memeriksa apakah properti sslMode instance AlloyDB untuk PostgreSQL ditetapkan ke ENCRYPTED_ONLY.

  • Pemindaian real-time: Ya

Temuan kerentanan Cloud SQL

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi Cloud SQL, dan termasuk dalam jenis SQL_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: AUTO_BACKUP_DISABLED

Deskripsi temuan: Database Cloud SQL tidak mengaktifkan pencadangan otomatis.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.7
  • CIS GCP Foundation 1.2: 6.7
  • CIS GCP Foundation 1.3: 6.7
  • CIS GCP Foundation 2.0: 6.7
  • CIS GCP Foundation 3.0: 6.7
  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)
  • CIS Controls 8.0: 11.2

Memeriksa apakah properti backupConfiguration.enabled data Cloud SQL ditetapkan ke true.

  • Aset yang dikecualikan dari pemindaian: Replika Cloud SQL
  • Input tambahan: Membaca kebijakan izin IAM untuk ancestor dari penyimpanan aset Security Health Analytics
  • Pemindaian real-time: Ya

Nama kategori di API: PUBLIC_SQL_INSTANCE

Deskripsi temuan: Instance database Cloud SQL menerima koneksi dari semua alamat IP.

Tingkat harga: Premium atau Standard

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 6.2
  • CIS GCP Foundation 1.1: 6.5
  • CIS GCP Foundation 1.2: 6.5
  • CIS GCP Foundation 1.3: 6.5
  • CIS GCP Foundation 2.0: 6.5
  • CIS GCP Foundation 3.0: 6.5
  • NIST 800-53 R4: CA-3, SC-7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.13.1.3, A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Memeriksa apakah properti authorizedNetworks instance Cloud SQL ditetapkan ke satu alamat IP atau rentang alamat IP.

  • Pemindaian real-time: Ya

Nama kategori di API: SSL_NOT_ENFORCED

Deskripsi temuan: Instance database Cloud SQL tidak mewajibkan semua koneksi masuk untuk menggunakan SSL.

Tingkat harga: Premium atau Standard

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 2.0: 6.4
  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3

Memeriksa apakah properti sslMode dari instance Cloud SQL ditetapkan ke mode SSL yang disetujui, baik ENCRYPTED_ONLY atau TRUSTED_CLIENT_CERTIFICATE_REQUIRED.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_CMEK_DISABLED

Deskripsi temuan: Instance database SQL tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa kolom kmsKeyName di objek diskEncryptionKey, dalam metadata instance, untuk nama resource CMEK Anda.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_CONTAINED_DATABASE_AUTHENTICATION

Deskripsi temuan: Flag database contained database authentication untuk instance Cloud SQL untuk SQL Server tidak disetel ke off.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.3.2
  • CIS GCP Foundation 1.2: 6.3.7
  • CIS GCP Foundation 1.3: 6.3.7
  • CIS GCP Foundation 2.0: 6.3.7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Memeriksa properti databaseFlags metadata instance untuk key-value pair, "name": "contained database authentication", "value": "on", atau apakah properti tersebut diaktifkan secara default.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_CROSS_DB_OWNERSHIP_CHAINING

Deskripsi temuan: Flag database cross_db_ownership_chaining untuk instance Cloud SQL untuk SQL Server tidak disetel ke off.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.3.1
  • CIS GCP Foundation 1.2: 6.3.2
  • CIS GCP Foundation 1.3: 6.3.2
  • CIS GCP Foundation 2.0: 6.3.2
  • CIS GCP Foundation 3.0: 6.3.2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "cross_db_ownership_chaining", "value": "on".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_EXTERNAL_SCRIPTS_ENABLED

Deskripsi temuan: Flag database external scripts enabled untuk instance Cloud SQL untuk SQL Server tidak disetel ke off.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.3.1
  • CIS GCP Foundation 1.3: 6.3.1
  • CIS GCP Foundation 2.0: 6.3.1
  • CIS GCP Foundation 3.0: 6.3.1
  • NIST 800-53 R5: CM-7, SI-7
  • PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.3
  • NIST Cybersecurity Framework 1.0: PR-IP-1, PR-PT-3
  • SOC2 v2017: CC5.2.1, CC5.2.2, CC5.2.3, CC5.2.4
  • CIS Controls 8.0: 2.7

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "external scripts enabled", "value": "off".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOCAL_INFILE

Deskripsi temuan: Flag database local_infile untuk instance Cloud SQL untuk MySQL diaktifkan.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.1.2
  • CIS GCP Foundation 1.2: 6.1.3
  • CIS GCP Foundation 1.3: 6.1.3
  • CIS GCP Foundation 2.0: 6.1.3
  • CIS GCP Foundation 3.0: 6.1.3
  • NIST 800-53 R5: CM-6, CM-7
  • PCI-DSS v4.0: 2.2.1
  • ISO-27001 v2022: A.8.8
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • CIS Controls 8.0: 16.7

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "local_infile", "value": "on".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_CHECKPOINTS_DISABLED

Deskripsi temuan: Flag database log_checkpoints untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke on.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.2.1
  • CIS GCP Foundation 1.2: 6.2.1

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "log_checkpoints", "value": "on".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_CONNECTIONS_DISABLED

Deskripsi temuan: Flag database log_connections untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke on.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.2.2
  • CIS GCP Foundation 1.2: 6.2.3
  • CIS GCP Foundation 1.3: 6.2.2
  • CIS GCP Foundation 2.0: 6.2.2
  • CIS GCP Foundation 3.0: 6.2.2
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "log_connections", "value": "on".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_DISCONNECTIONS_DISABLED

Deskripsi temuan: Flag database log_disconnections untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke on.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.2.3
  • CIS GCP Foundation 1.2: 6.2.4
  • CIS GCP Foundation 1.3: 6.2.3
  • CIS GCP Foundation 2.0: 6.2.3
  • CIS GCP Foundation 3.0: 6.2.3
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "log_disconnections", "value": "on".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_DURATION_DISABLED

Deskripsi temuan: Flag database log_duration untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke on.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.2.5

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "log_duration", "value": "on".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_ERROR_VERBOSITY

Deskripsi temuan: Flag database log_error_verbosity untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke default atau verbose.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.2.2
  • CIS GCP Foundation 1.3: 6.2.1
  • CIS GCP Foundation 2.0: 6.2.1
  • CIS GCP Foundation 3.0: 6.2.1
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Memeriksa apakah properti databaseFlags dari metadata instance untuk kolom log_error_verbosity ditetapkan ke default atau verbose.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_LOCK_WAITS_DISABLED

Deskripsi temuan: Flag database log_lock_waits untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke on.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.2.4
  • CIS GCP Foundation 1.2: 6.2.6

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "log_lock_waits", "value": "on".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_MIN_DURATION_STATEMENT_ENABLED

Deskripsi temuan: Flag database log_min_duration_statement untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke "-1".

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.2.7
  • CIS GCP Foundation 1.2: 6.2.16
  • CIS GCP Foundation 1.3: 6.2.8
  • CIS GCP Foundation 2.0: 6.2.7
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "log_min_duration_statement", "value": "-1".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_MIN_ERROR_STATEMENT

Deskripsi temuan: Flag database log_min_error_statement untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan dengan tepat.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.2.5

Memeriksa apakah kolom log_min_error_statement properti databaseFlags ditetapkan ke salah satu nilai berikut: debug5, debug4, debug3, debug2, debug1, info, notice, warning, atau nilai default error.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY

Deskripsi temuan: Flag database log_min_error_statement untuk instance Cloud SQL untuk PostgreSQL tidak memiliki tingkat keparahan yang sesuai.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.2.14
  • CIS GCP Foundation 1.3: 6.2.7
  • CIS GCP Foundation 2.0: 6.2.6
  • CIS GCP Foundation 3.0: 6.2.6
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Memeriksa apakah kolom log_min_error_statement properti databaseFlags ditetapkan ke salah satu nilai berikut: error, log, fatal, atau panic.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_MIN_MESSAGES

Deskripsi temuan: Flag database log_min_messages untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke warning atau nilai yang direkomendasikan lainnya.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.2.13
  • CIS GCP Foundation 1.3: 6.2.6
  • CIS GCP Foundation 2.0: 6.2.5
  • CIS GCP Foundation 3.0: 6.2.5
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Untuk memastikan cakupan jenis pesan yang memadai dalam log, buat temuan jika kolom log_min_messages dari properti databaseFlags tidak ditetapkan ke salah satu nilai berikut: debug5, debug4, debug3, debug2, debug1, info, notice, atau nilai default warning.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_EXECUTOR_STATS_ENABLED

Deskripsi temuan: Flag database log_executor_stats untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke off.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.2.11

Memeriksa apakah properti databaseFlags metadata instance untuk kolom log_executor_stats ditetapkan ke on.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_HOSTNAME_ENABLED

Deskripsi temuan: Flag database log_hostname untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke off.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.2.8

Memeriksa apakah properti databaseFlags metadata instance untuk kolom log_hostname ditetapkan ke on.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_PARSER_STATS_ENABLED

Deskripsi temuan: Flag database log_parser_stats untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke off.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.2.9

Memeriksa apakah properti databaseFlags metadata instance untuk kolom log_parser_stats ditetapkan ke on.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_PLANNER_STATS_ENABLED

Deskripsi temuan: Flag database log_planner_stats untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke off.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.2.10

Memeriksa apakah properti databaseFlags metadata instance untuk kolom log_planner_stats ditetapkan ke on.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_STATEMENT

Deskripsi temuan: Flag database log_statement untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke ddl (semua pernyataan definisi data).

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.2.7
  • CIS GCP Foundation 1.3: 6.2.4
  • CIS GCP Foundation 2.0: 6.2.4
  • CIS GCP Foundation 3.0: 6.2.4
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Memeriksa apakah properti databaseFlags metadata instance untuk kolom log_statement ditetapkan ke ddl.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_STATEMENT_STATS_ENABLED

Deskripsi temuan: Flag database log_statement_stats untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke off.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.2.12

Memeriksa apakah properti databaseFlags metadata instance untuk kolom log_statement_stats ditetapkan ke on.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_LOG_TEMP_FILES

Deskripsi temuan: Flag database log_temp_files untuk instance Cloud SQL untuk PostgreSQL tidak ditetapkan ke "0".

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.2.6
  • CIS GCP Foundation 1.2: 6.2.15

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "log_temp_files", "value": "0".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_NO_ROOT_PASSWORD

Deskripsi temuan: Database Cloud SQL yang memiliki alamat IP publik tidak memiliki sandi yang dikonfigurasi untuk akun root. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 6.3
  • CIS GCP Foundation 1.1: 6.1.1
  • CIS GCP Foundation 1.2: 6.1.1
  • CIS GCP Foundation 1.3: 6.1.1
  • CIS GCP Foundation 2.0: 6.1.1
  • CIS GCP Foundation 3.0: 6.1.1
  • NIST 800-53 R4: AC-3
  • PCI-DSS v3.2.1: 2.1
  • ISO-27001 v2013: A.8.2.3, A.9.4.2
  • ISO-27001 v2022: A.8.5

Memeriksa apakah properti rootPassword akun root kosong.

  • Izin IAM tambahan: roles/cloudsql.client
  • Input tambahan: Membuat kueri instance aktif
  • Pemindaian real-time: Tidak

Nama kategori di API: SQL_PUBLIC_IP

Deskripsi temuan: Database Cloud SQL memiliki alamat IP publik.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.1: 6.6
  • CIS GCP Foundation 1.2: 6.6
  • CIS GCP Foundation 1.3: 6.6
  • CIS GCP Foundation 2.0: 6.2.9, 6.6
  • CIS GCP Foundation 3.0: 6.2.9, 6.6
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3, 4.6

Memeriksa apakah jenis alamat IP database Cloud SQL ditetapkan ke Primary, yang menunjukkan bahwa alamat IP tersebut bersifat publik.

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_REMOTE_ACCESS_ENABLED

Deskripsi temuan: Flag database remote access untuk instance Cloud SQL untuk SQL Server tidak disetel ke off.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.3.5
  • CIS GCP Foundation 1.3: 6.3.5
  • CIS GCP Foundation 2.0: 6.3.5
  • CIS GCP Foundation 3.0: 6.3.5
  • NIST 800-53 R5: CM-6, CM-7
  • PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1
  • ISO-27001 v2022: A.8.9
  • SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4
  • CIS Controls 8.0: 4.8

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "remote access", "value": "off".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_SKIP_SHOW_DATABASE_DISABLED

Deskripsi temuan: Flag database skip_show_database untuk instance Cloud SQL untuk MySQL tidak ditetapkan ke on.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.1.2
  • CIS GCP Foundation 1.3: 6.1.2
  • CIS GCP Foundation 2.0: 6.1.2
  • CIS GCP Foundation 3.0: 6.1.2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "skip_show_database", "value": "on".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_TRACE_FLAG_3625

Deskripsi temuan: Flag database 3625 (trace flag) untuk instance Cloud SQL untuk SQL Server tidak disetel ke on.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.3.6
  • CIS GCP Foundation 2.0: 6.3.6
  • CIS GCP Foundation 3.0: 6.3.6
  • NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.1, A.8.9
  • Cloud Controls Matrix 4: CCC-01
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9
  • CIS Controls 8.0: 4.1

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "3625 (trace flag)", "value": "on".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_USER_CONNECTIONS_CONFIGURED

Deskripsi temuan: Flag database user connections untuk instance Cloud SQL untuk SQL Server dikonfigurasi.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.3.3
  • CIS GCP Foundation 1.3: 6.3.3
  • CIS GCP Foundation 2.0: 6.3.3
  • CIS GCP Foundation 3.0: 6.3.3
  • NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.1, A.8.9
  • Cloud Controls Matrix 4: CCC-01
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9
  • CIS Controls 8.0: 4.1

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "user connections", "value": "0".

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_USER_OPTIONS_CONFIGURED

Deskripsi temuan: Flag database user options untuk instance Cloud SQL untuk SQL Server dikonfigurasi.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.2: 6.3.4
  • CIS GCP Foundation 1.3: 6.3.4
  • CIS GCP Foundation 2.0: 6.3.4
  • CIS GCP Foundation 3.0: 6.3.4
  • NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.1, A.8.9
  • Cloud Controls Matrix 4: CCC-01
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9
  • CIS Controls 8.0: 4.1

Memeriksa properti databaseFlags metadata instance untuk key-value pair "name": "user options", "value": "" (kosong).

  • Pemindaian real-time: Ya

Nama kategori di API: SQL_WEAK_ROOT_PASSWORD

Deskripsi temuan: Database Cloud SQL yang memiliki alamat IP publik juga memiliki sandi lemah yang dikonfigurasi untuk akun root. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
sqladmin.googleapis.com/Instance

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Membandingkan sandi untuk akun root database Cloud SQL Anda dengan daftar sandi umum.

  • Izin IAM tambahan: roles/cloudsql.client
  • Input tambahan: Membuat kueri instance aktif
  • Pemindaian real-time: Tidak

Temuan kerentanan subnetwork

Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi subnetwork organisasi, dan termasuk dalam jenisSUBNETWORK_SCANNER.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: FLOW_LOGS_DISABLED

Deskripsi temuan: Ada subnetwork VPC yang log alurnya dinonaktifkan.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Subnetwork

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 3.9
  • CIS GCP Foundation 1.1: 3.8
  • CIS GCP Foundation 1.2: 3.8
  • NIST 800-53 R4: SI-4
  • PCI-DSS v3.2.1: 10.1, 10.2
  • ISO-27001 v2013: A.13.1.1

Memeriksa apakah properti enableFlowLogs subnetwork Compute Engine tidak ada atau ditetapkan ke false.

  • Aset yang dikecualikan dari pemindaian: Akses VPC Serverless, subnetwork load balancer
  • Pemindaian real-time: Ya

Deskripsi temuan: Untuk subnetwork VPC, VPC Flow Logs tidak aktif atau tidak dikonfigurasi berdasarkan rekomendasi CIS Benchmark 1.3. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Tingkat harga: Premium

Aset yang didukung
compute.googleapis.com/Subnetwork

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.3: 3.8
  • CIS GCP Foundation 2.0: 3.8
  • CIS GCP Foundation 3.0: 3.8
  • NIST 800-53 R5: SI-4
  • ISO-27001 v2022: A.8.15, A.8.16
  • Cloud Controls Matrix 4: IVS-03
  • NIST Cybersecurity Framework 1.0: DE-CM-1
  • SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4
  • CIS Controls 8.0: 13.6, 8.2

Memeriksa apakah properti enableFlowLogs subnetwork VPC tidak ada atau ditetapkan ke false. Jika Log Aliran VPC diaktifkan, periksa properti Aggregation Interval yang ditetapkan ke 5 SEC, Include metadata yang ditetapkan ke true, Sample rate ke 100%.

  • Aset yang dikecualikan dari pemindaian: Akses VPC Serverless, subnetwork load balancer
  • Pemindaian real-time: Ya

Nama kategori di API: PRIVATE_GOOGLE_ACCESS_DISABLED

Deskripsi temuan: Ada subnetwork pribadi tanpa akses ke Google API publik.

Tingkat harga: Premium

Aset yang didukung
storage.googleapis.com/Bucket
compute.googleapis.com/Subnetwork

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS GCP Foundation 1.0: 3.8

Memeriksa apakah properti privateIpGoogleAccess subnetwork Compute Engine ditetapkan ke false.

  • Pemindaian real-time: Ya

Temuan AWS

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED

Deskripsi temuan:

AWS CloudShell adalah cara yang mudah untuk menjalankan perintah CLI terhadap layanan AWS; kebijakan IAM terkelola ('AWSCloudShellFullAccess') memberikan akses penuh ke CloudShell, yang memungkinkan kemampuan upload dan download file antara sistem lokal pengguna dan lingkungan CloudShell. Dalam lingkungan CloudShell, pengguna memiliki izin sudo, dan dapat mengakses internet. Jadi, Anda dapat menginstal software transfer file (misalnya) dan memindahkan data dari CloudShell ke server internet eksternal.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS AWS Foundation 2.0.0: 1.22
  • CIS AWS Foundation 3.0.0: 1.22

Pastikan akses ke AWSCloudShellFullAccess dibatasi

  • Pemindaian real-time: Tidak

Nama kategori di API: ACCESS_KEYS_ROTATED_90_DAYS_LESS

Deskripsi temuan:

Kunci akses terdiri dari ID kunci akses dan kunci akses rahasia, yang digunakan untuk menandatangani permintaan terprogram yang Anda buat ke AWS. Pengguna AWS memerlukan kunci akses mereka sendiri untuk melakukan panggilan terprogram ke AWS dari AWS Command Line Interface (AWS CLI), Tools for Windows PowerShell, AWS SDK, atau panggilan HTTP langsung menggunakan API untuk setiap layanan AWS. Sebaiknya semua kunci akses dirotasi secara rutin.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-3(15)
  • PCI-DSS v3.2.1: 8.2.4
  • CIS AWS Foundation 2.0.0: 1.14
  • CIS AWS Foundation 3.0.0: 1.14
  • CIS Controls 8.0: 5

Pastikan kunci akses dirotasi maksimal setiap 90 hari

  • Pemindaian real-time: Tidak

Nama kategori di API: ALL_EXPIRED_SSL_TLS_CERTIFICATES_STORED_AWS_IAM_REMOVED

Deskripsi temuan:

Untuk mengaktifkan koneksi HTTPS ke situs atau aplikasi Anda di AWS, Anda memerlukan sertifikat server SSL/TLS. Anda dapat menggunakan ACM atau IAM untuk menyimpan dan men-deploy sertifikat server.
Gunakan IAM sebagai pengelola sertifikat hanya jika Anda harus mendukung koneksi HTTPS di region yang tidak didukung oleh ACM. IAM mengenkripsi kunci pribadi Anda dengan aman dan menyimpan versi terenkripsi di penyimpanan sertifikat SSL IAM. IAM mendukung deployment sertifikat server di semua region, tetapi Anda harus mendapatkan sertifikat dari penyedia eksternal untuk digunakan dengan AWS. Anda tidak dapat mengupload sertifikat ACM ke IAM. Selain itu, Anda tidak dapat mengelola sertifikat dari Konsol IAM.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AU-11, CM-12, SI-12
  • PCI-DSS v4.0: 9.4.2
  • ISO-27001 v2022: A.5.10, A.5.9, A.8.1
  • Cloud Controls Matrix 4: DSP-01
  • NIST Cybersecurity Framework 1.0: PR-IP-6
  • CIS AWS Foundation 2.0.0: 1.19
  • CIS AWS Foundation 3.0.0: 1.19
  • CIS Controls 8.0: 3.1

Pastikan semua sertifikat SSL/TLS yang masa berlakunya telah habis yang disimpan di AWS IAM dihapus

  • Pemindaian real-time: Tidak

Nama kategori di API: AUTOSCALING_GROUP_ELB_HEALTHCHECK_REQUIRED

Deskripsi temuan:

Tindakan ini akan memeriksa apakah grup Auto Scaling Anda yang terkait dengan load balancer menggunakan health check Elastic Load Balancing.

Hal ini memastikan bahwa grup dapat menentukan kondisi instance berdasarkan pengujian tambahan yang disediakan oleh load balancer. Menggunakan health check Elastic Load Balancing dapat membantu mendukung ketersediaan aplikasi yang menggunakan grup EC2 Auto Scaling.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-2

Memeriksa apakah semua grup penskalaan otomatis yang dikaitkan dengan load balancer menggunakan health check

  • Pemindaian real-time: Tidak

Nama kategori di API: AUTO_MINOR_VERSION_UPGRADE_FEATURE_ENABLED_RDS_INSTANCES

Deskripsi temuan:

Pastikan instance database RDS mengaktifkan flag Upgrade Versi Minor Otomatis untuk menerima upgrade mesin minor secara otomatis selama masa pemeliharaan yang ditentukan. Jadi, instance RDS bisa mendapatkan fitur baru, perbaikan bug, dan patch keamanan untuk mesin databasenya.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: RA-5, RA-7, SI-2
  • ISO-27001 v2022: A.8.8
  • Cloud Controls Matrix 4: UEM-03
  • NIST Cybersecurity Framework 1.0: ID-RA-1
  • SOC2 v2017: CC7.1.1, CC7.1.2, CC7.1.3, CC7.1.4, CC7.1.5
  • CIS AWS Foundation 2.0.0: 2.3.2
  • CIS AWS Foundation 3.0.0: 2.3.2
  • CIS Controls 8.0: 7.4

Pastikan fitur Upgrade Versi Minor Otomatis Diaktifkan untuk Instance RDS

  • Pemindaian real-time: Tidak

Nama kategori di API: AWS_CONFIG_ENABLED_ALL_REGIONS

Deskripsi temuan:

AWS Config adalah layanan web yang melakukan manajemen konfigurasi resource AWS yang didukung dalam akun Anda dan mengirimkan file log kepada Anda. Informasi yang dicatat mencakup item konfigurasi (resource AWS), hubungan antara item konfigurasi (resource AWS), dan setiap perubahan konfigurasi antar-resource. Sebaiknya AWS Config diaktifkan di semua region.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: CM-8, PM-5
  • PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1
  • ISO-27001 v2022: A.5.9, A.8.8
  • Cloud Controls Matrix 4: UEM-04
  • NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3
  • SOC2 v2017: CC3.2.6, CC6.1.1
  • HIPAA: 164.310(d)(2)(iii)
  • CIS AWS Foundation 2.0.0: 3.5
  • CIS AWS Foundation 3.0.0: 3.5
  • CIS Controls 8.0: 1.1

Pastikan AWS Config diaktifkan di semua region

  • Pemindaian real-time: Tidak

Nama kategori di API: AWS_SECURITY_HUB_ENABLED

Deskripsi temuan:

Security Hub mengumpulkan data keamanan dari seluruh akun, layanan, dan produk partner pihak ketiga yang didukung AWS, serta membantu Anda menganalisis tren keamanan dan mengidentifikasi masalah keamanan dengan prioritas tertinggi. Saat Anda mengaktifkan Security Hub, layanan ini akan mulai menggunakan, menggabungkan, mengatur, dan memprioritaskan temuan dari layanan AWS yang telah Anda aktifkan, seperti Amazon GuardDuty, Amazon Inspector, dan Amazon Macie. Anda juga dapat mengaktifkan integrasi dengan produk keamanan partner AWS.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: CA-7
  • PCI-DSS v3.2.1: 11.5
  • CIS AWS Foundation 2.0.0: 4.16
  • CIS AWS Foundation 3.0.0: 4.16

Pastikan AWS Security Hub diaktifkan

  • Pemindaian real-time: Tidak

Nama kategori di API: CLOUDTRAIL_LOGS_ENCRYPTED_REST_USING_KMS_CMKS

Deskripsi temuan:

AWS CloudTrail adalah layanan web yang mencatat panggilan API AWS untuk sebuah akun dan menyediakan log tersebut bagi pengguna dan resource sesuai dengan kebijakan IAM. AWS Key Management Service (KMS) adalah layanan terkelola yang membantu membuat dan mengontrol kunci enkripsi yang digunakan untuk mengenkripsi data akun, serta menggunakan Hardware Security Module (HSM) untuk melindungi keamanan kunci enkripsi. Log CloudTrail dapat dikonfigurasi untuk memanfaatkan enkripsi sisi server (SSE) dan kunci master (CMK) yang dibuat pelanggan KMS untuk lebih melindungi log CloudTrail. Sebaiknya CloudTrail dikonfigurasi untuk menggunakan SSE-KMS.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: IA-5, SC-28, SI-7(6)
  • PCI-DSS v3.2.1: 10.5.2
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 3.7
  • CIS AWS Foundation 3.0.0: 3.5
  • CIS Controls 8.0: 3.11

Pastikan log CloudTrail dienkripsi dalam penyimpanan menggunakan CMK KMS

  • Pemindaian real-time: Tidak

Nama kategori di API: CLOUDTRAIL_LOG_FILE_VALIDATION_ENABLED

Deskripsi temuan:

Validasi file log CloudTrail membuat file ringkasan yang ditandatangani secara digital yang berisi hash dari setiap log yang ditulis CloudTrail ke S3. File ringkasan ini dapat digunakan untuk menentukan apakah file log diubah, dihapus, atau tidak diubah setelah CloudTrail mengirimkan log. Sebaiknya validasi file diaktifkan di semua CloudTrail.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AU-6, AU-7, SI-7(7)
  • PCI-DSS v3.2.1: 11.5
  • PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3
  • ISO-27001 v2022: A.5.25
  • Cloud Controls Matrix 4: LOG-05
  • NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1
  • SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5
  • HIPAA: 164.308(a)(1)(ii), 164.312(b)
  • CIS AWS Foundation 2.0.0: 3.2
  • CIS AWS Foundation 3.0.0: 3.2
  • CIS Controls 8.0: 8.11

Pastikan validasi file log CloudTrail diaktifkan

  • Pemindaian real-time: Tidak

Nama kategori di API: CLOUDTRAIL_TRAILS_INTEGRATED_CLOUDWATCH_LOGS

Deskripsi temuan:

AWS CloudTrail adalah layanan web yang mencatat panggilan API AWS yang dilakukan di akun AWS tertentu. Informasi yang dicatat mencakup identitas pemanggil API, waktu panggilan API, alamat IP sumber pemanggil API, parameter permintaan, dan elemen respons yang ditampilkan oleh layanan AWS. CloudTrail menggunakan Amazon S3 untuk penyimpanan dan pengiriman file log, sehingga file log disimpan secara tahan lama. Selain menangkap log CloudTrail dalam bucket S3 yang ditentukan untuk analisis jangka panjang, analisis real-time dapat dilakukan dengan mengonfigurasi CloudTrail untuk mengirim log ke CloudWatch Logs. Untuk jejak yang diaktifkan di semua region dalam akun, CloudTrail mengirimkan file log dari semua region tersebut ke grup log CloudWatch Logs. Sebaiknya log CloudTrail dikirim ke CloudWatch Logs.

Catatan: Tujuan rekomendasi ini adalah untuk memastikan aktivitas akun AWS dicatat, dipantau, dan diberi alarm dengan tepat. CloudWatch Logs adalah cara native untuk melakukannya menggunakan layanan AWS, tetapi tidak menutup kemungkinan penggunaan solusi alternatif.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS AWS Foundation 2.0.0: 3.4
  • CIS Controls 8.0: 8.5, 8.9

Pastikan jejak jCloudTrail diintegrasikan dengan CloudWatch Logs

  • Pemindaian real-time: Tidak

Nama kategori di API: CLOUDWATCH_ALARM_ACTION_CHECK

Deskripsi temuan:

Tindakan ini memeriksa apakah Amazon Cloudwatch memiliki tindakan yang ditentukan saat alarm bertransisi antara status 'OK', 'ALARM', dan 'INSUFFICIENT_DATA'.

Mengonfigurasi tindakan untuk status ALARM di alarm Amazon CloudWatch sangat penting untuk memicu respons langsung saat metrik yang dipantau melanggar nilai minimum.
Hal ini memastikan penyelesaian masalah yang cepat, mengurangi periode nonaktif, dan memungkinkan perbaikan otomatis, sehingga menjaga kesehatan sistem dan mencegah pemadaman layanan.

Alarm memiliki setidaknya satu tindakan.
Alarm memiliki setidaknya satu tindakan saat alarm bertransisi ke status 'INSUFFICIENT_DATA' dari status lainnya.
(Opsional) Alarm memiliki setidaknya satu tindakan saat alarm bertransisi ke status 'OK' dari status lainnya.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-20

Memeriksa apakah setidaknya satu tindakan alarm, satu tindakan INSUFFICIENT_DATA, atau satu tindakan OK diaktifkan pada alarm CloudWatch.

  • Pemindaian real-time: Tidak

Nama kategori di API: CLOUDWATCH_LOG_GROUP_ENCRYPTED

Deskripsi temuan:

Pemeriksaan ini memastikan log CloudWatch dikonfigurasi dengan KMS.

Data grup log selalu dienkripsi di CloudWatch Logs. Secara default, CloudWatch Logs menggunakan enkripsi sisi server untuk data log dalam penyimpanan. Sebagai alternatif, Anda dapat menggunakan AWS Key Management Service untuk enkripsi ini. Jika Anda melakukannya, enkripsi akan dilakukan menggunakan kunci AWS KMS. Enkripsi menggunakan AWS KMS diaktifkan di tingkat grup log, dengan mengaitkan kunci KMS dengan grup log, baik saat Anda membuat grup log maupun setelah grup log ada.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • PCI-DSS v3.2.1: 3.4

Memeriksa apakah semua grup log di Amazon CloudWatch Logs dienkripsi dengan KMS

  • Pemindaian real-time: Tidak

Nama kategori di API: CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED

Deskripsi temuan:

Kontrol ini memeriksa apakah jejak CloudTrail dikonfigurasi untuk mengirim log ke CloudWatch Logs. Kontrol akan gagal jika properti CloudWatchLogsLogGroupArn dari jejak kosong.

CloudTrail mencatat panggilan API AWS yang dilakukan di akun tertentu. Informasi yang dicatat mencakup hal berikut:

  • Identitas pemanggil API
  • Waktu panggilan API
  • Alamat IP sumber pemanggil API
  • Parameter permintaan
  • Elemen respons yang ditampilkan oleh layanan AWS

CloudTrail menggunakan Amazon S3 untuk penyimpanan dan pengiriman file log. Anda dapat mengambil log CloudTrail di bucket S3 yang ditentukan untuk analisis jangka panjang. Untuk melakukan analisis real-time, Anda dapat mengonfigurasi CloudTrail untuk mengirim log ke CloudWatch Logs.

Untuk jejak yang diaktifkan di semua Region dalam akun, CloudTrail mengirimkan file log dari semua Region tersebut ke grup log CloudWatch Logs.

Hub keamanan merekomendasikan agar Anda mengirim log CloudTrail ke CloudWatch Logs. Perhatikan bahwa rekomendasi ini dimaksudkan untuk memastikan bahwa aktivitas akun dicatat, dipantau, dan diberi alarm dengan tepat. Anda dapat menggunakan CloudWatch Logs untuk menyiapkan ini dengan layanan AWS Anda. Rekomendasi ini tidak menghalangi penggunaan solusi yang berbeda.

Mengirim log CloudTrail ke CloudWatch Logs memfasilitasi logging aktivitas real-time dan historis berdasarkan pengguna, API, resource, dan alamat IP. Anda dapat menggunakan pendekatan ini untuk membuat alarm dan notifikasi untuk aktivitas akun yang anomali atau sensitif.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-20
  • PCI-DSS v3.2.1: 10.5.3

Memeriksa apakah semua jejak CloudTrail dikonfigurasi untuk mengirim log ke AWS CloudWatch

  • Pemindaian real-time: Tidak

Nama kategori di API: CODEBUILD_PROJECT_ENVVAR_AWSCRED_CHECK

Deskripsi temuan:

Tindakan ini akan memeriksa apakah project berisi variabel lingkungan AWS_ACCESS_KEY_ID dan AWS_SECRET_ACCESS_KEY.

Kredensial autentikasi AWS_ACCESS_KEY_ID dan AWS_SECRET_ACCESS_KEY tidak boleh disimpan dalam teks biasa, karena hal ini dapat menyebabkan eksposur data yang tidak diinginkan dan akses yang tidak sah.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: IA-5, SA-3

Memeriksa apakah semua project yang berisi variabel lingkungan AWS_ACCESS_KEY_ID dan AWS_SECRET_ACCESS_KEY tidak dalam teks biasa

  • Pemindaian real-time: Tidak

Nama kategori di API: CODEBUILD_PROJECT_SOURCE_REPO_URL_CHECK

Deskripsi temuan:

Tindakan ini akan memeriksa apakah URL repositori sumber Bitbucket project AWS CodeBuild berisi token akses pribadi atau nama pengguna dan sandi. Kontrol akan gagal jika URL repositori sumber Bitbucket berisi token akses pribadi atau nama pengguna dan sandi.

Kredensial login tidak boleh disimpan atau dikirimkan dalam teks biasa atau muncul di URL repositori sumber. Daripada menggunakan token akses pribadi atau kredensial login, Anda harus mengakses penyedia sumber di CodeBuild, dan mengubah URL repositori sumber agar hanya berisi jalur ke lokasi repositori Bitbucket. Menggunakan token akses pribadi atau kredensial login dapat mengakibatkan eksposur data yang tidak diinginkan atau akses yang tidak sah.

Tingkat harga: Enterprise

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa apakah semua project yang menggunakan github atau bitbucket sebagai sumber menggunakan oauth

  • Pemindaian real-time: Tidak

Nama kategori di API: CREDENTIALS_UNUSED_45_DAYS_GREATER_DISABLED

Deskripsi temuan:

Pengguna AWS IAM dapat mengakses resource AWS menggunakan berbagai jenis kredensial, seperti sandi atau kunci akses. Sebaiknya semua kredensial yang tidak digunakan selama 45 hari atau lebih dinonaktifkan atau dihapus.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-2
  • PCI-DSS v4.0: 8.3.7
  • NIST Cybersecurity Framework 1.0: PR-AC-1
  • CIS AWS Foundation 2.0.0: 1.12
  • CIS AWS Foundation 3.0.0: 1.12
  • CIS Controls 8.0: 5.3

Pastikan kredensial yang tidak digunakan selama 45 hari atau lebih dinonaktifkan

  • Pemindaian real-time: Tidak

Nama kategori di API: DEFAULT_SECURITY_GROUP_VPC_RESTRICTS_ALL_TRAFFIC

Deskripsi temuan:

VPC dilengkapi dengan grup keamanan default yang setelan awalnya menolak semua traffic masuk, mengizinkan semua traffic keluar, dan mengizinkan semua traffic antar-instance yang ditetapkan ke grup keamanan. Jika Anda tidak menentukan grup keamanan saat meluncurkan instance, instance tersebut akan otomatis ditetapkan ke grup keamanan default ini. Grup keamanan menyediakan pemfilteran stateful untuk traffic jaringan masuk/keluar ke resource AWS. Sebaiknya grup keamanan default membatasi semua traffic.

VPC default di setiap region harus memperbarui grup keamanan defaultnya agar mematuhi aturan. Setiap VPC yang baru dibuat akan otomatis berisi grup keamanan default yang memerlukan perbaikan agar sesuai dengan rekomendasi ini.

CATATAN: Saat menerapkan rekomendasi ini, logging aliran VPC sangat penting dalam menentukan akses port dengan hak istimewa terendah yang diperlukan oleh sistem agar dapat berfungsi dengan baik karena dapat mencatat semua penerimaan dan penolakan paket yang terjadi di grup keamanan saat ini. Hal ini secara signifikan mengurangi hambatan utama dalam rekayasa hak istimewa terendah, yaitu menemukan port minimum yang diperlukan oleh sistem di lingkungan. Meskipun rekomendasi logging aliran VPC dalam tolok ukur ini tidak diadopsi sebagai tindakan keamanan permanen, rekomendasi ini harus digunakan selama periode penemuan dan rekayasa untuk grup keamanan dengan hak istimewa terendah.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 5.4
  • CIS AWS Foundation 3.0.0: 5.4
  • CIS Controls 8.0: 3.3

Pastikan grup keamanan default setiap VPC membatasi semua traffic

  • Pemindaian real-time: Tidak

Nama kategori di API: DMS_REPLICATION_NOT_PUBLIC

Deskripsi temuan:

Memeriksa apakah instance replikasi AWS DMS bersifat publik. Untuk melakukannya, Cloud Run akan memeriksa nilai kolom PubliclyAccessible.

Instance replikasi pribadi memiliki alamat IP pribadi yang tidak dapat Anda akses di luar jaringan replikasi. Instance replikasi harus memiliki alamat IP pribadi jika database sumber dan target berada di jaringan yang sama. Jaringan juga harus terhubung ke VPC instance replikasi menggunakan VPN, AWS Direct Connect, atau peering VPC. Untuk mempelajari lebih lanjut instance replikasi publik dan pribadi, lihat Instance replikasi publik dan pribadi di Panduan Pengguna AWS Database Migration Service.

Anda juga harus memastikan bahwa akses ke konfigurasi instance AWS DMS dibatasi hanya untuk pengguna yang diberi otorisasi. Untuk melakukannya, batasi izin IAM pengguna untuk mengubah setelan dan resource AWS DMS.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Memeriksa apakah instance replikasi AWS Database Migration Service bersifat publik

  • Pemindaian real-time: Tidak

Nama kategori di API: DO_SETUP_ACCESS_KEYS_DURING_INITIAL_USER_SETUP_ALL_IAM_USERS_CONSOLE

Deskripsi temuan:

Konsol AWS secara default tidak memilih kotak centang saat membuat pengguna IAM baru. Saat membuat kredensial Pengguna IAM, Anda harus menentukan jenis akses yang mereka perlukan.

Akses terprogram: Pengguna IAM mungkin perlu melakukan panggilan API, menggunakan AWS CLI, atau menggunakan Tools for Windows PowerShell. Jika demikian, buat kunci akses (ID kunci akses dan kunci akses rahasia) untuk pengguna tersebut.

Akses AWS Management Console: Jika pengguna perlu mengakses AWS Management Console, buat sandi untuk pengguna tersebut.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 1.11
  • CIS AWS Foundation 3.0.0: 1.11
  • CIS Controls 8.0: 3.3, 5.4

Jangan konfigurasi kunci akses selama penyiapan pengguna awal untuk semua pengguna IAM yang memiliki sandi konsol

  • Pemindaian real-time: Tidak

Nama kategori di API: DYNAMODB_AUTOSCALING_ENABLED

Deskripsi temuan:

Tindakan ini memeriksa apakah tabel Amazon DynamoDB dapat menskalakan kapasitas baca dan tulisnya sesuai kebutuhan. Kontrol ini lulus jika tabel menggunakan mode kapasitas on-demand atau mode yang disediakan dengan penskalaan otomatis yang dikonfigurasi. Menskalakan kapasitas sesuai permintaan akan menghindari pengecualian throttling, yang membantu menjaga ketersediaan aplikasi Anda.

Tabel DynamoDB dalam mode kapasitas on-demand hanya dibatasi oleh kuota tabel default throughput DynamoDB. Untuk meningkatkan kuota ini, Anda dapat mengajukan tiket dukungan melalui AWS Support.

Tabel DynamoDB dalam mode yang disediakan dengan penskalaan otomatis menyesuaikan kapasitas throughput yang disediakan secara dinamis sebagai respons terhadap pola traffic. Untuk informasi tambahan tentang throttling permintaan DynamoDB, lihat Request throttling and burst capacity di Amazon DynamoDB Developer Guide.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-13(5)

Tabel DynamoDB harus otomatis menskalakan kapasitas sesuai permintaan

  • Pemindaian real-time: Tidak

Nama kategori di API: DYNAMODB_IN_BACKUP_PLAN

Deskripsi temuan:

Kontrol ini mengevaluasi apakah tabel DynamoDB dicakup oleh rencana cadangan. Kontrol akan gagal jika tabel DynamoDB tidak dicakup oleh rencana cadangan. Kontrol ini hanya mengevaluasi tabel DynamoDB yang berada dalam status ACTIVE.

Cadangan membantu Anda pulih lebih cepat dari insiden keamanan. Langkah ini juga memperkuat ketahanan sistem Anda. Menyertakan tabel DynamoDB dalam rencana pencadangan membantu Anda melindungi data dari kehilangan atau penghapusan yang tidak disengaja.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-13(5)

Tabel DynamoDB harus dicakup oleh rencana cadangan

  • Pemindaian real-time: Tidak

Nama kategori di API: DYNAMODB_PITR_ENABLED

Deskripsi temuan:

Pemulihan Point-In-Time (PITR) adalah salah satu mekanisme yang tersedia untuk mencadangkan tabel DynamoDB.

Cadangan point-in-time disimpan selama 35 hari. Jika Anda memerlukan retensi yang lebih lama, lihat Menyiapkan pencadangan terjadwal untuk Amazon DynamoDB menggunakan AWS Backup di Dokumentasi AWS.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-13(5)

Memeriksa apakah pemulihan point-in-time (PITR) diaktifkan untuk semua tabel AWS DynamoDB

  • Pemindaian real-time: Tidak

Nama kategori di API: DYNAMODB_TABLE_ENCRYPTED_KMS

Deskripsi temuan:

Memeriksa apakah semua tabel DynamoDB dienkripsi dengan kunci KMS yang dikelola pelanggan (non-default).

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(6)

Memeriksa apakah semua tabel DynamoDB dienkripsi dengan AWS Key Management Service (KMS)

  • Pemindaian real-time: Tidak

Nama kategori di API: EBS_OPTIMIZED_INSTANCE

Deskripsi temuan:

Memeriksa apakah pengoptimalan EBS diaktifkan untuk instance EC2 Anda yang dapat dioptimalkan EBS

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-5(2)

Memeriksa apakah pengoptimalan EBS diaktifkan untuk semua instance yang mendukung pengoptimalan EBS

  • Pemindaian real-time: Tidak

Nama kategori di API: EBS_SNAPSHOT_PUBLIC_RESTORABLE_CHECK

Deskripsi temuan:

Memeriksa apakah snapshot Amazon Elastic Block Store tidak bersifat publik. Kontrol akan gagal jika snapshot Amazon EBS dapat dipulihkan oleh siapa saja.

Snapshot EBS digunakan untuk mencadangkan data di volume EBS Anda ke Amazon S3 pada titik waktu tertentu. Anda dapat menggunakan snapshot untuk memulihkan status volume EBS sebelumnya. Membagikan snapshot kepada publik jarang dapat diterima. Biasanya, keputusan untuk membagikan snapshot secara publik dibuat karena kesalahan atau tanpa pemahaman yang lengkap tentang implikasinya. Pemeriksaan ini membantu memastikan bahwa semua pembagian tersebut sepenuhnya direncanakan dan disengaja.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Snapshot Amazon EBS tidak dapat dipulihkan secara publik

  • Pemindaian real-time: Tidak

Nama kategori di API: EBS_VOLUME_ENCRYPTION_ENABLED_ALL_REGIONS

Deskripsi temuan:

Elastic Compute Cloud (EC2) mendukung enkripsi dalam penyimpanan saat menggunakan layanan Elastic Block Store (EBS). Meskipun dinonaktifkan secara default, pemaksaan enkripsi saat pembuatan volume EBS didukung.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: IA-5, SC-28, SI-7(6)
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.2.1
  • CIS AWS Foundation 3.0.0: 2.2.1
  • CIS Controls 8.0: 3.11

Pastikan Enkripsi Volume EBS Diaktifkan di semua Region

  • Pemindaian real-time: Tidak

Nama kategori di API: EC2_INSTANCES_IN_VPC

Deskripsi temuan:

Amazon VPC menyediakan lebih banyak fungsi keamanan daripada EC2 Classic. Sebaiknya semua node termasuk dalam Amazon VPC.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7

Memastikan bahwa semua instance milik VPC

  • Pemindaian real-time: Tidak

Nama kategori di API: EC2_INSTANCE_NO_PUBLIC_IP

Deskripsi temuan:

Instance EC2 yang memiliki alamat IP publik memiliki risiko penyusupan yang lebih tinggi. Sebaiknya instance EC2 tidak dikonfigurasi dengan alamat IP publik.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Memastikan tidak ada instance yang memiliki IP publik

  • Pemindaian real-time: Tidak

Nama kategori di API: EC2_MANAGEDINSTANCE_ASSOCIATION_COMPLIANCE_STATUS_CHECK

Deskripsi temuan:

Asosiasi State Manager adalah konfigurasi yang ditetapkan ke instance terkelola Anda. Konfigurasi menentukan status yang ingin Anda pertahankan pada instance. Misalnya, pengaitan dapat menentukan bahwa software antivirus harus diinstal dan berjalan di instance Anda, atau bahwa port tertentu harus ditutup. Instance EC2 yang memiliki pengaitan dengan AWS Systems Manager berada di bawah pengelolaan Systems Manager, sehingga memudahkan penerapan patch, perbaikan kesalahan konfigurasi, dan respons terhadap peristiwa keamanan.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • PCI-DSS v3.2.1: 6.2

Memeriksa status kepatuhan pengaitan AWS Systems Manager

  • Pemindaian real-time: Tidak

Nama kategori di API: EC2_MANAGEDINSTANCE_PATCH_COMPLIANCE_STATUS_CHECK

Deskripsi temuan:

Kontrol ini memeriksa apakah status kepatuhan pengaitan AWS Systems Manager adalah COMPLIANT atau NON_COMPLIANT setelah pengaitan dijalankan pada instance. Kontrol akan gagal jika status kepatuhan pengaitan adalah NON_COMPLIANT.

Asosiasi State Manager adalah konfigurasi yang ditetapkan ke instance terkelola Anda. Konfigurasi menentukan status yang ingin Anda pertahankan pada instance. Misalnya, pengaitan dapat menentukan bahwa software antivirus harus diinstal dan dijalankan di instance Anda atau bahwa port tertentu harus ditutup.

Setelah Anda membuat satu atau beberapa pengaitan State Manager, informasi status kepatuhan akan segera tersedia untuk Anda. Anda dapat melihat status kepatuhan di konsol atau sebagai respons terhadap perintah AWS CLI atau tindakan Systems Manager API yang sesuai. Untuk pengaitan, Configuration Compliance menampilkan status kepatuhan (Compliant atau Non-compliant). Tabel ini juga menampilkan tingkat keparahan yang ditetapkan ke pengaitan, seperti Kritis atau Sedang.

Untuk mempelajari lebih lanjut kepatuhan pengaitan State Manager, lihat About State Manager association compliance di Panduan Pengguna AWS Systems Manager.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-2
  • PCI-DSS v3.2.1: 6.2

Memeriksa status kepatuhan patch AWS Systems Manager

  • Pemindaian real-time: Tidak

Nama kategori di API: EC2_METADATA_SERVICE_ALLOWS_IMDSV2

Deskripsi temuan:

Saat mengaktifkan Layanan Metadata di instance AWS EC2, pengguna memiliki opsi untuk menggunakan Instance Metadata Service Version 1 (IMDSv1; metode permintaan/respons) atau Instance Metadata Service Version 2 (IMDSv2; metode berorientasi sesi).

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-6
  • CIS AWS Foundation 2.0.0: 5.6
  • CIS AWS Foundation 3.0.0: 5.6

Pastikan Layanan Metadata EC2 hanya mengizinkan IMDSv2

  • Pemindaian real-time: Tidak

Nama kategori di API: EC2_VOLUME_INUSE_CHECK

Deskripsi temuan:

Mengidentifikasi dan menghapus volume Elastic Block Store (EBS) yang tidak terpasang (tidak digunakan) di akun AWS Anda untuk menurunkan biaya tagihan AWS bulanan Anda. Menghapus volume EBS yang tidak digunakan juga mengurangi risiko data rahasia/sensitif keluar dari infrastruktur lokal Anda. Selain itu, kontrol ini juga memeriksa apakah instance EC2 yang diarsipkan dikonfigurasi untuk menghapus volume saat dihentikan.

Secara default, instance EC2 dikonfigurasi untuk menghapus data dalam volume EBS apa pun yang terkait dengan instance, dan untuk menghapus volume EBS root instance. Namun, volume EBS non-root yang terpasang ke instance, saat peluncuran atau selama eksekusi, akan dipertahankan setelah penghentian secara default.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: CM-2

Memeriksa apakah volume EBS dipasang ke instance EC2 dan dikonfigurasi untuk dihapus saat instance dihentikan

  • Pemindaian real-time: Tidak

Nama kategori di API: EFS_ENCRYPTED_CHECK

Deskripsi temuan:

Amazon EFS mendukung dua bentuk enkripsi untuk sistem file, yaitu enkripsi data dalam pengiriman dan enkripsi dalam penyimpanan. Tindakan ini memeriksa apakah semua sistem file EFS dikonfigurasi dengan enkripsi dalam penyimpanan di semua region yang diaktifkan di akun.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1

Memeriksa apakah EFS dikonfigurasi untuk mengenkripsi data file menggunakan KMS

  • Pemindaian real-time: Tidak

Nama kategori di API: EFS_IN_BACKUP_PLAN

Deskripsi temuan:

Praktik terbaik Amazon merekomendasikan konfigurasi pencadangan untuk Elastic File System (EFS) Anda. Tindakan ini akan memeriksa semua EFS di setiap region yang diaktifkan di akun AWS Anda untuk cadangan yang diaktifkan.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-13(5)

Memeriksa apakah sistem file EFS disertakan dalam paket AWS Backup

  • Pemindaian real-time: Tidak

Nama kategori di API: ELB_ACM_CERTIFICATE_REQUIRED

Deskripsi temuan:

Memeriksa apakah Load Balancer Klasik menggunakan sertifikat HTTPS/SSL yang disediakan oleh AWS Certificate Manager (ACM). Kontrol akan gagal jika Load Balancer Klasik yang dikonfigurasi dengan pemroses HTTPS/SSL tidak menggunakan sertifikat yang disediakan oleh ACM.

Untuk membuat sertifikat, Anda dapat menggunakan ACM atau alat yang mendukung protokol SSL dan TLS, seperti OpenSSL. Hub keamanan merekomendasikan agar Anda menggunakan ACM untuk membuat atau mengimpor sertifikat untuk load balancer Anda.

ACM terintegrasi dengan Classic Load Balancer sehingga Anda dapat men-deploy sertifikat di load balancer. Anda juga harus memperpanjang sertifikat ini secara otomatis.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-17, AC-4, IA-5, SC-12, SC-13, SC-23, SC-7, SC-8, SI-7, SI-7(6)

Memeriksa apakah semua Load Balancer Klasik menggunakan sertifikat SSL yang disediakan oleh AWS Certificate Manager

  • Pemindaian real-time: Tidak

Nama kategori di API: ELB_DELETION_PROTECTION_ENABLED

Deskripsi temuan:

Memeriksa apakah Load Balancer Aplikasi mengaktifkan proteksi dari penghapusan. Kontrol akan gagal jika proteksi dari penghapusan tidak dikonfigurasi.

Aktifkan proteksi dari penghapusan untuk melindungi Load Balancer Aplikasi Anda dari penghapusan.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-5(2)

Proteksi dari penghapusan Load Balancer Aplikasi harus diaktifkan

  • Pemindaian real-time: Tidak

Nama kategori di API: ELB_LOGGING_ENABLED

Deskripsi temuan:

Tindakan ini akan memeriksa apakah Load Balancer Aplikasi dan Load Balancer Klasik telah mengaktifkan logging. Kontrol akan gagal jika access_logs.s3.enabled bernilai salah (false).

Elastic Load Balancing menyediakan log akses yang mencatat informasi mendetail tentang permintaan yang dikirim ke load balancer Anda. Setiap log berisi informasi seperti waktu permintaan diterima, alamat IP klien, latensi, jalur permintaan, dan respons server. Anda dapat menggunakan log akses ini untuk menganalisis pola traffic dan memecahkan masalah.

Untuk mempelajari lebih lanjut, lihat Log akses untuk Classic Load Balancer di Panduan Pengguna untuk Classic Load Balancer.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1

Memeriksa apakah logging diaktifkan pada load balancer aplikasi dan klasik

  • Pemindaian real-time: Tidak

Nama kategori di API: ELB_TLS_HTTPS_LISTENERS_ONLY

Deskripsi temuan:

Pemeriksaan ini memastikan semua Load Balancer Klasik dikonfigurasi untuk menggunakan komunikasi yang aman.

Pemroses adalah proses yang memeriksa permintaan koneksi. Aturan ini dikonfigurasi dengan protokol dan port untuk koneksi front-end (klien ke load balancer) serta protokol dan port untuk koneksi back-end (load balancer ke instance). Untuk mengetahui informasi tentang port, protokol, dan konfigurasi pemroses yang didukung oleh Elastic Load Balancing, lihat Listeners for your Classic Load Balancer.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(6)

Memeriksa apakah semua Load Balancer Klasik dikonfigurasi dengan SSL atau pemroses HTTPS

  • Pemindaian real-time: Tidak

Nama kategori di API: ENCRYPTED_VOLUMES

Deskripsi temuan:

Memeriksa apakah volume EBS yang dalam status terpasang dienkripsi. Agar lulus pemeriksaan ini, volume EBS harus digunakan dan dienkripsi. Jika volume EBS tidak dipasang, volume tersebut tidak akan diperiksa.

Untuk lapisan keamanan tambahan pada data sensitif Anda di volume EBS, Anda harus mengaktifkan enkripsi EBS dalam penyimpanan. Enkripsi Amazon EBS menawarkan solusi enkripsi yang mudah untuk resource EBS Anda, sehingga Anda tidak perlu membangun, memelihara, dan mengamankan infrastruktur pengelolaan kunci Anda sendiri. Layanan ini menggunakan kunci KMS saat membuat volume dan snapshot terenkripsi.

Untuk mempelajari lebih lanjut enkripsi Amazon EBS, lihat enkripsi Amazon EBS di Panduan Pengguna Amazon EC2 untuk Instance Linux.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1

Volume Amazon EBS yang terpasang harus dienkripsi dalam penyimpanan

  • Pemindaian real-time: Tidak

Nama kategori di API: ENCRYPTION_AT_REST_ENABLED_RDS_INSTANCES

Deskripsi temuan:

Instance DB terenkripsi Amazon RDS menggunakan algoritma enkripsi AES-256 standar industri untuk mengenkripsi data Anda di server yang menghosting instance DB Amazon RDS Anda. Setelah data Anda dienkripsi, Amazon RDS menangani autentikasi akses dan dekripsi data Anda secara transparan dengan dampak minimal pada performa.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: IA-5, SC-28, SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.3.1
  • CIS AWS Foundation 3.0.0: 2.3.1
  • CIS Controls 8.0: 3.11

Pastikan enkripsi dalam penyimpanan diaktifkan untuk Instance RDS

  • Pemindaian real-time: Tidak

Nama kategori di API: ENCRYPTION_ENABLED_EFS_FILE_SYSTEMS

Deskripsi temuan:

Data EFS harus dienkripsi dalam penyimpanan menggunakan AWS KMS (Key Management Service).

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.4.1
  • CIS AWS Foundation 3.0.0: 2.4.1
  • CIS Controls 8.0: 3.11

Pastikan enkripsi diaktifkan untuk sistem file EFS

  • Pemindaian real-time: Tidak

Nama kategori di API: IAM_PASSWORD_POLICY

Deskripsi temuan:

AWS memungkinkan kebijakan sandi kustom di akun AWS Anda untuk menentukan persyaratan kompleksitas dan periode rotasi wajib untuk sandi pengguna IAM Anda. Jika Anda tidak menetapkan kebijakan sandi kustom, sandi pengguna IAM harus memenuhi kebijakan sandi AWS default. Praktik terbaik keamanan AWS merekomendasikan persyaratan kompleksitas sandi berikut:

  • Wajibkan minimal satu karakter huruf besar dalam sandi.
  • Mewajibkan minimal satu karakter huruf kecil dalam sandi.
  • Wajibkan minimal satu simbol dalam sandi.
  • Wajibkan minimal satu angka dalam sandi.
  • Memerlukan panjang sandi minimum setidaknya 14 karakter.
  • Memerlukan setidaknya 24 sandi sebelum mengizinkan penggunaan ulang.
  • Memerlukan minimal 90 hari sebelum masa berlaku sandi berakhir

Kontrol ini memeriksa semua persyaratan kebijakan sandi yang ditentukan.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: IA-5(1)
  • PCI-DSS v3.2.1: 8.2.5

Memeriksa apakah kebijakan sandi akun untuk pengguna IAM memenuhi persyaratan yang ditentukan

  • Pemindaian real-time: Tidak

Nama kategori di API: IAM_PASSWORD_POLICY_PREVENTS_PASSWORD_REUSE

Deskripsi temuan:

Kebijakan sandi IAM dapat mencegah penggunaan ulang sandi tertentu oleh pengguna yang sama. Sebaiknya kebijakan sandi mencegah penggunaan ulang sandi.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: IA-5
  • PCI-DSS v4.0: 2.2.2, 8.3.5, 8.3.6, 8.6.3
  • ISO-27001 v2022: A.5.17
  • Cloud Controls Matrix 4: IAM-02
  • SOC2 v2017: CC6.1.3, CC6.1.8, CC6.1.9
  • CIS AWS Foundation 2.0.0: 1.9
  • CIS AWS Foundation 3.0.0: 1.9
  • CIS Controls 8.0: 5.2

Pastikan kebijakan sandi IAM mencegah penggunaan ulang sandi

  • Pemindaian real-time: Tidak

Nama kategori di API: IAM_PASSWORD_POLICY_REQUIRES_MINIMUM_LENGTH_14_GREATER

Deskripsi temuan:

Kebijakan sandi, sebagian, digunakan untuk menerapkan persyaratan kompleksitas sandi. Kebijakan sandi IAM dapat digunakan untuk memastikan sandi memiliki panjang minimal tertentu. Sebaiknya kebijakan sandi mengharuskan panjang sandi minimum 14 karakter.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS AWS Foundation 2.0.0: 1.8
  • CIS AWS Foundation 3.0.0: 1.8
  • CIS Controls 8.0: 5, 5.2

Pastikan kebijakan sandi IAM mengharuskan panjang minimum 14 karakter atau lebih

  • Pemindaian real-time: Tidak

Nama kategori di API: IAM_POLICIES_ALLOW_FULL_ADMINISTRATIVE_PRIVILEGES_ATTACHED

Deskripsi temuan:

Kebijakan IAM adalah sarana untuk memberikan hak istimewa kepada pengguna, grup, atau peran. Sebaiknya berikan hak istimewa terendah, yaitu hanya memberikan izin yang diperlukan untuk melakukan tugas. Hal ini dianggap sebagai saran keamanan standar. Tentukan hal yang perlu dilakukan pengguna, lalu buat kebijakan untuk mereka yang memungkinkan pengguna melakukan hanya tugas tersebut, bukan mengizinkan hak istimewa administratif penuh.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 1.16
  • CIS AWS Foundation 3.0.0: 1.16
  • CIS Controls 8.0: 3.3

Pastikan kebijakan IAM yang mengizinkan hak istimewa administratif "*:*" penuh tidak terpasang

  • Pemindaian real-time: Tidak

Nama kategori di API: IAM_USERS_RECEIVE_PERMISSIONS_GROUPS

Deskripsi temuan:

Pengguna IAM diberi akses ke layanan, fungsi, dan data melalui kebijakan IAM. Ada empat cara untuk menentukan kebijakan bagi pengguna: 1) Edit kebijakan pengguna secara langsung, alias kebijakan inline, atau pengguna; 2) lampirkan kebijakan langsung ke pengguna; 3) tambahkan pengguna ke grup IAM yang memiliki kebijakan terlampir; 4) tambahkan pengguna ke grup IAM yang memiliki kebijakan inline.

Hanya penerapan ketiga yang direkomendasikan.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-2, AC-5, AC-6, AU-9
  • PCI-DSS v4.0: 10.3.1, 7.1.1, 7.2.1, 7.2.2, 7.2.4, 7.2.6, 7.3.1, 7.3.2
  • ISO-27001 v2022: A.5.15, A.5.3, A.8.2, A.8.3
  • Cloud Controls Matrix 4: IAM-04
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.3.1, CC6.3.2, CC6.3.3
  • HIPAA: 164.308(a)(3)(ii), 164.308(a)(4)(i), 164.308(a)(4)(ii)
  • CIS AWS Foundation 2.0.0: 1.15
  • CIS AWS Foundation 3.0.0: 1.15
  • CIS Controls 8.0: 6.8

Pastikan Pengguna IAM Hanya Menerima Izin Melalui Grup

  • Pemindaian real-time: Tidak

Nama kategori di API: IAM_USER_GROUP_MEMBERSHIP_CHECK

Deskripsi temuan:

Pengguna IAM harus selalu menjadi bagian dari grup IAM untuk mematuhi praktik terbaik keamanan IAM.

Dengan menambahkan pengguna ke grup, Anda dapat membagikan kebijakan di antara jenis pengguna.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-6

Memeriksa apakah pengguna IAM adalah anggota dari setidaknya salah satu grup IAM

  • Pemindaian real-time: Tidak

Nama kategori di API: IAM_USER_MFA_ENABLED

Deskripsi temuan:

Autentikasi multi-faktor (MFA) adalah praktik terbaik yang menambahkan lapisan perlindungan ekstra selain nama pengguna dan sandi. Dengan MFA, saat pengguna login ke AWS Management Console, mereka harus memberikan kode autentikasi yang sensitif terhadap waktu, yang disediakan oleh perangkat virtual atau fisik yang terdaftar.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • PCI-DSS v3.2.1: 8.3.2

Memeriksa apakah autentikasi multi-faktor (MFA) pengguna AWS IAM diaktifkan atau tidak

  • Pemindaian real-time: Tidak

Nama kategori di API: IAM_USER_UNUSED_CREDENTIALS_CHECK

Deskripsi temuan:

Tindakan ini akan memeriksa sandi IAM atau kunci akses aktif yang belum digunakan dalam 90 hari terakhir.

Praktik terbaik merekomendasikan agar Anda menghapus, menonaktifkan, atau merotasi semua kredensial yang tidak digunakan selama 90 hari atau lebih. Tindakan ini mengurangi peluang penggunaan kredensial yang terkait dengan akun yang disusupi atau ditinggalkan.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-6
  • PCI-DSS v3.2.1: 8.1.4

Memeriksa apakah semua pengguna AWS IAM memiliki sandi atau kunci akses aktif yang belum digunakan dalam maxCredentialUsageAge hari (default-nya 90)

  • Pemindaian real-time: Tidak

Nama kategori di API: KMS_CMK_NOT_SCHEDULED_FOR_DELETION

Deskripsi temuan:

Kontrol ini memeriksa apakah kunci KMS dijadwalkan untuk dihapus. Kontrol akan gagal jika kunci KMS dijadwalkan untuk dihapus.

Kunci KMS tidak dapat dipulihkan setelah dihapus. Data yang dienkripsi dengan kunci KMS juga tidak dapat dipulihkan secara permanen jika kunci KMS dihapus. Jika data yang bermakna telah dienkripsi dengan kunci KMS yang dijadwalkan untuk dihapus, pertimbangkan untuk mendekripsi data atau mengenkripsi ulang data dengan kunci KMS baru, kecuali jika Anda sengaja melakukan penghapusan kriptografis.

Saat kunci KMS dijadwalkan untuk dihapus, masa tunggu wajib diberlakukan untuk memberikan waktu guna membatalkan penghapusan, jika penghapusan dijadwalkan secara tidak sengaja. Periode tunggu default adalah 30 hari, tetapi dapat dikurangi menjadi sesingkat 7 hari saat kunci KMS dijadwalkan untuk dihapus. Selama periode tunggu, penghapusan terjadwal dapat dibatalkan dan kunci KMS tidak akan dihapus.

Untuk informasi tambahan terkait penghapusan kunci KMS, lihat Menghapus kunci KMS di Panduan Developer AWS Key Management Service.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-12

Memeriksa apakah semua CMK tidak dijadwalkan untuk dihapus

  • Pemindaian real-time: Tidak

Nama kategori di API: LAMBDA_CONCURRENCY_CHECK

Deskripsi temuan:

Memeriksa apakah fungsi Lambda dikonfigurasi dengan batas eksekusi serentak tingkat fungsi. Aturan ini NON_COMPLIANT jika fungsi Lambda tidak dikonfigurasi dengan batas eksekusi serentak tingkat fungsi.

Tingkat harga: Enterprise

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa apakah fungsi Lambda dikonfigurasi dengan batas eksekusi serentak tingkat fungsi

  • Pemindaian real-time: Tidak

Nama kategori di API: LAMBDA_DLQ_CHECK

Deskripsi temuan:

Memeriksa apakah fungsi Lambda dikonfigurasi dengan antrean pesan yang dihentikan pengirimannya. Aturan ini NON_COMPLIANT jika fungsi Lambda tidak dikonfigurasi dengan antrean pesan yang dihentikan pengirimannya.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-2

Memeriksa apakah fungsi Lambda dikonfigurasi dengan antrean pesan yang dihentikan pengirimannya

  • Pemindaian real-time: Tidak

Nama kategori di API: LAMBDA_FUNCTION_PUBLIC_ACCESS_PROHIBITED

Deskripsi temuan:

Praktik terbaik AWS merekomendasikan agar fungsi Lambda tidak diekspos secara publik. Kebijakan ini memeriksa semua fungsi Lambda yang di-deploy di semua region yang diaktifkan dalam akun Anda dan akan gagal jika dikonfigurasi untuk mengizinkan akses publik.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Memeriksa apakah kebijakan yang disematkan ke fungsi Lambda melarang akses publik

  • Pemindaian real-time: Tidak

Nama kategori di API: LAMBDA_INSIDE_VPC

Deskripsi temuan:

Memeriksa apakah fungsi Lambda ada dalam VPC. Anda mungkin melihat temuan gagal untuk resource Lambda@Edge.

Alat ini tidak mengevaluasi konfigurasi pemilihan rute subnet VPC untuk menentukan keterjangkauan publik.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Memeriksa apakah fungsi Lambda ada dalam VPC

  • Pemindaian real-time: Tidak

Nama kategori di API: MFA_DELETE_ENABLED_S3_BUCKETS

Deskripsi temuan:

Setelah Hapus MFA diaktifkan di bucket S3 yang sensitif dan rahasia, pengguna harus memiliki dua bentuk autentikasi.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 2.1.2
  • CIS AWS Foundation 3.0.0: 2.1.2
  • CIS Controls 8.0: 3.3, 6.5

Pastikan Hapus MFA diaktifkan pada bucket S3

  • Pemindaian real-time: Tidak

Nama kategori di API: MFA_ENABLED_ROOT_USER_ACCOUNT

Deskripsi temuan:

Akun pengguna 'root' adalah pengguna dengan hak istimewa tertinggi di akun AWS. Autentikasi Multi-Faktor (MFA) menambahkan lapisan perlindungan ekstra selain nama pengguna dan sandi. Jika MFA diaktifkan, saat pengguna login ke situs AWS, dia akan diminta memasukkan nama pengguna dan sandinya serta kode autentikasi dari perangkat AWS MFA-nya.

Catatan: Jika MFA virtual digunakan untuk akun 'root', sebaiknya perangkat yang digunakan BUKAN perangkat pribadi, melainkan perangkat seluler khusus (tablet atau ponsel) yang dikelola agar tetap terisi daya dan aman, terlepas dari perangkat pribadi individu mana pun. ("MFA virtual non-pribadi") Hal ini mengurangi risiko kehilangan akses ke MFA karena kehilangan perangkat, tukar tambah perangkat, atau jika individu yang memiliki perangkat tidak lagi bekerja di perusahaan.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: IA-2, IA-2(8)
  • PCI-DSS v3.2.1: 8.3.2
  • PCI-DSS v4.0: 2.2.7, 8.4.1
  • ISO-27001 v2022: A.8.2
  • Cloud Controls Matrix 4: IAM-10
  • NIST Cybersecurity Framework 1.0: PR-AC-7
  • SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8
  • CIS AWS Foundation 2.0.0: 1.5
  • CIS AWS Foundation 3.0.0: 1.5
  • CIS Controls 8.0: 6.5

Pastikan MFA diaktifkan untuk akun pengguna 'root'

  • Pemindaian real-time: Tidak

Nama kategori di API: MULTI_FACTOR_AUTHENTICATION_MFA_ENABLED_ALL_IAM_USERS_CONSOLE

Deskripsi temuan:

Autentikasi Multi-Faktor (MFA) menambahkan lapisan jaminan autentikasi tambahan selain kredensial tradisional. Jika MFA diaktifkan, saat pengguna login ke AWS Console, mereka akan diminta memasukkan nama pengguna dan sandi serta kode autentikasi dari token MFA fisik atau virtual mereka. Sebaiknya MFA diaktifkan untuk semua akun yang memiliki sandi konsol.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: IA-2, IA-2(8)
  • PCI-DSS v3.2.1: 8.3.2
  • PCI-DSS v4.0: 2.2.7, 8.4.1
  • ISO-27001 v2022: A.8.2
  • Cloud Controls Matrix 4: IAM-10
  • NIST Cybersecurity Framework 1.0: PR-AC-7
  • SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8
  • CIS AWS Foundation 2.0.0: 1.10
  • CIS Controls 8.0: 6.5

Pastikan autentikasi multi-faktor (MFA) diaktifkan untuk semua pengguna IAM yang memiliki sandi konsol

  • Pemindaian real-time: Tidak

Nama kategori di API: NO_NETWORK_ACLS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION

Deskripsi temuan:

Fungsi Network Access Control List (NACL) menyediakan pemfilteran stateless untuk traffic jaringan masuk dan keluar ke resource AWS. Sebaiknya tidak ada NACL yang mengizinkan akses ingress tanpa batas ke port administrasi server jarak jauh, seperti SSH ke port 22 dan RDP ke port 3389, menggunakan protokol TDP (6), UDP (17), atau ALL (-1)

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS AWS Foundation 2.0.0: 5.1
  • CIS AWS Foundation 3.0.0: 5.1

Pastikan tidak ada ACL Jaringan yang mengizinkan ingress dari 0.0.0.0/0 ke port administrasi server jarak jauh

  • Pemindaian real-time: Tidak

Nama kategori di API: NO_ROOT_USER_ACCOUNT_ACCESS_KEY_EXISTS

Deskripsi temuan:

Akun pengguna 'root' adalah pengguna dengan hak istimewa tertinggi di akun AWS. AWS Access Key memberikan akses terprogram ke akun AWS tertentu. Sebaiknya hapus semua kunci akses yang terkait dengan akun pengguna 'root'.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 8.1.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 1.4
  • CIS AWS Foundation 3.0.0: 1.4
  • CIS Controls 8.0: 3.3, 5.4

Pastikan tidak ada kunci akses akun pengguna 'root'

  • Pemindaian real-time: Tidak

Nama kategori di API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION

Deskripsi temuan:

Grup keamanan menyediakan pemfilteran stateful untuk traffic jaringan ingress dan egress ke resource AWS. Sebaiknya tidak ada grup keamanan yang mengizinkan akses ingress tanpa batas ke port administrasi server jarak jauh, seperti SSH ke port 22 dan RDP ke port 3389, menggunakan protokol TDP (6), UDP (17), atau ALL (-1)

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS AWS Foundation 2.0.0: 5.2
  • CIS AWS Foundation 3.0.0: 5.2

Pastikan tidak ada grup keamanan yang mengizinkan ingress dari 0.0.0.0/0 ke port administrasi server jarak jauh

  • Pemindaian real-time: Tidak

Nama kategori di API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_REMOTE_SERVER_ADMINISTRATION

Deskripsi temuan:

Grup keamanan menyediakan pemfilteran stateful untuk traffic jaringan ingress dan egress ke resource AWS. Sebaiknya tidak ada grup keamanan yang mengizinkan akses ingress tidak terbatas ke port administrasi server jarak jauh, seperti SSH ke port 22 dan RDP ke port 3389.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS AWS Foundation 2.0.0: 5.3
  • CIS AWS Foundation 3.0.0: 5.3

Pastikan tidak ada grup keamanan yang mengizinkan ingress dari ::/0 ke port administrasi server jarak jauh

  • Pemindaian real-time: Tidak

Nama kategori di API: ONE_ACTIVE_ACCESS_KEY_AVAILABLE_ANY_SINGLE_IAM_USER

Deskripsi temuan:

Kunci akses adalah kredensial jangka panjang untuk pengguna IAM atau pengguna 'root' akun AWS. Anda dapat menggunakan kunci akses untuk menandatangani permintaan terprogram ke AWS CLI atau AWS API (secara langsung atau menggunakan AWS SDK)

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • CIS AWS Foundation 2.0.0: 1.13
  • CIS AWS Foundation 3.0.0: 1.13
  • CIS Controls 8.0: 5

Pastikan hanya ada satu kunci akses aktif yang tersedia untuk pengguna IAM tunggal apa pun

  • Pemindaian real-time: Tidak

Nama kategori di API: PUBLIC_ACCESS_GIVEN_RDS_INSTANCE

Deskripsi temuan:

Pastikan dan verifikasi bahwa instance database RDS yang disediakan di akun AWS Anda membatasi akses yang tidak sah untuk meminimalkan risiko keamanan. Untuk membatasi akses ke instance database RDS yang dapat diakses secara publik, Anda harus menonaktifkan flag Publicly Accessible database dan memperbarui grup keamanan VPC yang terkait dengan instance tersebut.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7
  • PCI-DSS v3.2.1: 2.2.2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 2.3.3
  • CIS AWS Foundation 3.0.0: 2.3.3
  • CIS Controls 8.0: 3.3

Pastikan akses publik tidak diberikan ke Instance RDS

  • Pemindaian real-time: Tidak

Nama kategori di API: RDS_ENHANCED_MONITORING_ENABLED

Deskripsi temuan:

Pemantauan yang ditingkatkan memberikan metrik real-time pada sistem operasi yang menjalankan instance RDS, melalui agen yang diinstal dalam instance.

Untuk mengetahui detail selengkapnya, lihat Memantau metrik OS dengan Enhanced Monitoring.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-2

Memeriksa apakah pemantauan yang ditingkatkan diaktifkan untuk semua instance DB RDS

  • Pemindaian real-time: Tidak

Nama kategori di API: RDS_INSTANCE_DELETION_PROTECTION_ENABLED

Deskripsi temuan:

Mengaktifkan proteksi dari penghapusan instance adalah lapisan perlindungan tambahan terhadap penghapusan database yang tidak disengaja atau penghapusan oleh entity yang tidak sah.

Saat proteksi dari penghapusan diaktifkan, instance DB RDS tidak dapat dihapus. Sebelum permintaan penghapusan dapat berhasil, proteksi dari penghapusan harus dinonaktifkan.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-13(5)

Memeriksa apakah proteksi dari penghapusan diaktifkan untuk semua instance RDS

  • Pemindaian real-time: Tidak

Nama kategori di API: RDS_IN_BACKUP_PLAN

Deskripsi temuan:

Pemeriksaan ini mengevaluasi apakah instance DB Amazon RDS dicakup oleh rencana cadangan. Kontrol ini gagal jika instance DB RDS tidak dicakup oleh rencana cadangan.

AWS Backup adalah layanan pencadangan yang terkelola sepenuhnya yang memusatkan dan mengotomatiskan pencadangan data di seluruh layanan AWS. Dengan AWS Backup, Anda dapat membuat kebijakan pencadangan yang disebut rencana pencadangan. Anda dapat menggunakan rencana ini untuk menentukan persyaratan pencadangan, seperti frekuensi pencadangan data dan durasi penyimpanan cadangan tersebut. Menyertakan instance DB RDS dalam rencana pencadangan membantu Anda melindungi data dari kehilangan atau penghapusan yang tidak disengaja.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-13(5)

Instance DB RDS harus dicakup oleh rencana cadangan

  • Pemindaian real-time: Tidak

Nama kategori di API: RDS_LOGGING_ENABLED

Deskripsi temuan:

Tindakan ini akan memeriksa apakah log Amazon RDS berikut diaktifkan dan dikirim ke CloudWatch.

Database RDS harus mengaktifkan log yang relevan. Logging database memberikan catatan detail terkait permintaan yang dibuat ke RDS. Log database dapat membantu audit keamanan dan akses serta dapat membantu mendiagnosis masalah ketersediaan.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(8)

Memeriksa apakah log yang diekspor diaktifkan untuk semua instance DB RDS

  • Pemindaian real-time: Tidak

Nama kategori di API: RDS_MULTI_AZ_SUPPORT

Deskripsi temuan:

Instance DB RDS harus dikonfigurasi untuk beberapa Availability Zone (AZ). Hal ini memastikan ketersediaan data yang disimpan. Deployment Multi-AZ memungkinkan failover otomatis jika ada masalah dengan ketersediaan Availability Zone dan selama pemeliharaan RDS reguler.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-13(5)

Memeriksa apakah ketersediaan tinggi diaktifkan untuk semua instance DB RDS

  • Pemindaian real-time: Tidak

Nama kategori di API: REDSHIFT_CLUSTER_CONFIGURATION_CHECK

Deskripsi temuan:

Tindakan ini memeriksa elemen penting cluster Redshift: enkripsi dalam penyimpanan, logging, dan jenis node.

Item konfigurasi ini penting dalam pemeliharaan cluster Redshift yang aman dan dapat diamati.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1

Memeriksa apakah semua cluster Redshift memiliki enkripsi dalam penyimpanan, logging, dan jenis node.

  • Pemindaian real-time: Tidak

Nama kategori di API: REDSHIFT_CLUSTER_MAINTENANCESETTINGS_CHECK

Deskripsi temuan:

Upgrade versi utama otomatis terjadi sesuai dengan masa pemeliharaan

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-2

Memeriksa apakah semua cluster Redshift mengaktifkan allowVersionUpgrade serta menetapkan preferredMaintenanceWindow dan automatedSnapshotRetentionPeriod

  • Pemindaian real-time: Tidak

Nama kategori di API: REDSHIFT_CLUSTER_PUBLIC_ACCESS_CHECK

Deskripsi temuan:

Atribut PubliclyAccessible dari konfigurasi cluster Amazon Redshift menunjukkan apakah cluster dapat diakses secara publik. Jika cluster dikonfigurasi dengan PubliclyAccessible yang ditetapkan ke true, cluster tersebut adalah instance yang terhubung ke internet dan memiliki nama DNS yang dapat di-resolve secara publik, yang di-resolve ke alamat IP publik.

Jika tidak dapat diakses secara publik, cluster tersebut adalah instance internal dengan nama DNS yang di-resolve ke alamat IP pribadi. Kecuali jika Anda ingin cluster dapat diakses secara publik, cluster tidak boleh dikonfigurasi dengan PubliclyAccessible yang ditetapkan ke true.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Memeriksa apakah cluster Redshift dapat diakses secara publik

  • Pemindaian real-time: Tidak

Nama kategori di API: RESTRICTED_COMMON_PORTS

Deskripsi temuan:

Tindakan ini akan memeriksa apakah traffic masuk yang tidak dibatasi untuk grup keamanan dapat diakses ke port yang ditentukan yang memiliki risiko tertinggi. Kontrol ini gagal jika salah satu aturan dalam grup keamanan mengizinkan traffic masuk dari '0.0.0.0/0' atau '::/0' untuk port tersebut.

Akses tidak terbatas (0.0.0.0/0) meningkatkan peluang terjadinya aktivitas berbahaya, seperti peretasan, serangan denial-of-service, dan kehilangan data.

Grup keamanan menyediakan pemfilteran stateful untuk traffic jaringan ingress dan egress ke resource AWS. Tidak boleh ada grup keamanan yang mengizinkan akses ingress tidak terbatas ke port berikut:

  • 20, 21 (FTP)
  • 22 (SSH)
  • 23 (Telnet)
  • 25 (SMTP)
  • 110 (POP3)
  • 135 (RPC)
  • 143 (IMAP)
  • 445 (CIFS)
  • 1433, 1434 (MSSQL)
  • 3000 (framework pengembangan web Go, Node.js, dan Ruby)
  • 3306 (mySQL)
  • 3389 (RDP)
  • 4333 (ahsp)
  • 5000 (framework pengembangan web Python)
  • 5432 (postgresql)
  • 5500 (fcp-addr-srvr1)
  • 5601 (Dasbor OpenSearch)
  • 8080 (proxy)
  • 8088 (port HTTP lama)
  • 8888 (port HTTP alternatif)
  • 9200 atau 9300 (OpenSearch)

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Grup keamanan tidak boleh mengizinkan akses yang tidak dibatasi ke port dengan risiko tinggi

  • Pemindaian real-time: Tidak

Nama kategori di API: RESTRICTED_SSH

Deskripsi temuan:

Grup keamanan menyediakan pemfilteran stateful untuk traffic jaringan ingress dan egress ke resource AWS.

CIS merekomendasikan agar tidak ada grup keamanan yang mengizinkan akses ingress yang tidak dibatasi ke port 22. Menghapus konektivitas tanpa batas ke layanan konsol jarak jauh, seperti SSH, akan mengurangi risiko yang dihadapi server.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Grup keamanan tidak boleh mengizinkan ingress dari 0.0.0.0/0 ke port 22

  • Pemindaian real-time: Tidak

Nama kategori di API: ROTATION_CUSTOMER_CREATED_CMKS_ENABLED

Deskripsi temuan:

Memeriksa apakah rotasi kunci otomatis diaktifkan untuk setiap kunci dan cocok dengan ID kunci dari kunci AWS KMS yang dibuat pelanggan. Aturan ini NON_COMPLIANT jika peran perekam AWS Config untuk resource tidak memiliki izin kms:DescribeKey.

Tingkat harga: Enterprise

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Pastikan rotasi untuk CMK yang dibuat pelanggan diaktifkan

  • Pemindaian real-time: Tidak

Nama kategori di API: ROTATION_CUSTOMER_CREATED_SYMMETRIC_CMKS_ENABLED

Deskripsi temuan:

AWS Key Management Service (KMS) memungkinkan pelanggan merotasi kunci pendukung yang merupakan materi kunci yang disimpan dalam KMS yang terkait dengan ID kunci dari kunci master pelanggan (CMK) yang Dibuat Pelanggan. Kunci pendukung ini digunakan untuk melakukan operasi kriptografis seperti enkripsi dan dekripsi. Rotasi kunci otomatis saat ini mempertahankan semua kunci pendukung sebelumnya sehingga dekripsi data terenkripsi dapat dilakukan secara transparan. Sebaiknya rotasi kunci CMK diaktifkan untuk kunci simetris. Rotasi kunci tidak dapat diaktifkan untuk CMK asimetris apa pun.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 3.8
  • CIS AWS Foundation 3.0.0: 3.6
  • CIS Controls 8.0: 3.11

Pastikan rotasi untuk CMK simetris yang dibuat pelanggan diaktifkan

  • Pemindaian real-time: Tidak

Nama kategori di API: ROUTING_TABLES_VPC_PEERING_ARE_LEAST_ACCESS

Deskripsi temuan:

Memeriksa apakah tabel pemilihan rute untuk peering VPC dikonfigurasi dengan prinsip hak istimewa terendah.

Tingkat harga: Enterprise

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Pastikan tabel pemilihan rute untuk peering VPC adalah "akses minimum"

  • Pemindaian real-time: Tidak

Nama kategori di API: S3_ACCOUNT_LEVEL_PUBLIC_ACCESS_BLOCKS

Deskripsi temuan:

Amazon S3 Block Public Access menyediakan setelan untuk titik akses, bucket, dan akun guna membantu Anda mengelola akses publik ke resource Amazon S3. Secara default, bucket, titik akses, dan objek baru tidak mengizinkan akses publik.

Tingkat harga: Enterprise

Perbaiki temuan ini

Kategori temuan ini tidak dipetakan ke standar kepatuhan apa pun.

Memeriksa apakah setelan pemblokiran akses publik S3 yang diperlukan dikonfigurasi dari tingkat akun

  • Pemindaian real-time: Tidak

Nama kategori di API: S3_BUCKETS_CONFIGURED_BLOCK_PUBLIC_ACCESS_BUCKET_AND_ACCOUNT_SETTINGS

Deskripsi temuan:

Amazon S3 menyediakan Block public access (bucket settings) dan Block public access (account settings) untuk membantu Anda mengelola akses publik ke resource Amazon S3. Secara default, bucket dan objek S3 dibuat dengan akses publik yang dinonaktifkan. Namun, akun utama AWS IAM dengan izin S3 yang memadai dapat mengaktifkan akses publik di level bucket atau objek. Jika diaktifkan, Block public access (bucket settings) akan mencegah setiap bucket, dan objek yang ada di dalamnya, agar tidak dapat diakses secara publik. Demikian pula, Block public access (account settings) mencegah semua bucket, dan objek yang ada di dalamnya, agar tidak dapat diakses secara publik di seluruh akun.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 2.1.4
  • CIS Controls 8.0: 3.3

Pastikan bucket S3 dikonfigurasi dengan Block public access (bucket settings).

  • Pemindaian real-time: Tidak

Nama kategori di API: S3_BUCKET_ACCESS_LOGGING_ENABLED_CLOUDTRAIL_S3_BUCKET

Deskripsi temuan:

Logging Akses Bucket S3 menghasilkan log yang berisi catatan akses untuk setiap permintaan yang dibuat ke bucket S3 Anda. Data log akses berisi detail tentang permintaan, seperti jenis permintaan, resource yang ditentukan dalam permintaan yang berfungsi, serta waktu dan tanggal permintaan diproses. Sebaiknya logging akses bucket diaktifkan di bucket S3 CloudTrail.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-6, AU-12, AU-2
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1
  • ISO-27001 v2022: A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • SOC2 v2017: CC6.1.1, CC6.1.10, CC6.1.11, CC6.1.12, CC6.1.13, CC6.1.2, CC6.1.3, CC6.1.4, CC6.1.5, CC6.1.6, CC6.1.7, CC6.1.8, CC6.1.9
  • HIPAA: 164.312(b), 164.312(c)(1), 164.312(c)(2)
  • CIS AWS Foundation 2.0.0: 3.6
  • CIS AWS Foundation 3.0.0: 3.4
  • CIS Controls 8.0: 3.14, 8.2

Pastikan logging akses bucket S3 diaktifkan di bucket S3 CloudTrail

  • Pemindaian real-time: Tidak

Nama kategori di API: S3_BUCKET_LOGGING_ENABLED

Deskripsi temuan:

Fitur AWS S3 Server Access Logging mencatat permintaan akses ke bucket penyimpanan yang berguna untuk audit keamanan. Secara default, logging akses server tidak diaktifkan untuk bucket S3.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1

Memeriksa apakah logging diaktifkan di semua bucket S3

  • Pemindaian real-time: Tidak

Nama kategori di API: S3_BUCKET_POLICY_SET_DENY_HTTP_REQUESTS

Deskripsi temuan:

Di level bucket Amazon S3, Anda dapat mengonfigurasi izin melalui kebijakan bucket yang membuat objek hanya dapat diakses melalui HTTPS.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-17, IA-5, SC-8
  • PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2
  • ISO-27001 v2022: A.5.14
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-2
  • SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.1.1
  • CIS AWS Foundation 3.0.0: 2.1.1
  • CIS Controls 8.0: 3.10

Pastikan Kebijakan Bucket S3 disetel untuk menolak permintaan HTTP

  • Pemindaian real-time: Tidak

Nama kategori di API: S3_BUCKET_REPLICATION_ENABLED

Deskripsi temuan:

Kontrol ini memeriksa apakah bucket Amazon S3 mengaktifkan Replikasi Lintas Region. Kontrol gagal jika bucket tidak mengaktifkan Replikasi Lintas Region atau jika Replikasi Region yang Sama juga diaktifkan.

Replikasi adalah penyalinan objek secara otomatis dan asinkron di seluruh bucket di AWS Region yang sama atau berbeda. Replikasi menyalin objek yang baru dibuat dan update objek dari bucket sumber ke satu atau beberapa bucket tujuan. Praktik terbaik AWS merekomendasikan replikasi untuk bucket sumber dan tujuan yang dimiliki oleh akun AWS yang sama. Selain ketersediaan, Anda harus mempertimbangkan setelan penguatan sistem lainnya.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-13(5)

Memeriksa apakah replikasi lintas region diaktifkan untuk bucket S3

  • Pemindaian real-time: Tidak

Nama kategori di API: S3_BUCKET_SERVER_SIDE_ENCRYPTION_ENABLED

Deskripsi temuan:

Tindakan ini akan memeriksa apakah bucket S3 Anda telah mengaktifkan enkripsi default Amazon S3 atau apakah kebijakan bucket S3 secara eksplisit menolak permintaan put-object tanpa enkripsi sisi server.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 10.5.2

Pastikan semua bucket S3 menggunakan enkripsi dalam penyimpanan

  • Pemindaian real-time: Tidak

Nama kategori di API: S3_BUCKET_VERSIONING_ENABLED

Deskripsi temuan:

Amazon S3 adalah sarana untuk menyimpan beberapa varian objek dalam bucket yang sama dan dapat membantu Anda memulihkan dengan lebih mudah dari tindakan pengguna yang tidak disengaja dan kegagalan aplikasi.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-13(5)
  • PCI-DSS v3.2.1: 10.5.5

Memeriksa apakah pembuatan versi diaktifkan untuk semua bucket S3

  • Pemindaian real-time: Tidak

Nama kategori di API: S3_DEFAULT_ENCRYPTION_KMS

Deskripsi temuan:

Memeriksa apakah bucket Amazon S3 dienkripsi dengan AWS Key Management Service (AWS KMS)

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(6)

Memeriksa apakah semua bucket dienkripsi dengan KMS

  • Pemindaian real-time: Tidak

Nama kategori di API: SAGEMAKER_NOTEBOOK_INSTANCE_KMS_KEY_CONFIGURED

Deskripsi temuan:

Memeriksa apakah kunci AWS Key Management Service (AWS KMS) dikonfigurasi untuk instance notebook Amazon SageMaker. Aturan ini NON_COMPLIANT jika 'KmsKeyId' tidak ditentukan untuk instance notebook SageMaker.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1

Memeriksa apakah semua instance notebook SageMaker dikonfigurasi untuk menggunakan KMS

  • Pemindaian real-time: Tidak

Nama kategori di API: SAGEMAKER_NOTEBOOK_NO_DIRECT_INTERNET_ACCESS

Deskripsi temuan:

Memeriksa apakah akses internet langsung dinonaktifkan untuk instance notebook SageMaker. Untuk melakukannya, aturan ini memeriksa apakah kolom DirectInternetAccess dinonaktifkan untuk instance notebook.

Jika Anda mengonfigurasi instance SageMaker tanpa VPC, akses internet langsung akan diaktifkan di instance Anda secara default. Anda harus mengonfigurasi instance dengan VPC dan mengubah setelan default ke Disable—Access the internet through a VPC.

Untuk melatih atau menghosting model dari notebook, Anda memerlukan akses internet. Untuk mengaktifkan akses internet, pastikan VPC Anda memiliki gateway NAT dan grup keamanan Anda mengizinkan koneksi keluar. Untuk mempelajari lebih lanjut cara menghubungkan instance notebook ke resource di VPC, lihat Menghubungkan instance notebook ke resource di VPC dalam Panduan Developer Amazon SageMaker.

Anda juga harus memastikan bahwa akses ke konfigurasi SageMaker Anda dibatasi hanya untuk pengguna yang diberi otorisasi. Batasi izin IAM pengguna untuk mengubah setelan dan resource SageMaker.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Memeriksa apakah akses internet langsung dinonaktifkan untuk semua instance notebook Amazon SageMaker

  • Pemindaian real-time: Tidak

Nama kategori di API: SECRETSMANAGER_ROTATION_ENABLED_CHECK

Deskripsi temuan:

Memeriksa apakah secret yang disimpan di AWS Secrets Manager dikonfigurasi dengan rotasi otomatis. Kontrol akan gagal jika secret tidak dikonfigurasi dengan rotasi otomatis. Jika Anda memberikan nilai kustom untuk parameter maximumAllowedRotationFrequency, kontrol hanya akan lulus jika secret dirotasi secara otomatis dalam jangka waktu yang ditentukan.

Secrets Manager membantu Anda meningkatkan postur keamanan organisasi. Secret mencakup kredensial database, sandi, dan kunci API pihak ketiga. Anda dapat menggunakan Secrets Manager untuk menyimpan secret secara terpusat, mengenkripsi secret secara otomatis, mengontrol akses ke secret, dan merotasi secret dengan aman dan otomatis.

Secrets Manager dapat merotasi secret. Anda dapat menggunakan rotasi untuk mengganti secret jangka panjang dengan secret jangka pendek. Merotasi secret akan membatasi durasi pengguna yang tidak sah dapat menggunakan secret yang telah disusupi. Oleh karena itu, Anda harus sering merotasi secret Anda. Untuk mempelajari rotasi lebih lanjut, lihat Merotasi secret AWS Secrets Manager di Panduan Pengguna AWS Secrets Manager.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: AC-3(15)
  • PCI-DSS v3.2.1: 8.2.4

Memeriksa apakah rotasi diaktifkan pada semua secret AWS Secrets Manager

  • Pemindaian real-time: Tidak

Nama kategori di API: SNS_ENCRYPTED_KMS

Deskripsi temuan:

Memeriksa apakah topik SNS dienkripsi dalam penyimpanan menggunakan AWS KMS. Kontrol akan gagal jika topik SNS tidak menggunakan kunci KMS untuk enkripsi sisi server (SSE).

Mengenkripsi data dalam penyimpanan mengurangi risiko data yang disimpan di disk diakses oleh pengguna yang tidak diautentikasi ke AWS. Hal ini juga menambahkan serangkaian kontrol akses lain untuk membatasi kemampuan pengguna yang tidak sah dalam mengakses data. Misalnya, izin API diperlukan untuk mendekripsi data sebelum dapat dibaca. Topik SNS harus dienkripsi dalam penyimpanan untuk lapisan keamanan tambahan.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-7(6)

Memeriksa apakah semua topik SNS dienkripsi dengan KMS

  • Pemindaian real-time: Tidak

Nama kategori di API: VPC_DEFAULT_SECURITY_GROUP_CLOSED

Deskripsi temuan:

Kontrol ini memeriksa apakah grup keamanan default VPC mengizinkan traffic masuk atau keluar. Kontrol akan gagal jika grup keamanan mengizinkan traffic masuk atau keluar.

Aturan untuk grup keamanan default mengizinkan semua traffic keluar dan masuk dari antarmuka jaringan (dan instance terkait) yang ditetapkan ke grup keamanan yang sama. Sebaiknya jangan gunakan grup keamanan default. Karena grup keamanan default tidak dapat dihapus, Anda harus mengubah setelan aturan grup keamanan default untuk membatasi traffic masuk dan keluar. Tindakan ini mencegah traffic yang tidak diinginkan jika grup keamanan default tidak sengaja dikonfigurasi untuk resource seperti instance EC2.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2
  • CIS AWS Foundation 3.0.0: 4.14

Pastikan grup keamanan default setiap VPC membatasi semua traffic

  • Pemindaian real-time: Tidak

Nama kategori di API: VPC_FLOW_LOGGING_ENABLED_ALL_VPCS

Deskripsi temuan:

Log Aliran VPC adalah fitur yang memungkinkan Anda merekam informasi tentang traffic IP yang menuju ke dan keluar dari antarmuka jaringan di VPC Anda. Setelah membuat log alur, Anda dapat melihat dan mengambil datanya di Amazon CloudWatch Logs. Sebaiknya Log Aliran VPC diaktifkan untuk "Penolakan" paket untuk VPC.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-4, SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1
  • ISO-27001 v2022: A.8.15, A.8.16
  • Cloud Controls Matrix 4: IVS-03
  • NIST Cybersecurity Framework 1.0: DE-CM-1
  • SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4
  • CIS AWS Foundation 2.0.0: 3.9
  • CIS AWS Foundation 3.0.0: 3.7
  • CIS Controls 8.0: 13.6, 8.2

Pastikan logging flow VPC diaktifkan di semua VPC

  • Pemindaian real-time: Tidak

Nama kategori di API: VPC_SG_OPEN_ONLY_TO_AUTHORIZED_PORTS

Deskripsi temuan:

Kontrol ini memeriksa apakah grup keamanan Amazon EC2 mengizinkan traffic masuk tanpa batas dari port yang tidak sah. Status kontrol ditentukan sebagai berikut:

Jika Anda menggunakan nilai default untuk authorizedTcpPorts, kontrol akan gagal jika grup keamanan mengizinkan traffic masuk tanpa batas dari port mana pun selain port 80 dan 443.

Jika Anda memberikan nilai kustom untuk authorizedTcpPorts atau authorizedUdpPorts, kontrol akan gagal jika grup keamanan mengizinkan traffic masuk tanpa batas dari port yang tidak tercantum.

Jika tidak ada parameter yang digunakan, kontrol akan gagal untuk grup keamanan apa pun yang memiliki aturan traffic masuk tanpa batasan.

Grup keamanan menyediakan pemfilteran stateful untuk traffic jaringan masuk dan keluar ke AWS. Aturan grup keamanan harus mengikuti prinsip akses dengan hak istimewa terendah. Akses tidak terbatas (alamat IP dengan akhiran /0) meningkatkan peluang aktivitas berbahaya seperti peretasan, serangan denial-of-service, dan kehilangan data. Kecuali jika port diizinkan secara khusus, port harus menolak akses yang tidak dibatasi.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Memeriksa apakah setiap grup keamanan dengan 0.0.0.0/0 dari VPC hanya mengizinkan traffic TCP/UDP masuk tertentu

  • Pemindaian real-time: Tidak

Nama kategori di API: VPC_VPN_2_TUNNELS_UP

Deskripsi temuan:

Tunnel VPN adalah link terenkripsi tempat data dapat diteruskan dari jaringan pelanggan ke atau dari AWS dalam koneksi VPN Site-to-Site AWS. Setiap koneksi VPN mencakup dua tunnel VPN yang dapat Anda gunakan secara bersamaan untuk ketersediaan tinggi. Memastikan kedua tunnel VPN aktif untuk koneksi VPN penting guna mengonfirmasi koneksi yang aman dan dengan tingkat ketersediaan tinggi antara VPC AWS dan jaringan jarak jauh Anda.

Kontrol ini memeriksa apakah kedua tunnel VPN yang disediakan oleh AWS Site-to-Site VPN dalam status UP. Kontrol akan gagal jika salah satu atau kedua tunnel berstatus DOWN.

Tingkat harga: Enterprise

Perbaiki temuan ini

Security Command Center memetakan detektor ini ke standar kepatuhan berikut:

  • NIST 800-53 R5: SI-13(5)

Memeriksa apakah kedua tunnel VPN AWS yang disediakan oleh AWS site-to-site dalam status UP

  • Pemindaian real-time: Tidak

Temuan layanan AI Discovery di AI Protection

Layanan AI Discovery adalah layanan deteksi di AI Protection yang mengidentifikasi komponen dan risiko di lingkungan Google Cloud Anda yang terkait dengan aplikasi AI.

Temuan Ringkasan

Nama kategori di API: GEMINI_MODEL_DETECTED

Nama sebelumnya: VERTEX_AI_MODEL_DETECTED

Finding class: Observation

Deskripsi temuan: Model dasar terdeteksi di Gemini Enterprise Agent Platform dan dilindungi oleh Model Armor.

Paket harga: Premium

Nama kategori di API: GEMINI_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR

Nama sebelumnya: VERTEX_AI_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR

Finding class: Vulnerability

Deskripsi temuan: Model dasar Gemini yang terdeteksi di Gemini Enterprise Agent Platform tidak dilindungi oleh Model Armor.

Paket harga: Premium

Perbaiki temuan ini:

Untuk memperbaiki temuan ini, konfigurasikan Model Armor untuk model yang terdeteksi. Untuk mengetahui informasi selengkapnya, lihat Membuat dan mengelola template.

Nama kategori di API: TUNED_MODEL_DETECTED

Nama sebelumnya: VERTEX_1P_TUNED_MODEL_DETECTED

Finding class: Observation

Deskripsi temuan: Model dasar yang disesuaikan terdeteksi di Gemini Enterprise Agent Platform dan dilindungi oleh Model Armor.

Paket harga: Premium

Nama kategori di API: TUNED_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR

Nama sebelumnya: VERTEX_1P_TUNED_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR

Finding class: Vulnerability

Deskripsi temuan: Model yang telah disesuaikan yang terdeteksi di Gemini Enterprise Agent Platform tidak dilindungi oleh Model Armor.

Paket harga: Premium

Perbaiki temuan ini:

Untuk memperbaiki temuan ini, konfigurasikan Model Armor untuk model yang terdeteksi. Untuk mengetahui informasi selengkapnya, lihat Membuat dan mengelola template.

Meninjau temuan di konsol Google Cloud

  1. Di konsol Google Cloud , buka halaman Findings di Security Command Center.

    Buka Findings

  2. Pilih project atau organisasi Google Cloud Anda.
  3. Di bagian Quick filters, di subbagian Source display name, pilih AI Discovery Service. Hasil kueri temuan diperbarui untuk hanya menampilkan temuan dari sumber ini.
  4. Untuk melihat detail temuan tertentu, klik nama temuan di kolom Category. Panel detail untuk temuan akan terbuka dan menampilkan tab Summary.
  5. Di tab Summary, tinjau detail temuan, termasuk informasi tentang apa yang terdeteksi, resource yang terpengaruh, dan—jika tersedia—langkah-langkah yang dapat Anda lakukan untuk memperbaiki temuan.
  6. Opsional: Untuk melihat definisi JSON lengkap temuan, klik tab JSON.

Temuan Web Security Scanner

Pemindaian kustom dan terkelola Web Security Scanner mengidentifikasi jenis temuan berikut.

Pemindaian kustom dan terkelola Web Security Scanner mengidentifikasi jenis temuan berikut. Di paket Standard-lama, Web Security Scanner mendukung pemindaian kustom aplikasi yang di-deploy dengan URL dan IP publik yang tidak berada di balik firewall.

Kategori Deskripsi temuan Kategori Temuan 10 Teratas OWASP 2017 10 Teratas OWASP 2021

Nama kategori di API: ACCESSIBLE_GIT_REPOSITORY

Repositori Git terekspos secara publik. Untuk mengatasi temuan ini, hapus akses publik yang tidak disengaja ke repositori Git.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A5 A01

Nama kategori di API: ACCESSIBLE_SVN_REPOSITORY

Repositori SVN terekspos secara publik. Untuk mengatasi temuan ini, hapus akses publik yang tidak disengaja ke repositori SVN.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A5 A01

Nama kategori di API: ACCESSIBLE_ENV_FILE

File ENV terekspos secara publik. Untuk mengatasi temuan ini, hapus akses publik yang tidak disengaja ke file ENV.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A5 A01

Nama kategori di API: CACHEABLE_PASSWORD_INPUT

Sandi yang dimasukkan di aplikasi web dapat di-cache dalam cache browser reguler, bukan penyimpanan sandi yang aman.

Paket harga: Premium

Perbaiki temuan ini

Kerentanan A3 A04

Clear text password

Nama kategori di API: CLEAR_TEXT_PASSWORD

Sandi dikirim dalam teks biasa dan dapat disadap. Untuk mengatasi temuan ini, enkripsi sandi yang ditransmisikan melalui jaringan.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A3 A02

Nama kategori di API: INSECURE_ALLOW_ORIGIN_ENDS_WITH_VALIDATION

Endpoint HTTP atau HTTPS lintas situs hanya memvalidasi akhiran header permintaan Origin sebelum mencerminkannya di dalam header respons Access-Control-Allow-Origin. Untuk mengatasi temuan ini, validasi bahwa domain root yang diharapkan adalah bagian dari nilai header Origin sebelum mencerminkannya di header respons Access-Control-Allow-Origin. Untuk karakter pengganti subdomain, tambahkan titik di awal domain root—misalnya, .endsWith(".google.com").

Paket harga: Premium

Perbaiki temuan ini

Kerentanan A5 A01

Nama kategori di API: INSECURE_ALLOW_ORIGIN_STARTS_WITH_VALIDATION

Endpoint HTTP atau HTTPS lintas situs hanya memvalidasi awalan header permintaan Origin sebelum mencerminkannya di dalam header respons Access-Control-Allow-Origin. Untuk mengatasi temuan ini, validasi bahwa domain yang diharapkan sepenuhnya cocok dengan nilai header Origin sebelum mencerminkannya di header respons Access-Control-Allow-Origin—misalnya, .equals(".google.com").

Paket harga: Premium

Perbaiki temuan ini

Kerentanan A5 A01

Invalid content type

Nama kategori di API: INVALID_CONTENT_TYPE

Resource yang dimuat tidak cocok dengan header HTTP Content-Type respons. Untuk mengatasi temuan ini, tetapkan header HTTP X-Content-Type-Options dengan nilai yang benar.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A6 A05

Nama kategori di API: INVALID_HEADER

Header keamanan memiliki error sintaksis dan diabaikan oleh browser. Untuk mengatasi temuan ini, tetapkan header keamanan HTTP dengan benar.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A6 A05

Nama kategori di API: MISMATCHING_SECURITY_HEADER_VALUES

Header keamanan memiliki nilai duplikat yang tidak cocok, sehingga menghasilkan perilaku yang tidak ditentukan. Untuk mengatasi temuan ini, tetapkan header keamanan HTTP dengan benar.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A6 A05

Nama kategori di API: MISSPELLED_SECURITY_HEADER_NAME

Header keamanan salah eja dan diabaikan. Untuk mengatasi temuan ini, tetapkan header keamanan HTTP dengan benar.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A6 A05

Mixed content

Nama kategori di API: MIXED_CONTENT

Resource ditayangkan melalui HTTP di halaman HTTPS. Untuk mengatasi temuan ini, pastikan semua resource disajikan melalui HTTPS.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A6 A05

Nama kategori di API: OUTDATED_LIBRARY

Library yang memiliki kerentanan umum terdeteksi. Untuk mengatasi temuan ini, upgrade library ke versi yang lebih baru.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A9 A06

Nama kategori di API: SERVER_SIDE_REQUEST_FORGERY

Kerentanan pemalsuan permintaan sisi server (SSRF) terdeteksi. Untuk mengatasi temuan ini, gunakan daftar yang diizinkan untuk membatasi domain dan alamat IP yang dapat menerima permintaan dari aplikasi web.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan Tidak berlaku A10

Nama kategori di API: SESSION_ID_LEAK

Saat membuat permintaan lintas domain, aplikasi web menyertakan ID sesi pengguna di header permintaan Referer-nya. Kerentanan ini memberi domain penerima akses ke ID sesi, yang dapat digunakan untuk meniru identitas atau mengidentifikasi pengguna secara unik.

Paket harga: Premium

Perbaiki temuan ini

Kerentanan A2 A07

Nama kategori di API: SQL_INJECTION

Potensi kerentanan injeksi SQL terdeteksi. Untuk mengatasi temuan ini, gunakan kueri berparameter untuk mencegah input pengguna memengaruhi struktur kueri SQL.

Paket harga: Premium

Perbaiki temuan ini

Kerentanan A1 A03

Nama kategori di API: STRUTS_INSECURE_DESERIALIZATION

Penggunaan versi Apache Struts yang rentan terdeteksi. Untuk mengatasi temuan ini, upgrade Apache Struts ke versi terbaru.

Paket harga: Premium

Perbaiki temuan ini

Kerentanan A8 A08

Nama kategori di API: XSS

Kolom dalam aplikasi web ini rentan terhadap serangan pembuatan skrip lintas situs (XSS). Untuk mengatasi temuan ini, validasi dan hindari data tidak tepercaya yang disediakan pengguna.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A7 A03

Nama kategori di API: XSS_ANGULAR_CALLBACK

String yang disediakan pengguna tidak di-escape dan AngularJS dapat menginterpolasinya. Untuk mengatasi temuan ini, validasi dan hindari data tidak tepercaya yang disediakan pengguna yang ditangani oleh framework Angular.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A7 A03

Nama kategori di API: XSS_ERROR

Kolom dalam aplikasi web ini rentan terhadap serangan pembuatan skrip lintas situs. Untuk mengatasi temuan ini, validasi dan hindari data tidak tepercaya yang disediakan pengguna.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A7 A03

Nama kategori di API: XXE_REFLECTED_FILE_LEAKAGE

Kerentanan XML External Entity (XXE) terdeteksi. Kerentanan ini dapat menyebabkan aplikasi web membocorkan file di host. Untuk mengatasi temuan ini, konfigurasikan parser XML Anda untuk melarang entity eksternal.

Paket harga: Premium

Perbaiki temuan ini

Kerentanan A4 A05

Nama kategori di API: PROTOTYPE_POLLUTION

Aplikasi rentan terhadap polusi prototipe. Kerentanan ini muncul saat properti objek Object.prototype dapat diberi nilai yang dapat dikontrol penyerang. Nilai yang ditanamkan pada prototipe ini secara universal diasumsikan akan diterjemahkan menjadi pembuatan skrip lintas situs, atau kerentanan sisi klien serupa, serta bug logika.

Tingkat harga: Premium atau Standar

Perbaiki temuan ini

Kerentanan A1 A03

Nama kategori di API: HSTS_MISCONFIGURATION

Header HTTP Strict Transport Security (HSTS) yang salah dikonfigurasi terdeteksi. Untuk mengurangi risiko serangan penurunan kualitas dan penyadapan pada koneksi HTTP secara signifikan, selesaikan masalah header HSTS yang salah dikonfigurasi. Header HSTS memaksa koneksi melalui saluran terenkripsi (TLS) sehingga koneksi HTTP teks biasa gagal. Cari tahu lebih lanjut tentang header HSTS

Paket harga: Premium

Perbaiki temuan ini

Kesalahan konfigurasi Tidak berlaku Tidak berlaku

Content Security Policy Header Missing

Nama kategori di API: CSP_MISSING

Header respons HTTP Kebijakan Keamanan Konten (CSP) yang tidak ada terdeteksi. Header CSP mengurangi eksploitasi kerentanan web umum, terutama pembuatan skrip lintas situs XSS, dengan mencegah pemuatan skrip atau plugin yang tidak tepercaya. Header CSP yang ketat direkomendasikan. Cari tahu lebih lanjut header CSP

Paket harga: Premium

Perbaiki temuan ini

Kesalahan konfigurasi Tidak berlaku Tidak berlaku

Content Security Policy Header Misconfigured

Nama kategori di API: CSP_MISCONFIGURATION

Header respons HTTP Kebijakan Keamanan Konten (CSP) yang salah dikonfigurasi terdeteksi. Header CSP mengurangi eksploitasi kerentanan web umum, terutama pembuatan skrip lintas situs (XSS), dengan mencegah pemuatan skrip atau plugin yang tidak tepercaya. Header CSP yang ketat direkomendasikan. Pelajari header CSP lebih lanjut

Paket harga: Premium

Perbaiki temuan ini

Kesalahan konfigurasi Tidak berlaku Tidak berlaku

Nama kategori di API: COOP_MISSING

Header HTTP Cross-Origin-Opener-Policy (COOP) yang tidak ada terdeteksi. COOP adalah mekanisme keamanan web yang membatasi halaman yang dibuka di jendela baru agar tidak mengakses properti dari halaman asalnya. COOP menawarkan lapisan perlindungan yang kuat terhadap serangan web umum.

Paket harga: Premium

Perbaiki temuan ini

Kesalahan konfigurasi Tidak berlaku Tidak berlaku

Nama kategori di API: CLICKJACKING_PROTECTION_MISSING

Header respons yang tidak ada terdeteksi. Untuk mencegah clickjacking, terapkan header respons HTTP seperti X-Frame-Option (XFO) atau Content-Security-Policy (CSP). Clickjacking (juga disebut UI Redress) adalah serangan web yang dilakukan penyerang dengan mengubah antarmuka situs target sehingga korban tidak menyadari bahwa mereka melakukan tindakan penting. Sebaiknya terapkan header respons HTTP: header XFO mudah digunakan; header CSP memberikan fleksibilitas yang lebih besar.
- Pelajari lebih lanjut header XFO
- Pelajari lebih lanjut header CSP

Paket harga: Premium

Perbaiki temuan ini

Kesalahan konfigurasi Tidak berlaku Tidak berlaku

Temuan Notebook Security Scanner

Notebook Security Scanner mendeteksi kerentanan yang terkait dengan paket Python yang digunakan di notebook Colab Enterprise Anda dan memublikasikannya dalam kategori Kerentanan paket.

Temuan kerentanan paket menampilkan detail versi paket yang memiliki kerentanan yang diketahui. Versi tertentu dari paket Python dapat memiliki beberapa temuan kerentanan paket, yang masing-masing sesuai dengan kerentanan umum yang berbeda.

Untuk menyelesaikan temuan kerentanan paket, Anda harus menggunakan versi paket yang berbeda seperti yang direkomendasikan di bagian Langkah berikutnya pada temuan.

Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan dan menggunakan Notebook Security Scanner.

Temuan pemberi rekomendasi IAM

Tabel berikut mencantumkan temuan Security Command Center yang dihasilkan oleh pemberi rekomendasi IAM.

Setiap temuan pemberi rekomendasi IAM berisi rekomendasi spesifik untuk menghapus atau mengganti peran yang menyertakan izin berlebih dari akun utama di lingkungan Google Cloud Anda.

Temuan yang dihasilkan oleh pemberi rekomendasi IAM sesuai dengan rekomendasi yang muncul di konsol Google Cloud pada halaman IAM dari project, folder, atau organisasi yang terpengaruh.

Untuk mengetahui informasi selengkapnya tentang integrasi pemberi rekomendasi IAM dengan Security Command Center, lihat Sumber keamanan.

Pendeteksi Ringkasan

Nama kategori di API: IAM_ROLE_HAS_EXCESSIVE_PERMISSIONS

Deskripsi temuan: Pemberi rekomendasi IAM mendeteksi akun layanan yang memiliki satu atau beberapa peran IAM yang memberikan izin berlebihan ke akun pengguna.

Paket harga: Premium

Aset yang didukung:

Perbaiki temuan ini :

Gunakan pemberi rekomendasi IAM untuk menerapkan perbaikan yang direkomendasikan untuk temuan ini dengan mengikuti langkah-langkah berikut:

  1. Di bagian Langkah berikutnya pada detail temuan di konsol Google Cloud , salin dan tempel URL untuk halaman IAM ke kolom URL browser, lalu tekan Enter. Halaman IAM akan dimuat.
  2. Di dekat bagian atas halaman IAM di sisi kanan, klik View recommendations in table. Rekomendasi ditampilkan dalam tabel.
  3. Di kolom Insight keamanan, klik rekomendasi apa pun yang terkait dengan izin berlebih. Panel detail rekomendasi akan terbuka.
  4. Tinjau rekomendasi untuk tindakan yang dapat Anda lakukan guna menyelesaikan masalah.
  5. Klik Terapkan.

Setelah masalah diperbaiki, pemberi rekomendasi IAM akan memperbarui status temuan menjadi INACTIVE dalam waktu 10 hari.

Nama kategori di API: SERVICE_AGENT_ROLE_REPLACED_WITH_BASIC_ROLE

Deskripsi temuan: Pemberi rekomendasi IAM mendeteksi bahwa peran IAM default asli yang diberikan kepada agen layanan telah diganti dengan salah satu peran IAM dasar: Owner, Editor, atau Viewer. Peran dasar adalah peran lama yang terlalu permisif dan tidak boleh diberikan kepada agen layanan.

Paket harga: Premium

Aset yang didukung:

Perbaiki temuan ini :

Gunakan pemberi rekomendasi IAM untuk menerapkan perbaikan yang direkomendasikan untuk temuan ini dengan mengikuti langkah-langkah berikut:

  1. Di bagian Langkah berikutnya pada detail temuan di konsol Google Cloud , salin dan tempel URL untuk halaman IAM ke kolom URL browser, lalu tekan Enter. Halaman IAM akan dimuat.
  2. Di dekat bagian atas halaman IAM di sisi kanan, klik View recommendations in table. Rekomendasi ditampilkan dalam tabel.
  3. Di kolom Insight keamanan, klik izin apa pun yang terkait dengan izin berlebih. Panel detail rekomendasi akan terbuka.
  4. Tinjau izin berlebih.
  5. Klik Terapkan.

Setelah masalah diperbaiki, pemberi rekomendasi IAM akan memperbarui status temuan menjadi INACTIVE dalam waktu 10 hari.

Nama kategori di API: SERVICE_AGENT_GRANTED_BASIC_ROLE

Deskripsi temuan: Pemberi rekomendasi IAM mendeteksi IAM bahwa agen layanan telah diberi salah satu peran IAM dasar: Owner, Editor, atau Viewer. Peran dasar adalah peran lama yang terlalu permisif dan tidak boleh diberikan kepada agen layanan.

Paket harga: Premium

Aset yang didukung:

Perbaiki temuan ini :

Gunakan pemberi rekomendasi IAM untuk menerapkan perbaikan yang direkomendasikan untuk temuan ini dengan mengikuti langkah-langkah berikut:

  1. Di bagian Langkah berikutnya pada detail temuan di konsol Google Cloud , salin dan tempel URL untuk halaman IAM ke kolom URL browser, lalu tekan Enter. Halaman IAM akan dimuat.
  2. Di dekat bagian atas halaman IAM di sisi kanan, klik View recommendations in table. Rekomendasi ditampilkan dalam tabel.
  3. Di kolom Insight keamanan, klik izin apa pun yang terkait dengan izin berlebih. Panel detail rekomendasi akan terbuka.
  4. Tinjau izin berlebih.
  5. Klik Terapkan.

Setelah masalah diperbaiki, pemberi rekomendasi IAM akan memperbarui status temuan menjadi INACTIVE dalam waktu 10 hari.

Nama kategori di API: UNUSED_IAM_ROLE

Deskripsi temuan: Pemberi rekomendasi IAM mendeteksi akun pengguna yang memiliki peran IAM yang tidak digunakan dalam 90 hari terakhir.

Paket harga: Premium

Aset yang didukung:

Perbaiki temuan ini :

Gunakan pemberi rekomendasi IAM untuk menerapkan perbaikan yang direkomendasikan untuk temuan ini dengan mengikuti langkah-langkah berikut:

  1. Di bagian Langkah berikutnya pada detail temuan di konsol Google Cloud , salin dan tempel URL untuk halaman IAM ke kolom URL browser, lalu tekan Enter. Halaman IAM akan dimuat.
  2. Di dekat bagian atas halaman IAM di sisi kanan, klik View recommendations in table. Rekomendasi ditampilkan dalam tabel.
  3. Di kolom Insight keamanan, klik izin apa pun yang terkait dengan izin berlebih. Panel detail rekomendasi akan terbuka.
  4. Tinjau izin berlebih.
  5. Klik Terapkan.

Setelah masalah diperbaiki, pemberi rekomendasi IAM akan memperbarui status temuan menjadi INACTIVE dalam waktu 10 hari.

Temuan CIEM

Tabel berikut mencantumkan temuan identitas dan akses Security Command Center untuk AWS dan Microsoft Azure yang dihasilkan oleh Cloud Infrastructure Entitlement Management (CIEM). Untuk melihat temuan yang dihasilkan oleh Cloud Infrastructure Entitlement Management (CIEM) untuk Google Cloud, lihat temuan pemberi rekomendasi IAM.

Temuan CIEM berisi rekomendasi spesifik untuk menghapus atau mengganti kebijakan pengelolaan akses dan identitas (umumnya disebut sebagai IAM) yang sangat permisif yang terkait dengan identitas, pengguna, atau grup yang diasumsikan di lingkungan AWS dan Microsoft Azure Anda.

Untuk mengetahui informasi selengkapnya tentang CIEM, lihat Ringkasan Cloud Infrastructure Entitlement Management.

Pendeteksi Ringkasan

Nama kategori di API: ASSUMED_IDENTITY_HAS_EXCESSIVE_PERMISSIONS

Deskripsi temuan: Di lingkungan AWS atau Microsoft Azure Anda, CIEM mendeteksi peran IAM yang diasumsikan memiliki kebijakan yang sangat permisif yang melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru dari 83 hingga 90 hari terakhir.

Tingkat harga: Enterprise

Perbaiki temuan ini :

Bergantung pada temuannya, gunakan alat AWS atau Microsoft Azure untuk melakukan salah satu tugas perbaikan berikut:

  • Hapus kebijakan yang sangat permisif.
  • Buat kebijakan baru yang memiliki izin minimum yang diperlukan untuk pengguna, grup, atau peran. Kemudian, lampirkan kebijakan baru ke pengguna, grup, atau peran, dan hapus kebijakan yang sangat permisif.

Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu.

Nama kategori di API: GROUP_HAS_EXCESSIVE_PERMISSIONS

Deskripsi temuan: Di lingkungan AWS atau Microsoft Azure Anda, CIEM mendeteksi grup yang memiliki satu atau beberapa kebijakan yang sangat permisif yang melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru dari 83 hingga 90 hari terakhir.

Tingkat harga: Enterprise

Perbaiki temuan ini :

Bergantung pada temuannya, gunakan alat AWS atau Microsoft Azure untuk melakukan salah satu tugas perbaikan berikut:

  • Hapus kebijakan yang sangat permisif.
  • Buat kebijakan baru yang memiliki izin minimum yang diperlukan untuk pengguna, grup, atau peran. Kemudian, lampirkan kebijakan baru ke pengguna, grup, atau peran, dan hapus kebijakan yang sangat permisif.

Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu.

Nama kategori di API: USER_HAS_EXCESSIVE_PERMISSIONS

Deskripsi temuan: Di lingkungan AWS atau Microsoft Azure Anda, CIEM mendeteksi pengguna yang memiliki satu atau beberapa kebijakan yang sangat permisif yang melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru dari 83 hingga 90 hari terakhir.

Tingkat harga: Enterprise

Perbaiki temuan ini :

Bergantung pada temuannya, gunakan alat AWS atau Microsoft Azure untuk melakukan salah satu tugas perbaikan berikut:

  • Hapus kebijakan yang sangat permisif.
  • Buat kebijakan baru yang memiliki izin minimum yang diperlukan untuk pengguna, grup, atau peran. Kemudian, lampirkan kebijakan baru ke pengguna, grup, atau peran, dan hapus kebijakan yang sangat permisif.

Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu.

Nama kategori di API: INACTIVE_USER

Deskripsi temuan: Di lingkungan AWS atau Microsoft Azure Anda, CIEM mendeteksi pengguna tidak aktif dengan satu atau beberapa izin. Hal ini melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru dari 83 hingga 90 hari terakhir.

Tingkat harga: Enterprise

Perbaiki temuan ini :

Bergantung pada temuannya, lakukan salah satu tugas perbaikan berikut:

  • Gunakan alat AWS atau Microsoft Azure untuk menghapus izin yang terkait dengan pengguna.
  • Hapus pengguna jika Anda yakin bahwa Anda tidak lagi memerlukan identitas tersebut.

Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu.

Nama kategori di API: INACTIVE_GROUP

Deskripsi temuan: Di lingkungan AWS atau Microsoft Azure Anda, CIEM mendeteksi grup yang tidak aktif memiliki satu atau beberapa izin. Hal ini melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru dari 83 hingga 90 hari terakhir.

Tingkat harga: Enterprise

Perbaiki temuan ini :

Bergantung pada temuannya, lakukan salah satu tugas perbaikan berikut:

  • Gunakan alat AWS atau Microsoft Azure untuk menghapus kebijakan yang dilampirkan ke grup.
  • Hapus beberapa atau semua pengguna yang membentuk grup jika Anda yakin bahwa identitas ini tidak lagi diperlukan.

Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu.

Nama kategori di API: INACTIVE_ASSUMED_IDENTITY

Deskripsi temuan: Di lingkungan AWS atau Microsoft Azure Anda, CIEM mendeteksi peran IAM yang diasumsikan tidak aktif dan memiliki satu atau beberapa izin. Hal ini melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru dari 83 hingga 90 hari terakhir.

Tingkat harga: Enterprise

Perbaiki temuan ini :

Bergantung pada temuannya, lakukan salah satu tugas perbaikan berikut:

  • Gunakan alat AWS atau Microsoft Azure untuk menghapus kebijakan yang dilampirkan ke peran IAM.
  • Hapus identitas yang diasumsikan jika Anda yakin bahwa identitas tersebut tidak lagi diperlukan.

Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu.

Nama kategori di API: OVERLY_PERMISSIVE_TRUST_POLICY_ENFORCED_ON_ASSUMED_IDENTITY

Deskripsi temuan: Di lingkungan AWS atau Microsoft Azure Anda, CIEM mendeteksi kebijakan kepercayaan yang terlalu permisif yang diterapkan pada peran IAM yang melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru dari 83 hingga 90 hari terakhir.

Tingkat harga: Enterprise

Perbaiki temuan ini :

Gunakan alat AWS atau Microsoft Azure untuk mengedit izin dalam kebijakan kepercayaan yang diterapkan pada peran agar mematuhi prinsip hak istimewa terendah.

Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu.

Nama kategori di API: ASSUMED_IDENTITY_HAS_LATERAL_MOVEMENT_RISK

Deskripsi temuan: Di lingkungan AWS atau Microsoft Azure Anda, CIEM mendeteksi satu atau beberapa identitas yang dapat berpindah secara lateral melalui peniruan identitas. Temuan ini didasarkan pada log penggunaan terbaru dari 83 hingga 90 hari terakhir.

Tingkat harga: Enterprise

Perbaiki temuan ini :

Gunakan alat AWS atau Microsoft Azure untuk menghapus kebijakan yang dilampirkan ke identitas yang mengizinkan pergerakan lateral.

Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu.

Temuan pengelolaan postur keamanan data

Kontrol cloud postur keamanan data adalah temuan yang dihasilkan oleh Data Security Posture Management (DSPM) saat terjadi pelanggaran terhadap aturan kontrol cloud. Untuk mengetahui informasi tentang kontrol cloud, lihat Kontrol cloud keamanan data.

Temuan External Exposure

External Exposure membuat temuan class EXTERNAL_EXPOSURE yang mengidentifikasi alamat IP yang ditampilkan secara eksternal dan layanan terekspos yang dapat dijangkau dari internet publik.

Untuk mengetahui informasi selengkapnya tentang temuan ini, lihat Mendeteksi resource yang terekspos.

Temuan ini dibuat berdasarkan kategori risiko dan eksposur terperinci berikut:

  • EXTERNALLY_EXPOSED_UI: Mengidentifikasi panel administratif, dasbor, atau konsol pengelolaan yang dapat diakses secara publik (seperti Jupyter Notebook atau dasbor Kubernetes).
  • EXTERNALLY_EXPOSED_API: Mengidentifikasi API endpoint yang terekspos dan tidak diautentikasi.
  • EXTERNALLY_EXPOSED_WEAK_CREDENTIALS: Mengidentifikasi port atau layanan terekspos yang dapat diakses menggunakan kredensial lemah default atau yang mudah ditebak.
  • EXTERNALLY_EXPOSED_RCE_VULNERABILITY: Mengidentifikasi endpoint yang terekspos dengan kerentanan eksekusi kode jarak jauh (RCE) yang divalidasi secara aktif.
  • EXTERNALLY_EXPOSED_ARBITRARY_DATA_READ: Mengidentifikasi kerentanan yang memungkinkan penyerang membaca file atau data arbitrer dari sistem.
  • EXTERNALLY_EXPOSED_VM_INSTANCE: Mengidentifikasi resource Compute Engine atau Google Kubernetes Engine (GKE) dengan alamat IP publik langsung yang memungkinkan akses OS host.
  • EXTERNALLY_EXPOSED_SERVERLESS_WORKLOAD: Mengidentifikasi workload Cloud Run yang terekspos.
  • EXTERNALLY_EXPOSED_DATABASE: Mengidentifikasi instance database yang dapat diakses langsung (seperti Cloud SQL atau AlloyDB untuk PostgreSQL).
  • EXTERNALLY_EXPOSED_SERVICE_VIA_LOAD_BALANCER: Mengidentifikasi workload backend yang dihadapkan oleh load balancer eksternal, nginx-ingress, atau gateway Istio.
  • EXTERNALLY_EXPOSED_STORAGE_VIA_LOAD_BALANCER: Mengidentifikasi bucket backend Cloud Storage yang terekspos langsung di balik Cloud Load Balancing, sehingga mengabaikan otorisasi Identity and Access Management (IAM) normal.

Temuan layanan postur keamanan

Bagian ini mencantumkan temuan Security Command Center yang dihasilkan oleh layanan postur keamanan.

Layanan postur keamanan menghasilkan kumpulan kategori temuan berikut:

Penyimpangan dari postur keamanan yang di-deploy

Tabel berikut mencantumkan temuan postur keamanan yang mengidentifikasi instance penyimpangan dari postur keamanan yang Anda tentukan.

Temuan Ringkasan

Nama kategori di API: SECURITY_POSTURE_DETECTOR_DRIFT

Deskripsi temuan: Layanan postur keamanan mendeteksi perubahan pada detektor Security Health Analytics yang terjadi di luar update postur.

Paket harga: Premium

Perbaiki temuan ini :

Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan agar setelan detektor dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat mengupdate detektor Security Health Analytics atau mengupdate postur dan deployment postur.

Untuk mengembalikan perubahan, update detektor Security Health Analytics di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan detektor.

Untuk menerima perubahan, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: SECURITY_POSTURE_DETECTOR_DRIFT

Deskripsi temuan: Layanan postur keamanan mendeteksi perubahan pada modul kustom Security Health Analytics yang terjadi di luar update postur.

Paket harga: Premium

Perbaiki temuan ini :

Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan agar setelan modul kustom dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat mengupdate modul kustom Security Health Analytics atau mengupdate postur dan deployment postur.

Untuk mengembalikan perubahan, perbarui modul kustom Security Health Analytics di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Memperbarui modul kustom.

Untuk menerima perubahan, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: SECURITY_POSTURE_DETECTOR_DELETE

Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa modul kustom Security Health Analytics telah dihapus. Penghapusan ini terjadi di luar update postur.

Paket harga: Premium

Perbaiki temuan ini :

Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan agar setelan modul kustom dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat mengupdate modul kustom Security Health Analytics atau mengupdate postur dan deployment postur.

Untuk mengembalikan perubahan, perbarui modul kustom Security Health Analytics di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Memperbarui modul kustom.

Untuk menerima perubahan, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: SECURITY_POSTURE_POLICY_DRIFT

Deskripsi temuan: Layanan postur keamanan mendeteksi perubahan pada kebijakan organisasi yang terjadi di luar update postur.

Paket harga: Premium

Perbaiki temuan ini :

Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan tersebut sehingga definisi kebijakan organisasi dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui kebijakan organisasi atau memperbarui postur dan deployment postur.

Untuk mengembalikan perubahan, perbarui kebijakan organisasi di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Membuat dan mengedit kebijakan.

Untuk menerima perubahan, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: SECURITY_POSTURE_POLICY_DELETE

Finding description: Layanan postur keamanan mendeteksi bahwa kebijakan organisasi telah dihapus. Penghapusan ini terjadi di luar update postur.

Paket harga: Premium

Perbaiki temuan ini :

Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan tersebut sehingga definisi kebijakan organisasi dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui kebijakan organisasi atau memperbarui postur dan deployment postur.

Untuk mengembalikan perubahan, perbarui kebijakan organisasi di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Membuat dan mengedit kebijakan.

Untuk menerima perubahan, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: SECURITY_POSTURE_POLICY_DRIFT

Deskripsi temuan: Layanan postur keamanan mendeteksi perubahan pada kebijakan organisasi kustom yang terjadi di luar update postur.

Paket harga: Premium

Perbaiki temuan ini :

Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan sehingga definisi kebijakan organisasi kustom dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui kebijakan organisasi kustom atau Anda dapat memperbarui postur dan deployment postur.

Untuk mengembalikan perubahan, perbarui kebijakan organisasi kustom di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Memperbarui batasan kustom.

Untuk menerima perubahan, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: SECURITY_POSTURE_POLICY_DELETE

Finding description: Layanan postur keamanan mendeteksi bahwa kebijakan organisasi kustom telah dihapus. Penghapusan ini terjadi di luar update postur.

Paket harga: Premium

Perbaiki temuan ini :

Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan sehingga definisi kebijakan organisasi kustom dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui kebijakan organisasi kustom atau Anda dapat memperbarui postur dan deployment postur.

Untuk mengembalikan perubahan, perbarui kebijakan organisasi kustom di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Memperbarui batasan kustom.

Untuk menerima perubahan, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Resource yang melanggar postur keamanan yang di-deploy

Layanan postur keamanan dan Security Health Analytics menghasilkan temuan berikut, yang mengidentifikasi instance resource yang melanggar postur keamanan yang Anda tentukan.

Temuan Ringkasan

Nama kategori di API: DISABLE_VPC_EXTERNAL_IP_V6_ORG_POLICY

Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa subnetwork mengaktifkan alamat IPv6 eksternal.

Paket harga: Premium

Perbaiki temuan ini :

Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat menghapus resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur.

Untuk menghapus resource, selesaikan langkah-langkah berikut:

  1. Buka ringkasan temuan.
  2. Periksa bagian resource yang terpengaruh, dan temukan nama lengkap resource yang melanggar kebijakan postur.
  3. Klik nama lengkap resource untuk membuka detailnya.
  4. Hapus resource.

Jika ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: DISABLE_VPC_INTERNAL_IP_V6_ORG_POLICY

Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa subnetwork mengaktifkan alamat IPv6 internal.

Paket harga: Premium

Perbaiki temuan ini :

Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat menghapus resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur.

Untuk menghapus resource, selesaikan langkah-langkah berikut:

  1. Buka ringkasan temuan.
  2. Periksa bagian resource yang terpengaruh, dan temukan nama lengkap resource yang melanggar kebijakan postur.
  3. Klik nama lengkap resource untuk membuka detailnya.
  4. Hapus resource.

Jika ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: REQUIRE_OS_LOGIN_ORG_POLICY

Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa Login OS dinonaktifkan di instance VM.

Paket harga: Premium

Perbaiki temuan ini :

Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur tersebut.

Untuk memperbarui resource, selesaikan langkah-langkah berikut:

  1. Buka ringkasan temuan.
  2. Periksa bagian resource yang terpengaruh, dan temukan nama lengkap resource yang melanggar kebijakan postur.
  3. Klik nama lengkap resource untuk membuka detailnya.
  4. Edit resource. Temukan bagian metadata, dan ubah entri dengan kunci enable-oslogin menjadi TRUE.
  5. Simpan resource.

Jika ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: RESTRICT_AUTHORIZED_NETWORKS_ORG_POLICY

Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa jaringan yang diizinkan ditambahkan ke instance SQL.

Paket harga: Premium

Perbaiki temuan ini :

Temuan ini mengharuskan Anda memperbaiki pelanggaran atau memperbarui postur. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur tersebut.

Untuk memperbarui resource, selesaikan langkah-langkah berikut:

  1. Buka ringkasan temuan.
  2. Periksa bagian resource yang terpengaruh, dan temukan nama lengkap resource yang melanggar kebijakan postur.
  3. Klik nama lengkap resource untuk membuka detailnya.
  4. Edit resource. Temukan bagian jaringan yang diizinkan di bagian koneksi, dan hapus semua entrinya.
  5. Simpan resource.

Jika ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: REQUIRE_VPC_CONNECTOR_ORG_POLICY

Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa konektor VPC tidak diaktifkan untuk instance fungsi Cloud Run.

Paket harga: Premium

Perbaiki temuan ini :

Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur tersebut.

Untuk memperbarui resource, selesaikan langkah-langkah berikut:

  1. Buka ringkasan temuan.
  2. Periksa bagian resource yang terpengaruh, dan temukan nama lengkap resource yang melanggar kebijakan postur.
  3. Klik nama lengkap resource untuk membuka detailnya.
  4. Klik Edit.
  5. Klik tab Koneksi.
  6. Temukan bagian Egress settings. Di menu Network, pilih konektor VPC yang sesuai.
  7. Klik Berikutnya.
  8. Klik Deploy.

Jika ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: DISABLED_SERIAL_PORT_ACCESS_ORG_POLICY

Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa akses port serial ke instance VM diaktifkan.

Paket harga: Premium

Perbaiki temuan ini :

Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur tersebut.

Untuk memperbarui resource, selesaikan langkah-langkah berikut:

  1. Buka ringkasan temuan.
  2. Periksa bagian resource yang terpengaruh, dan temukan nama lengkap resource yang melanggar kebijakan postur.
  3. Klik nama lengkap resource untuk membuka detailnya.
  4. Edit resource. Temukan bagian akses jarak jauh, dan hapus centang pada kotak Enable connecting to port serial.
  5. Simpan resource.

Jika ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: SKIP_DEFAULT_NETWORK_CREATION_ORG_POLICY

Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa jaringan default telah dibuat.

Paket harga: Premium

Perbaiki temuan ini :

Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat menghapus resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur.

Untuk menghapus resource, selesaikan langkah-langkah berikut:

  1. Buka ringkasan temuan.
  2. Periksa bagian resource yang terpengaruh, dan temukan nama lengkap resource yang melanggar kebijakan postur.
  3. Klik nama lengkap resource untuk membuka detailnya.
  4. Hapus resource.

Jika ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: ALLOWED_INGRESS_ORG_POLICY

Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa layanan Cloud Run tidak mematuhi setelan ingress yang ditentukan.

Paket harga: Premium

Perbaiki temuan ini :

Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur tersebut.

Untuk memperbarui resource, selesaikan langkah-langkah berikut:

  1. Buka ringkasan temuan.
  2. Periksa bagian resource yang terpengaruh, dan temukan nama lengkap resource yang melanggar kebijakan postur.
  3. Klik nama lengkap resource untuk membuka detailnya.
  4. Klik tab Networking. Ubah setelan agar sesuai dengan kebijakan traffic masuk yang diizinkan.
  5. Simpan resource.

Jika ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: UNIFORM_BUCKET_LEVEL_ACCESS_ORG_POLICY

Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa akses tingkat bucket bersifat terperinci, bukan seragam.

Paket harga: Premium

Perbaiki temuan ini :

Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur tersebut.

Untuk memperbarui resource, selesaikan langkah-langkah berikut:

  1. Buka ringkasan temuan.
  2. Periksa bagian resource yang terpengaruh, dan temukan nama lengkap resource yang melanggar kebijakan postur.
  3. Klik nama lengkap resource untuk membuka detailnya.
  4. Klik tab Permissions. Di kartu kontrol akses, klik Switch to uniform.
  5. Pilih seragam dan simpan.

Jika ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Nama kategori di API: ALLOWED_VPC_EGRESS_ORG_POLICY

Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa layanan Cloud Run tidak mematuhi setelan egress yang ditentukan.

Paket harga: Premium

Perbaiki temuan ini :

Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur tersebut.

Untuk memperbarui resource, selesaikan langkah-langkah berikut:

  1. Buka ringkasan temuan.
  2. Periksa bagian resource yang terpengaruh, dan temukan nama lengkap resource yang melanggar kebijakan postur.
  3. Klik nama lengkap resource untuk membuka detailnya.
  4. Klik Edit & deploy new revision, lalu klik tab Networking. Ubah setelan Traffic routing di bagian Connect to a VPC for outbound traffic agar sesuai dengan kebijakan egress yang diizinkan.
  5. Deploy resource.

Jika ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:

  1. Perbarui file posture.yaml dengan perubahan tersebut.
  2. Jalankan perintah gcloud scc postures update. Untuk mengetahui petunjuknya, lihat Memperbarui definisi kebijakan dalam postur.
  3. Deploy postur yang diperbarui dengan ID revisi baru. Untuk mengetahui petunjuknya, lihat Memperbarui deployment postur.

Temuan Model Armor

Model Armor adalah layanan terkelola sepenuhnya Google Cloud yang meningkatkan keamanan dan keselamatan aplikasi AI dengan menyaring perintah dan respons LLM untuk berbagai risiko keamanan dan keselamatan.

Tabel berikut mencantumkan temuan Security Command Center yang dihasilkan Model Armor.

Temuan Ringkasan

Nama kategori di API: FLOOR_SETTINGS_VIOLATION

Deskripsi temuan: Pelanggaran setelan minimum yang terjadi saat template Model Armor gagal memenuhi standar keamanan minimum yang ditentukan oleh setelan minimum hierarki resource.

Finding class: Misconfiguration

Paket harga: Premium

Perbaiki temuan ini:

Temuan ini mengharuskan Anda memperbarui template Model Armor agar sesuai dengan setelan tingkat yang ditentukan di hierarki resource.

Meninjau temuan di konsol Google Cloud

  1. Di konsol Google Cloud , buka halaman Findings di Security Command Center.

    Buka Findings

  2. Pilih project atau organisasi Google Cloud Anda.
  3. Di bagian Quick filters, di subbagian Source display name, pilih Model Armor. Hasil kueri temuan diperbarui untuk hanya menampilkan temuan dari sumber ini.
  4. Untuk melihat detail temuan tertentu, klik nama temuan di kolom Category. Panel detail untuk temuan akan terbuka dan menampilkan tab Summary.
  5. Di tab Summary, tinjau detail temuan, termasuk informasi tentang apa yang terdeteksi, resource yang terpengaruh, dan—jika tersedia—langkah-langkah yang dapat Anda lakukan untuk memperbaiki temuan.
  6. Opsional: Untuk melihat definisi JSON lengkap temuan, klik tab JSON.

Memperbaiki temuan Model Armor

Temuan FLOOR_SETTINGS_VIOLATION menunjukkan bahwa template Model Armor gagal memenuhi standar keamanan minimum yang ditentukan oleh setelan minimum hierarki resource.

Untuk memperbaiki temuan ini, lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Model Armor.
  2. Pastikan Anda melihat project tempat Anda mengaktifkan Model Armor. Halaman Model Armor akan ditampilkan dan mencantumkan template yang dibuat untuk project Anda.
  3. Klik template yang ingin Anda ubah.
  4. Ubah template sesuai dengan setelan tingkat yang ditentukan di hierarki resource.
  5. Klik Simpan.

VM Manager

VM Manager adalah serangkaian alat yang dapat digunakan untuk mengelola sistem operasi untuk fleet virtual machine (VM) besar yang menjalankan Windows dan Linux di Compute Engine.

Jika Anda mengaktifkan VM Manager di tingkat organisasi, VM Manager akan menulis temuan dari laporan kerentanannya (Pratinjau) ke Security Command Center. Laporan ini mengidentifikasi kerentanan dalam sistem operasi yang diinstal pada VM, termasuk Common Vulnerabilities and Exposures (CVE).

Untuk menggunakan VM Manager dengan aktivasi level project Security Command Center Premium, aktifkan Security Command Center Standard di organisasi induk.

Laporan kerentanan tidak tersedia untuk Security Command Center Standard.

Temuan menyederhanakan proses penggunaan fitur Kepatuhan Patch VM Manager (Pratinjau). Fitur ini memungkinkan Anda melakukan pengelolaan patch di tingkat organisasi di semua project Anda.

Tingkat keparahan temuan kerentanan yang diterima dari VM Manager selalu berupa CRITICAL atau HIGH.

Temuan VM Manager

Kerentanan jenis ini semuanya terkait dengan paket sistem operasi yang diinstal di VM Compute Engine yang didukung.

Pendeteksi Ringkasan Setelan pemindaian aset

Nama kategori di API: OS_VULNERABILITY

Deskripsi temuan: VM Manager mendeteksi kerentanan dalam paket sistem operasi (OS) yang diinstal untuk VM Compute Engine.

Paket harga: Premium

Aset yang didukung

compute.googleapis.com/Instance

Perbaiki temuan ini

Laporan kerentanan VM Manager merinci kerentanan dalam paket sistem operasi yang diinstal untuk VM Compute Engine, termasuk Common Vulnerabilities and Exposures (CVE).

Untuk mengetahui daftar lengkap sistem operasi yang didukung, lihat Detail sistem operasi.

Temuan akan muncul di Security Command Center segera setelah kerentanan terdeteksi. Laporan kerentanan di VM Manager dibuat sebagai berikut:

  • Saat paket diinstal atau diupdate di sistem operasi VM, Anda dapat melihat informasi Common Vulnerabilities and Exposures (CVE) untuk VM di Security Command Center dalam waktu dua jam setelah perubahan.
  • Saat saran keamanan baru dipublikasikan untuk sistem operasi, CVE yang diperbarui biasanya tersedia dalam waktu 24 jam setelah vendor sistem operasi memublikasikan saran tersebut.

Meninjau temuan di konsol

  1. Di konsol Google Cloud , buka halaman Findings di Security Command Center.

    Buka Findings

  2. Pilih project atau organisasi Google Cloud Anda.
  3. Di bagian Quick filters, di subbagian Source display name, pilih VM Manager. Hasil kueri temuan diperbarui untuk hanya menampilkan temuan dari sumber ini.
  4. Untuk melihat detail temuan tertentu, klik nama temuan di kolom Category. Panel detail untuk temuan akan terbuka dan menampilkan tab Summary.
  5. Di tab Summary, tinjau detail temuan, termasuk informasi tentang apa yang terdeteksi, resource yang terpengaruh, dan—jika tersedia—langkah-langkah yang dapat Anda lakukan untuk memperbaiki temuan.
  6. Opsional: Untuk melihat definisi JSON lengkap temuan, klik tab JSON.

Memperbaiki temuan VM Manager

Temuan OS_VULNERABILITY menunjukkan bahwa VM Manager menemukan kerentanan dalam paket sistem operasi yang diinstal di VM Compute Engine.

Untuk memperbaiki temuan ini, lakukan hal berikut:

  1. Buka temuan OS vulnerability dan lihat definisi JSON-nya.

  2. Salin nilai kolom externalUri. Nilai ini adalah URI untuk halaman OS info instance VM Compute Engine tempat sistem operasi yang rentan diinstal.

  3. Terapkan semua patch yang sesuai untuk OS yang ditampilkan di bagian Basic info. Untuk mengetahui petunjuk tentang cara men-deploy patch, lihat Membuat tugas patch.

Pelajari aset dan setelan pemindaian yang didukung untuk jenis temuan ini.

Menonaktifkan temuan VM Manager

Anda mungkin ingin menyembunyikan beberapa atau semua temuan VM Manager di Security Command Center jika temuan tersebut tidak relevan dengan persyaratan keamanan Anda.

Anda dapat menyembunyikan temuan VM Manager dengan membuat aturan penonaktifan dan menambahkan atribut kueri khusus untuk temuan VM Manager yang ingin Anda sembunyikan.

Untuk mengetahui informasi tentang cara membuat aturan penonaktifan, lihat Membuat aturan penonaktifan.

Misalnya, jika Anda ingin menyembunyikan ID CVE tertentu dalam temuan kerentanan VM Manager, pilih Vulnerability > CVE ID, lalu pilih ID CVE yang ingin Anda sembunyikan.

Kolom Findings query untuk aturan penonaktifan Anda terlihat mirip dengan berikut ini:

parent_display_name="VM Manager"
AND vulnerability.cve.id="CVE-2025-26923" OR vulnerability.cve.id="CVE-2025-27635"

Temuan Agent Platform Vulnerability Assessment

Deteksi kerentanan

Agent Platform Vulnerability Assessment mengidentifikasi kerentanan software (CVE) dalam workload agentic yang di-deploy dengan Gemini Enterprise Agent Platform.

Temuan memiliki class VULNERABILITY dan tingkat keparahan HIGH atau CRITICAL.

Untuk mengatasi temuan, perbarui persyaratan agen atau definisi container kustom Anda untuk menggunakan versi paket yang aman, seperti yang ditentukan dalam kolom Paket tetap.

Deteksi secret

Agent Platform Vulnerability Assessment menyediakan pemindaian otomatis dan berkelanjutan untuk secret teks biasa dalam image Agent Platform yang di-deploy pelanggan dan menghasilkan temuan di Security Command Center.

Setiap temuan mengidentifikasi URI Agent Platform, repositori image, jenis secret, dan jalur.

Temuan memiliki class SECRET dan tingkat keparahan CRITICAL.

Referensi temuan

Pendeteksi Ringkasan

Nama kategori di API: SOFTWARE_VULNERABILITY

Kelas: VULNERABILITY

Tingkat keparahan: CRITICAL atau HIGH

Deskripsi temuan: Kerentanan software (CVE) terdeteksi dalam workload agen yang di-deploy dengan Agent Platform. Pemindai ini secara otomatis menilai kode kustom dan dependensi dalam instance operasional.

Paket harga: Premium atau Enterprise

Perbaiki temuan ini :

Tinjau detail temuan untuk mengidentifikasi paket dan versi yang terpengaruh. Untuk mengatasi temuan ini, perbarui persyaratan agen atau definisi container kustom Anda untuk menggunakan versi paket yang aman, lalu deploy ulang instance Agent Platform.

Nama kategori di API: SECRETS_IN_AGENT_ENGINE

Kelas: SECRET

Tingkat keseriusan: CRITICAL

Deskripsi temuan: Kredensial teks biasa dari jenis <TYPE> ditemukan di lapisan image pada jalur: <PATH>.

Paket harga: Premium atau Enterprise

Perbaiki temuan ini :

  • Selidiki temuan untuk mengonfirmasi detail tentang secret, lalu cabut atau rotasi kredensial yang terekspos.
  • Hapus secret teks biasa dari Dockerfile, kode sumber, atau file konfigurasi yang digunakan untuk mem-build image.
  • Terapkan solusi pengelolaan secret yang aman, seperti Secret Manager, untuk menyimpan dan mengakses secret dengan aman saat runtime.
  • Bangun ulang dan deploy ulang instance Agent Platform dengan image yang telah diperbaiki.

Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi AI Protection.

Temuan penilaian kerentanan Artifact Registry

Tabel berikut mencantumkan temuan yang memberi tahu Anda tentang potensi kerentanan yang terdeteksi dalam image container Anda. Temuan ini hanya dibuat untuk image container rentan yang disimpan di Artifact Registry dan di-deploy ke salah satu aset berikut:

  • Cluster Google Kubernetes Engine
  • Layanan Cloud Run
  • Tugas Cloud Run
  • App Engine

Temuan ini diklasifikasikan sebagai tingkat keparahan HIGH atau CRITICAL.

Untuk mengetahui informasi tentang cara mengaktifkan, menonaktifkan, dan melihat temuan penilaian kerentanan Artifact Registry di konsol Google Cloud , lihat Layanan deteksi penilaian kerentanan Artifact Registry.

Pendeteksi Ringkasan

Nama kategori di API: CONTAINER_IMAGE_VULNERABILITY

Deskripsi temuan: Kerentanan terdeteksi dalam image container yang dipindai di Artifact Registry. Gambar ini di-deploy ke salah satu aset berikut:

  • Cluster Google Kubernetes Engine
  • Layanan Cloud Run
  • Tugas Cloud Run
  • App Engine

Paket harga: Standard, Premium, atau Enterprise

Perbaiki temuan ini :

Bergantung pada jenis resource, lakukan tindakan berikut:

  • Untuk tugas atau eksekusi Cloud Run, perbarui konfigurasi tugas dengan versi image tetap. Temuan ini akan diselesaikan jika tugas Cloud Run dengan versi image yang rentan tidak dijalankan selama 12 jam.
  • Untuk layanan atau revisi Cloud Run, alokasikan traffic ke revisi berbeda yang di-deploy dengan versi image tetap. Pastikan traffic tidak dialokasikan ke revisi dengan image yang rentan.
  • Untuk aset Google Kubernetes Engine atau App Engine, upgrade atau hapus versi image container.

Lihat detail temuan untuk mengetahui langkah-langkah perbaikan spesifik berdasarkan resource runtime yang sesuai.

Bagi pelanggan paket Standard-lama, penggunaan fitur kueri Aset Inventaris Aset Cloud untuk menentukan tempat image container yang rentan di-deploy tidak didukung. Sebaiknya upgrade ke paket Premium atau Enterprise untuk mendapatkan informasi yang lebih mendetail.

Sensitive Data Protection

Bagian ini menjelaskan temuan kerentanan yang dihasilkan Sensitive Data Protection, standar kepatuhan yang didukung, dan cara memulihkan temuan tersebut.

Sensitive Data Protection juga mengirimkan temuan pengamatan ke Security Command Center. Untuk mengetahui informasi selengkapnya tentang temuan pengamatan dan Sensitive Data Protection, lihat Sensitive Data Protection.

Untuk mengetahui informasi tentang cara melihat temuan, lihat Meninjau temuan Sensitive Data Protection di konsol Google Cloud .

Temuan kerentanan dari Sensitive Data Protection

Layanan penemuan Sensitive Data Protection membantu Anda menentukan apakah Anda menyimpan data yang sangat sensitif dan tidak dilindungi.

Kategori Ringkasan

Nama kategori di API:

PUBLIC_SENSITIVE_DATA

Deskripsi temuan: Resource yang ditentukan memiliki data sensitivitas tinggi yang dapat diakses oleh siapa pun di internet.

Aset yang didukung:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket Amazon S3
  • Kontainer Azure Blob Storage

Remediasi:

Untuk data Google Cloud , hapus allUsers dan allAuthenticatedUsers dari kebijakan IAM aset data.

Untuk data Amazon S3, konfigurasikan setelan pemblokiran akses publik atau perbarui ACL objek untuk menolak akses baca publik. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi setelan blokir akses publik untuk bucket S3 Anda dan Mengonfigurasi ACL dalam dokumentasi AWS.

Untuk data Azure Blob Storage, hapus akses publik ke container dan blob. Untuk mengetahui informasi selengkapnya, lihat Ringkasan: Memperbaiki akses baca anonim untuk data blob dalam dokumentasi Azure.

Standar kepatuhan: Tidak dipetakan

Nama kategori di API:

SECRETS_IN_ENVIRONMENT_VARIABLES

Deskripsi temuan: Ada secret—seperti sandi, token autentikasi, dan kredensial Google Cloud —dalam variabel lingkungan.

Untuk mengaktifkan detektor ini, lihat Melaporkan secret dalam variabel lingkungan ke Security Command Center dalam dokumentasi Sensitive Data Protection.

Aset yang didukung:

Remediasi:

Untuk variabel lingkungan Cloud Run Functions, hapus secret dari variabel lingkungan dan simpan di Secret Manager.

Untuk variabel lingkungan revisi layanan Cloud Run, pindahkan semua traffic dari revisi, lalu hapus revisi tersebut.

Standar kepatuhan:

  • CIS GCP Foundation 1.3: 1.18
  • CIS GCP Foundation 2.0: 1.18

Nama kategori di API:

SECRETS_IN_STORAGE

Deskripsi temuan: Ada secret—seperti sandi, token autentikasi, dan kredensial cloud—di resource yang ditentukan.

Aset yang didukung:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket Amazon S3
  • Kontainer Azure Blob Storage

Remediasi:

  1. Untuk data Google Cloud , gunakan Sensitive Data Protection untuk menjalankan pemindaian pemeriksaan mendalam terhadap resource yang ditentukan guna mengidentifikasi semua resource yang terpengaruh. Untuk data Cloud SQL, ekspor data tersebut ke file CSV atau AVRO di bucket Cloud Storage dan jalankan pemindaian pemeriksaan mendalam pada bucket tersebut.

    Untuk data dari penyedia cloud lain, periksa bucket atau container yang ditentukan secara manual.

  2. Hapus secret yang terdeteksi.
  3. Pertimbangkan untuk mereset kredensial.
  4. Untuk data Google Cloud , pertimbangkan untuk menyimpan secret yang terdeteksi di Secret Manager.

Standar kepatuhan: Tidak dipetakan

Temuan kesalahan konfigurasi dari Sensitive Data Protection

Layanan penemuan Sensitive Data Protection membantu Anda menentukan apakah Anda memiliki kesalahan konfigurasi yang dapat mengekspos data sensitif.

Kategori Ringkasan

Nama kategori di API:

SENSITIVE_DATA_CMEK_DISABLED

Deskripsi temuan: Resource yang ditentukan memiliki data sensitivitas tinggi atau sensitivitas sedang dan resource tersebut tidak menggunakan kunci enkripsi yang dikelola pelanggan (CMEK).

Aset yang didukung:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket Amazon S3
  • Kontainer Azure Blob Storage

Remediasi:

Standar kepatuhan: Tidak dipetakan

Temuan pengamatan dari Sensitive Data Protection

Layanan penemuan Sensitive Data Protection membantu Anda menentukan apakah data Anda berisi infoType tertentu dan lokasinya di organisasi, folder, dan project Anda. Fitur ini menghasilkan kategori temuan pengamatan berikut di Security Command Center:

Kategori Ringkasan

Nama kategori di API:

DATA_SENSITIVITY

Deskripsi temuan: Indikasi tingkat sensitivitas data dalam aset data tertentu. Data bersifat sensitif jika berisi PII atau elemen lain yang mungkin memerlukan kontrol atau pengelolaan tambahan. Tingkat keparahan temuan adalah tingkat sensitivitas yang dihitung oleh Sensitive Data Protection saat membuat profil data.

Nama kategori di API:

DATA_RISK

Deskripsi temuan: Risiko yang terkait dengan data dalam statusnya saat ini. Saat menghitung risiko data, Sensitive Data Protection mempertimbangkan tingkat sensitivitas data dalam aset data dan keberadaan kontrol akses untuk melindungi data tersebut. Tingkat keparahan temuan adalah tingkat risiko data yang dihitung oleh Sensitive Data Protection saat membuat profil data.

Pengontrol Kebijakan

Pengontrol Kebijakan memungkinkan penerapan dan penegakan kebijakan yang dapat diprogram untuk cluster Kubernetes Anda yang terdaftar sebagai keanggotaan fleet. Kebijakan ini berfungsi sebagai pengaman dan dapat mendukung praktik terbaik, keamanan, serta manajemen kepatuhan cluster dan fleet Anda.

Halaman ini tidak mencantumkan semua temuan Pengontrol Kebijakan satu per satu, tetapi informasi tentang temuan class Misconfiguration yang ditulis Pengontrol Kebijakan ke Security Command Center sama dengan pelanggaran cluster yang didokumentasikan untuk setiap paket Pengontrol Kebijakan. Dokumentasi untuk setiap jenis temuan Pengontrol Kebijakan ada dalam paket Pengontrol Kebijakan berikut:

Kemampuan ini tidak kompatibel dengan perimeter layanan Kontrol Layanan VPC di sekitar Stackdriver API.

Menemukan dan memulihkan temuan Pengontrol Kebijakan

Kategori Pengontrol Kebijakan sesuai dengan nama batasan yang tercantum dalam dokumentasi paket Pengontrol Kebijakan. Misalnya, temuan require-namespace-network-policies menunjukkan bahwa namespace melanggar kebijakan bahwa setiap namespace dalam cluster memiliki NetworkPolicy.

Untuk memulihkan temuan, lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Findings di Security Command Center.

    Buka Findings

  2. Pilih project atau organisasi Google Cloud Anda.
  3. Di bagian Quick filters, di subbagian Source display name, pilih Policy Controller On-Cluster. Hasil kueri temuan diperbarui untuk hanya menampilkan temuan dari sumber ini.
  4. Untuk melihat detail temuan tertentu, klik nama temuan di kolom Category. Panel detail untuk temuan akan terbuka dan menampilkan tab Summary.
  5. Di tab Summary, tinjau detail temuan, termasuk informasi tentang apa yang terdeteksi, resource yang terpengaruh, dan—jika tersedia—langkah-langkah yang dapat Anda lakukan untuk memperbaiki temuan.
  6. Opsional: Untuk melihat definisi JSON lengkap temuan, klik tab JSON.

Langkah berikutnya