Ogni servizio crea risultati con classi diverse. La classe del risultato è determinata dalla condizione di sicurezza che ha creato il risultato.
La tua capacità di visualizzare e modificare i risultati è determinata dai ruoli e dalle autorizzazioni di Identity and Access Management (IAM) che ti sono stati assegnati. Per saperne di più sui ruoli IAM in Security Command Center, consulta Controllo dell'accesso.
Rilevatori e conformità
Security Command Center monitora la tua conformità con i rilevatori mappati ai controlli di un'ampia gamma di standard di sicurezza.
Per ogni standard di sicurezza supportato, Security Command Center controlla un sottoinsieme di controlli. Per i controlli verificati, Security Command Center mostra quanti sono stati superati. Per i controlli che non vengono superati, Security Command Center mostra un elenco di risultati che descrivono gli errori di controllo.
CIS esamina e certifica le mappature dei rilevatori di Security Command Center a ogni versione supportata del benchmark CIS Google Cloud Foundations. Le mappature di conformità aggiuntive sono incluse solo a scopo di riferimento.
Security Command Center aggiunge periodicamente il supporto di nuove versioni e standard di benchmark. Le versioni precedenti continuano a essere supportate, ma alla fine vengono ritirate. Ti consigliamo di utilizzare il benchmark o lo standard supportato più recente disponibile.
Con il servizio di security posture, puoi mappare le policy dell'organizzazione e i rilevatori di Security Health Analytics agli standard e ai controlli applicabili alla tua attività. Dopo aver creato una security posture, puoi monitorare eventuali modifiche all'ambiente che potrebbero influire sulla conformità della tua attività.
Con Compliance Manager, puoi eseguire il deployment di framework che mappano i controlli normativi ai controlli cloud. Dopo aver creato un framework, puoi monitorare eventuali modifiche all'ambiente che potrebbero influire sulla conformità della tua attività e controllare l'ambiente.
Per saperne di più sulla gestione della conformità, consulta Valuta e segnala la conformità agli standard di sicurezza.
Standard di sicurezza supportati
Google Cloud
Security Command Center mappa i rilevatori per Google Cloud a uno o più dei seguenti standard di conformità:
- Center for Information Security (CIS) Controls 8.0
- CIS Google Cloud Computing Foundations Benchmark v2.0.0, v1.3.0, v1.2.0, v1.1.0 e v1.0.0
- Benchmark CIS per Kubernetes v1.5.1
- Cloud Controls Matrix (CCM) 4
- Health Insurance Portability and Accountability Act (HIPAA)
- International Organization for Standardization (ISO) 27001, 2022 e 2013
- National Institute of Standards and Technology (NIST) 800-53 R5 e R4
- National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF) 1.0
- Open Web Application Security Project (OWASP) Top Ten, 2021 e 2017
- Payment Card Industry Data Security Standard (PCI DSS) 4.0 e 3.2.1
- System and Organization Controls (SOC) 2 Trust Services Criteria (TSC) 2017
AWS
Nel livello di servizio Enterprise (obsoleto), Security Command Center mappa i rilevatori per Amazon Web Services (AWS) a uno o più dei seguenti standard di conformità:
- CIS Amazon Web Services Foundations 2.0.0
- CIS Critical Security Controls versione 8.0
- Cloud Controls Matrix (CCM) 4
- Health Insurance Portability and Accountability Act (HIPAA)
- International Organization for Standardization (ISO) 27001, 2022
- National Institute of Standards and Technology (NIST) 800-53 R5
- National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF) 1.0
- Payment Card Industry Data Security Standard (PCI DSS) 4.0 e 3.2.1
- System and Organization Controls (SOC) 2 2017 Trusted Services Criteria (TSC)
Per istruzioni su come visualizzare ed esportare i report sulla conformità, consulta Valuta e segnala la conformità agli standard di sicurezza.
Risultati di Security Health Analytics
I rilevatori di Security Health Analytics monitorano un sottoinsieme di risorse di Cloud Asset Inventory (CAI), ricevendo notifiche delle modifiche alle risorse e alle policy di Identity and Access Management (IAM). Alcuni rilevatori recuperano i dati chiamando direttamente le API Google Cloud , come indicato nelle tabelle più avanti in questa pagina.
Per saperne di più su Security Health Analytics, sulle pianificazioni delle scansioni e sul supporto di Security Health Analytics per i rilevatori di moduli integrati e personalizzati, consulta Panoramica di Security Health Analytics.
Le tabelle seguenti descrivono i rilevatori di Security Health Analytics, gli asset e gli standard di conformità supportati, le impostazioni utilizzate per le scansioni e i tipi di risultati generati. Puoi filtrare i risultati in base a vari attributi nelle seguenti pagine della console Google Cloud :
- Pagina Vulnerabilità
- Pagina Panoramica dei rischi > dashboard Vulnerabilità
Per istruzioni su come correggere i risultati e proteggere le risorse, consulta Risoluzione dei risultati di Security Health Analytics.
Risultati relativi alle vulnerabilità delle chiavi API
Il rilevatore API_KEY_SCANNER identifica le vulnerabilità relative alle chiavi API utilizzate nel tuo deployment cloud.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: Esistono chiavi API utilizzate in modo troppo ampio. Per risolvere il problema, limita l'utilizzo delle chiavi API in modo da consentire solo le API necessarie per l'applicazione. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Recupera la proprietà
|
|
Descrizione del risultato: sono presenti chiavi API utilizzate senza limitazioni, che consentono l'utilizzo da parte di qualsiasi app non attendibile. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Recupera la proprietà
|
|
Descrizione del risultato: un progetto utilizza chiavi API anziché l'autenticazione standard. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Recupera tutte le chiavi API di proprietà di un progetto.
|
|
Descrizione del risultato: la chiave API non è stata ruotata per più di 90 giorni. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Recupera il timestamp contenuto nella proprietà
|
Risultati delle vulnerabilità di Cloud Asset Inventory
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni di Cloud Asset Inventory e appartengono al tipo CLOUD_ASSET_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: l'acquisizione di risorse Google Cloud e policy IAM da parte di Cloud Asset Inventory consente analisi della sicurezza, monitoraggio delle modifiche delle risorse e controlli di conformità. Ti consigliamo di abilitare il servizio Cloud Asset Inventory per tutti i progetti. Questo rilevatore richiede un'ulteriore configurazione per essere attivato. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il servizio Cloud Asset Inventory è abilitato.
|
Risultati delle vulnerabilità dello spazio di archiviazione
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni dei bucket Cloud Storage e appartengono al tipoSTORAGE_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: un bucket non è criptato con chiavi di crittografia gestite dal cliente (CMEK). Questo rilevatore richiede un'ulteriore configurazione per essere attivato. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla il campo
|
|
Descrizione del risultato: l'accesso uniforme a livello di bucket, precedentemente chiamato Solo policy del bucket, non è configurato. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: un bucket Cloud Storage è accessibile pubblicamente. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la policy di autorizzazione IAM di un bucket per i ruoli pubblici,
|
|
Descrizione del risultato: un bucket di archiviazione utilizzato come sink di log è accessibile pubblicamente. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la policy di autorizzazione IAM di un bucket per le entità
|
Risultati delle vulnerabilità delle immagini di Compute
Il rilevatore COMPUTE_IMAGE_SCANNER identifica le vulnerabilità relative alle configurazioni delle immaginiGoogle Cloud .
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Ricerca descrizione: Un'immagine di Compute Engine è accessibile pubblicamente. Livello di prezzo: Premium o Standard
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla la policy di autorizzazione IAM nei metadati delle risorse per le entità
|
Risultati delle vulnerabilità delle istanze di computing
Il rilevatore COMPUTE_INSTANCE_SCANNER identifica le vulnerabilità relative alle configurazioni delle istanze Compute Engine.
I rilevatori COMPUTE_INSTANCE_SCANNER non segnalano risultati sulle istanze di Compute Engine create da GKE. Queste istanze hanno nomi che iniziano con "gke-", che gli utenti non possono modificare. Per proteggere queste istanze, consulta la sezione Risultati delle vulnerabilità dei container.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: Confidential Computing è disabilitato su un'istanza Compute Engine. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: vengono utilizzate chiavi SSH a livello di progetto, che consentono l'accesso a tutte le istanze del progetto. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla l'oggetto
|
|
Descrizione del risultato: per questa Shielded VM non è abilitato l'avvio protetto. L'uso di Avvio protetto aiuta a proteggere le istanze di macchine virtuali da minacce avanzate come rootkit e bootkit. Livello di prezzo: Premium Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla la proprietà
|
|
Descrizione del risultato: le porte seriali sono abilitate per un'istanza, consentendo le connessioni alla console seriale dell'istanza. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla l'oggetto
|
|
Descrizione del risultato: un'istanza è configurata per utilizzare il service account predefinito. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: i dischi di questa VM non sono criptati con chiavi di crittografia gestite dal cliente (CMEK). Questo rilevatore richiede un'ulteriore configurazione per essere attivato. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla il campo
|
|
Ricerca descrizione: I dischi su questa VM non sono crittografati con chiavi di crittografia fornite dal cliente (CSEK). Per attivare questo rilevatore è necessaria una configurazione aggiuntiva. Per le istruzioni, consulta Rilevatore di casi speciali. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla il campo
|
|
Descrizione del risultato: un'istanza è configurata per utilizzare l'account di servizio predefinito con accesso completo a tutte le API Google Cloud. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Recupera il campo
|
|
Descrizione del risultato: un'istanza utilizza un bilanciatore del carico configurato per utilizzare un proxy HTTP di destinazione anziché un proxy HTTPS di destinazione. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Determina se la proprietà
|
|
Descrizione del risultato: OS Login è disabilitato su questa istanza. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati
Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: l'IP forwarding è abilitato sulle istanze. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: OS Login è disattivato in questo progetto. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla l'oggetto
|
|
Descrizione del risultato: un'istanza ha un indirizzo IP pubblico. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: Shielded VM è disabilitata su questa istanza. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un'istanza ha una policy SSL debole. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se
|
Vulnerabilità dei container rilevate
Questi tipi di risultati riguardano tutti le configurazioni dei container GKE e appartengono al tipo di rilevatore CONTAINER_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: le funzionalità dei cluster alpha sono abilitate per un cluster GKE. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: la funzionalità di riparazione automatica di un cluster GKE, che mantiene i nodi in uno stato integro e in esecuzione, è disabilitata. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: la funzionalità di upgrade automatico di un cluster GKE, che mantiene i cluster e i pool di nodi nell'ultima versione stabile di Kubernetes, è disabilitata. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: Autorizzazione binaria è disabilitata sul cluster GKE o la policy di Autorizzazione binaria è configurata per consentire il deployment di tutte le immagini. Livello di prezzo: Premium
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla quanto segue:
|
|
Descrizione del risultato: il logging non è abilitato per un cluster GKE. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: il monitoraggio è disattivato sui cluster GKE. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: gli host del cluster non sono configurati per utilizzare solo indirizzi IP interni privati per accedere alle API di Google. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: la crittografia dei secret a livello di applicazione è disabilitata su un cluster GKE. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: I nodi GKE schermati non sono abilitati per un cluster. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: le VM di Compute Engine non utilizzano Container-Optimized OS progettato per l'esecuzione di container Docker su Google Cloud in modo sicuro. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: il monitoraggio dell'integrità è disabilitato per un cluster GKE. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Risultato della descrizione: La visibilità intranodo è disabilitata per un cluster GKE. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: è stato creato un cluster GKE con intervalli IP alias disattivati. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il campo
|
|
Descrizione del risultato: l'autorizzazione legacy è abilitata sui cluster GKE. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: i metadati legacy sono abilitati sui cluster GKE. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: le reti autorizzate del control plane non sono abilitate sui cluster GKE. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: la policy di rete è disabilitata sui cluster GKE. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla il campo
|
|
Descrizione del risultato: i dischi di avvio in questo pool di nodi non sono criptati con chiavi di crittografia gestite dal cliente (CMEK). Per attivare questo rilevatore è necessaria una configurazione aggiuntiva. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla la proprietà
|
|
Descrizione del risultato: l'avvio protetto è disabilitato per un cluster GKE. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un account di servizio dispone di un accesso al progetto eccessivamente ampio in un cluster. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Valuta la proprietà
|
|
Descrizione del risultato: un account di servizio del nodo ha ambiti di accesso ampi. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se l'ambito di accesso elencato nella proprietà config.oauthScopes di un pool di nodi è un ambito di accesso limitato del account di servizio: https://www.googleapis.com/auth/devstorage.read_only, https://www.googleapis.com/auth/logging.write o https://www.googleapis.com/auth/monitoring.
|
|
Descrizione del risultato: PodSecurityPolicy è disabilitato su un cluster GKE. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un cluster GKE ha un cluster privato disabilitato. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il campo
|
|
Descrizione del risultato: un cluster GKE non è iscritto a un canale di rilascio. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: la UI web di GKE (dashboard) è abilitata. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla il campo
|
|
Descrizione del risultato: Workload Identity Federation for GKE è disabilitata su un cluster GKE. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
Risultati delle vulnerabilità di Managed Service for Apache Spark
Le vulnerabilità di questo tipo di rilevatore riguardano tutte Managed Service for Apache Spark e appartengono al tipo di rilevatore DATAPROC_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: è stato creato un cluster Managed Service for Apache Spark senza una configurazione di crittografia CMEK. Con CMEK, le chiavi che crei e gestisci in Cloud Key Management Service criptano le chiavi utilizzate da Google Cloud per criptare i tuoi dati, offrendoti un maggiore controllo sull'accesso ai tuoi dati. Questo rilevatore richiede un'ulteriore configurazione per essere attivato. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica se il campo
|
|
Descrizione del risultato: è stato creato un cluster Managed Service for Apache Spark con una versione immagine di Managed Service for Apache Spark interessata dalle vulnerabilità di sicurezza nell'utilità Apache Log4j 2 (CVE-2021-44228 e CVE-2021-45046). Livello di prezzo: Premium o Standard
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla se il campo
|
Risultati relativi alle vulnerabilità dei set di dati
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni dei set di dati BigQuery e appartengono al tipo di rilevatore DATASET_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: una tabella BigQuery non è configurata per l'utilizzo di una chiave di crittografia gestita dal cliente (CMEK). Per attivare questo rilevatore è necessaria una configurazione aggiuntiva. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica se il campo
|
|
Descrizione del risultato: un set di dati BigQuery non è configurato per l'utilizzo di una chiave CMEK predefinita. Per attivare questo rilevatore è necessaria una configurazione aggiuntiva. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica se il campo
|
|
Descrizione del risultato: un set di dati è configurato per essere aperto all'accesso pubblico. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la policy di autorizzazione IAM nei metadati delle risorse per le entità
|
Risultati delle vulnerabilità DNS
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni di Cloud DNS e appartengono al tipo di rilevatore DNS_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: DNSSEC è disabilitato per le zone DNS di Cloud DNS. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il campo
|
|
Descrizione del risultato: RSASHA1 viene utilizzato per la firma delle chiavi nelle zone Cloud DNS. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se l'oggetto
|
Risultati delle vulnerabilità del firewall
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni del firewall e appartengono al tipo di rilevatore FIREWALL_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: una regola di negazione in uscita non è impostata su un firewall. Le regole di negazione del traffico in uscita devono essere impostate in modo da bloccare il traffico in uscita indesiderato. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: il logging delle regole firewall è disabilitato. Il logging delle regole firewall deve essere abilitato per consentire l'audit dell'accesso alla rete. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato in modo da avere una porta Cassandra aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato in modo da avere una porta CISCOSECURE_WEBSM aperta che consente l'accesso generico. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato in modo da avere una porta DIRECTORY_SERVICES aperta che consente l'accesso generico. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato in modo da avere una porta DNS aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato per avere una porta ELASTICSEARCH aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato per essere aperto all'accesso pubblico. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla le proprietà
|
|
Descrizione del risultato: un firewall è configurato per avere una porta FTP aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato in modo da avere una porta HTTP aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato per avere una porta LDAP aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato per avere una porta MEMCACHED aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato per avere una porta MONGODB aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato per avere una porta MYSQL aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato per avere una porta NETBIOS aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato in modo da avere una porta ORACLEDB aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato in modo da avere una porta POP3 aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato in modo da avere una porta PostgreSQL aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato per avere una porta RDP aperta che consente l'accesso generico. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un firewall è configurato per avere una porta REDIS aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: un firewall è configurato in modo da avere una porta SMTP aperta che consente l'accesso generico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: un firewall è configurato in modo da avere una porta SSH aperta che consente l'accesso generico. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: un firewall è configurato in modo da avere una porta TELNET aperta che consente l'accesso generico. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
Risultati delle vulnerabilità IAM
Le vulnerabilità di questo tipo di rilevatore riguardano tutte la configurazione di Identity and Access Management (IAM) e appartengono al tipo di rilevatore IAM_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: Google Cloud Access Transparency è disabilitato per la tua organizzazione. Access Transparency registra quando i dipendenti di Google Cloud accedono ai progetti della tua organizzazione per fornire assistenza. Attiva Access Transparency per registrare chi di Google Cloud accede alle tue informazioni, quando e perché. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se Access Transparency è abilitato per la tua organizzazione.
|
|
Descrizione del risultato: un account di servizio dispone di privilegi di amministratore, proprietario o editor. Questi ruoli non devono essere assegnati ai service account creati dagli utenti. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la policy di autorizzazione IAM nei metadati delle risorse per verificare la presenza di eventuali service account creati dall'utente (indicati dal prefisso ) a cui sono assegnati
|
|
Descrizione del risultato: La tua organizzazione non ha designato una persona o un gruppo per ricevere notifiche da Google Cloud riguardo ad eventi importanti come attacchi, vulnerabilità e incidenti relativi ai dati all'interno della tua Google Cloud organizzazione. Ti consigliamo di designare come contatto essenziale una o più persone o gruppi della tua organizzazione aziendale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che sia specificato un contatto per le seguenti categorie di contatti fondamentali:
|
|
Descrizione del risultato: la separazione dei compiti non viene applicata ed esiste un utente che ha il ruolo Cloud KMS Admin e uno dei seguenti ruoli di Cloud Key Management Service (Cloud KMS) contemporaneamente: CryptoKey Encrypter/Decrypter, Encrypter, Decrypter, Public Key Viewer, Signer o Signer/Verifier. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla le policy di autorizzazione IAM nei metadati delle risorse e recupera le entità a cui sono assegnati contemporaneamente i seguenti ruoli: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter e roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier, roles/cloudkms.publicKeyViewer.
|
|
Descrizione del risultato: un utente non utilizza le credenziali dell'organizzazione. Per CIS GCP Foundations 1.0, attualmente, solo le identità con indirizzi email @gmail.com attivano questo rilevatore. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Confronta gli indirizzi email @gmail.com nel campo
|
|
Descrizione del risultato: un account Google Gruppi a cui è possibile iscriversi senza approvazione viene utilizzato come entità di una policy di autorizzazione IAM. Livello di prezzo: Premium o Standard
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla la policy IAM nei metadati delle risorse per verificare la presenza di associazioni contenenti un membro (entità) con prefisso group. Se il gruppo è un gruppo aperto, Security Health Analytics genera questo risultato.
|
|
Descrizione del risultato: un utente ha il ruolo Utente account di servizio o Creatore token account di servizio a livello di progetto, anziché per un account di servizio specifico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la policy di autorizzazione IAM nei metadati delle risorse per verificare se sono presenti entità a cui è stato assegnato roles/iam.serviceAccountUser o roles/iam.serviceAccountTokenCreator a livello di progetto.
|
|
Descrizione del risultato: un utente ha uno dei seguenti ruoli di base:
Questi ruoli non sono abbastanza restrittivi e non devono essere utilizzati. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la policy di autorizzazione IAM nei metadati delle risorse per verificare se sono presenti entità a cui è assegnato un ruolo
|
|
Descrizione del risultato: un ruolo IAM Redis è assegnato a livello di organizzazione o cartella. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium
Asset supportati
Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la policy di autorizzazione IAM nei metadati delle risorse per le entità assegnate
|
|
Descrizione del risultato: a un utente sono stati assegnati i ruoli Amministratore service account e Utente service account. Ciò viola il principio della "separazione dei compiti". Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la policy di autorizzazione IAM nei metadati delle risorse per verificare se sono presenti entità a cui sono assegnati sia roles/iam.serviceAccountUser sia roles/iam.serviceAccountAdmin.
|
|
Descrizione del risultato: una chiave del account di servizio non è stata ruotata per più di 90 giorni. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Valuta il timestamp di creazione della chiave acquisito nella proprietà
|
|
Descrizione del risultato: un utente gestisce una chiave del account di servizio. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
Risultati delle vulnerabilità di KMS
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni di Cloud KMS e appartengono al tipo di rilevatore KMS_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: la rotazione non è configurata su una chiave di crittografia Cloud KMS. Le chiavi devono essere ruotate entro un periodo di 90 giorni. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla i metadati delle risorse per verificare l'esistenza delle proprietà
|
|
Descrizione del risultato: un utente dispone delle autorizzazioni di Proprietario per un progetto protetto da chiavi di crittografia. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la policy di autorizzazione IAM nei metadati del progetto per le entità a cui è stato assegnato
|
|
Descrizione del risultato: una chiave di crittografia Cloud KMS è accessibile pubblicamente. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la policy di autorizzazione IAM nei metadati delle risorse per le entità
|
|
Descrizione del risultato: sono presenti più di tre utenti delle chiavi di crittografia. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla le policy di autorizzazione IAM per chiavi automatizzate, progetti e organizzazioni e recupera le entità con ruoli che consentono loro di criptare, decriptare o firmare i dati utilizzando le chiavi Cloud KMS: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer e roles/cloudkms.signerVerifier.
|
Risultati delle vulnerabilità di Logging
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni di logging e appartengono al tipo di rilevatore LOGGING_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: l'audit logging è stato disattivato per questa risorsa. Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la policy di autorizzazione IAM nei metadati della risorsa per verificare l'esistenza di un oggetto
|
|
Descrizione del risultato: esiste un bucket di archiviazione con logging disabilitato. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il campo
|
|
Descrizione del risultato: non è impostata una policy di conservazione bloccata per i log. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il campo
|
|
Descrizione del risultato: esiste una risorsa per la quale non è configurato un sink di log appropriato. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati
Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Recupera un oggetto
|
|
Descrizione del risultato: il controllo delle versioni degli oggetti non è abilitato in un bucket di archiviazione in cui sono configurati i sink. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il campo
|
Monitoraggio dei risultati relativi alle vulnerabilità
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni di monitoraggio e appartengono al tipo MONITORING_SCANNER. Tutte le proprietà dei risultati dei rilevatori di Monitoring includono:
-
RecommendedLogFilterda utilizzare per creare le metriche basate sui log. -
QualifiedLogMetricNamesche coprono le condizioni elencate nel filtro dei log consigliato. -
AlertPolicyFailureReasonsche indicano se per il progetto non sono state create policy di avviso per una delle metriche basate sui log idonee o se le policy di avviso esistenti non hanno le impostazioni consigliate.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
thought Per creare un'istanza di Cloud SQL per MySQL: 1. Nella console Google Cloud, vai alla pagina **Istanze Cloud SQL**. <a href="https://console.cloud.google.com/sql/instances" target="_blank" rel="noopener noreferrer"> Vai alla pagina Istanze Cloud SQL </a> 1. Fai clic su **Crea istanza**. 1. Fai clic su **Scegli MySQL**. 1. Nel campo **ID istanza**, inserisci `my-instance`. 1. Nel campo **Password**, inserisci una password per l'utente root. 1. Mantieni i valori predefiniti per gli altri campi. 1. Fai clic su **Crea istanza**. La creazione dell'istanza richiede alcuni minuti. Quando l'istanza è pronta per l'uso, viene visualizzata nell'elenco delle istanze. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su protoPayload.methodName="SetIamPolicy" AND
protoPayload.serviceData.policyDelta.auditConfigDeltas:* e, se è specificato resource.type, che il valore sia global.
Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente.
|
|
Descrizione del risultato: le metriche basate sui log e gli avvisi non sono configurati per monitorare le modifiche alle autorizzazioni IAM di Cloud Storage. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su resource.type=gcs_bucket AND
protoPayload.methodName="storage.setIamPermissions".
Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente.
|
|
Descrizione del risultato: le metriche basate sui log e gli avvisi non sono configurati per monitorare le modifiche ai ruoli personalizzati. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su resource.type="iam_role" AND
(protoPayload.methodName="google.iam.admin.v1.CreateRole"
OR
protoPayload.methodName="google.iam.admin.v1.DeleteRole"
OR
protoPayload.methodName="google.iam.admin.v1.UpdateRole").
Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente.
|
|
Descrizione del risultato: le metriche basate sui log e gli avvisi non sono configurati per monitorare le modifiche alle regole del firewall di rete Virtual Private Cloud (VPC). Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su
resource.type="gce_firewall_rule"
AND (protoPayload.methodName:"compute.firewalls.insert"
OR protoPayload.methodName:"compute.firewalls.patch"
OR protoPayload.methodName:"compute.firewalls.delete").
Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente.
|
|
Descrizione del risultato: le metriche basate sui log e gli avvisi non sono configurati per monitorare le modifiche alla rete VPC. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su
resource.type="gce_network"
AND (protoPayload.methodName:"compute.networks.insert"
OR protoPayload.methodName:"compute.networks.patch"
OR protoPayload.methodName:"compute.networks.delete"
OR protoPayload.methodName:"compute.networks.removePeering"
OR protoPayload.methodName:"compute.networks.addPeering").
Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente.
|
|
Descrizione del risultato: le metriche basate sui log e gli avvisi non sono configurati per monitorare le assegnazioni o le modifiche alla proprietà del Project Owner. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su (protoPayload.serviceName="cloudresourcemanager.googleapis.com")
AND ( (ProjectOwnership OR projectOwnerInvitee) OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner")
OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") ) e, se è specificato resource.type, che il valore sia global.
Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente.
|
|
Descrizione del risultato: le metriche basate sui log e gli avvisi non sono configurati per monitorare le modifiche alle route di rete VPC. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su
resource.type="gce_route"
AND (protoPayload.methodName:"compute.routes.delete"
OR protoPayload.methodName:"compute.routes.insert").
Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente.
|
|
Descrizione del risultato: le metriche basate sui log e gli avvisi non sono configurati per monitorare le modifiche alla configurazione delle istanze Cloud SQL. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà filter della risorsa LogsMetric del progetto è impostata su
protoPayload.methodName="cloudsql.instances.update"
OR protoPayload.methodName="cloudsql.instances.create"
OR protoPayload.methodName="cloudsql.instances.delete" e, se è specificato resource.type, che il valore sia global.
Il rilevatore cerca anche una risorsa alertPolicy corrispondente, verificando che le proprietà conditions e notificationChannels siano configurate correttamente.
|
Risultati dell'autenticazione a più fattori
Il rilevatore MFA_SCANNER identifica le vulnerabilità relative all'autenticazione a più fattori per gli utenti.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Alcuni utenti non utilizzano la verifica in due passaggi. Se adotti misure per correggere questo risultato, il completamento delle scansioni di Security Health Analytics e l'aggiornamento del risultato potrebbero richiedere fino a 24 ore. Google Workspace ti consente di specificare un periodo di tolleranza per la registrazione per i nuovi utenti, durante il quale devono registrarsi alla verifica in due passaggi. Questo rilevatore crea risultati per gli utenti durante il periodo di tolleranza per la registrazione. Questo rilevatore potrebbe generare risultati per le organizzazioni con un numero elevato di utenti (in genere 450.000 o più), anche se la verifica in due passaggi è applicata per tutti gli utenti. Se ritieni che un risultato sia un falso positivo, contatta l'assistenza clienti Google Cloud per disattivarlo. Questo rilevatore era precedentemente chiamato Questo risultato non è disponibile per le attivazioni a livello di progetto. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Valuta i criteri di gestione delle identità nelle organizzazioni e le impostazioni utente per gli account gestiti in Cloud Identity.
|
Risultati relativi alle vulnerabilità di rete
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni di rete di un'organizzazione e appartengono al tipoNETWORK_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: la rete predefinita esiste in un progetto. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: il logging DNS su una rete VPC non è abilitato. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla tutte le
|
|
Descrizione del risultato: esiste una rete legacy in un progetto. Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla i metadati di rete per verificare l'esistenza della proprietà
|
|
Descrizione del risultato: il logging è disabilitato per il bilanciatore del carico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
Risultati delle vulnerabilità delle policy dell'organizzazione
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni dei vincoli della policy dell'organizzazione e appartengono al tipo ORG_POLICY.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato:
una risorsa Compute Engine non è conforme alla policy dell'organizzazione constraints/compute.restrictNonConfidentialComputing. Per saperne di più su questo vincolo della policy dell'organizzazione, consulta Applicazione dei vincoli delle policy dell'organizzazione in Confidential VM.
Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla se la proprietà
|
|
Descrizione del rilevamento:
una risorsa Compute Engine non è conforme al vincolo constraints/gcp.resourceLocations. Per saperne di più su questo vincolo delle policy dell'organizzazione, consulta Applicazione dei vincoli delle policy dell'organizzazione.
Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard-legacy è abilitato nell'organizzazione principale. Livello di prezzo: Premium
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla la proprietà
|
|
Asset supportati per ORG_POLICY_LOCATION_RESTRICTION
Compute Engine
GKE
Cloud Storage
Cloud KMS
Managed Service for Apache Spark
BigQuery
Dataflow
Cloud SQL
Managed Airflow
Logging
Pub/Sub
Piattaforma agente
Artifact Registry 1 Poiché gli asset Cloud KMS non possono essere eliminati, l'asset non è considerato esterno alla regione se i suoi dati sono stati distrutti. 2 Poiché i job di importazione di Cloud KMS hanno un ciclo di vita controllato e non possono essere terminati in anticipo, un ImportJob non è considerato esterno alla regione se il job è scaduto e non può più essere utilizzato per importare le chiavi. 3 Poiché il ciclo di vita dei job Dataflow non può essere gestito, un job non è considerato esterno alla regione una volta raggiunto uno stato terminale (arrestato o svuotato), in cui non può più essere utilizzato per elaborare i dati. |
||
Vulnerabilità rilevate in Pub/Sub
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni Pub/Sub e appartengono al tipo PUBSUB_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: un argomento Pub/Sub non è criptato con chiavi di crittografia gestite dal cliente (CMEK). Per attivare questo rilevatore è necessaria una configurazione aggiuntiva. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla il campo
|
Risultati delle vulnerabilità SQL
Le sezioni seguenti descrivono i risultati delle vulnerabilità per AlloyDB per PostgreSQL e Cloud SQL.
Risultati delle vulnerabilità di AlloyDB per PostgreSQL
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni di AlloyDB per PostgreSQL e appartengono al tipo SQL_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: un cluster AlloyDB per PostgreSQL non ha i backup automatici abilitati. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: I backup non sono abilitati per un cluster AlloyDB per PostgreSQL. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se le proprietà
|
|
Descrizione del risultato: un cluster AlloyDB non è criptato con chiavi di crittografia gestite dal cliente (CMEK). Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla il campo
|
|
Descrizione del risultato:
il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Per garantire una copertura adeguata dei tipi di messaggi nei log, genera un risultato se il campo
|
|
Descrizione del risultato:
il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Per garantire una copertura adeguata dei tipi di messaggi nei log, genera un risultato se il campo
|
|
Descrizione del risultato:
il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Per garantire una copertura adeguata dei tipi di messaggi nei log, genera un risultato se il campo
|
|
Descrizione del risultato: un'istanza di database AlloyDB per PostgreSQL ha un indirizzo IP pubblico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il campo della proprietà
|
|
Descrizione del risultato: un'istanza di database AlloyDB per PostgreSQL non richiede che tutte le connessioni in entrata utilizzino SSL. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
Risultati delle vulnerabilità di Cloud SQL
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni di Cloud SQL e appartengono al tipo SQL_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: per un database Cloud SQL non sono abilitati i backup automatici. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: un'istanza di database Cloud SQL accetta connessioni da tutti gli indirizzi IP. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: un'istanza di database Cloud SQL non richiede che tutte le connessioni in entrata utilizzino SSL. Livello di prezzo: Premium o Standard
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: un'istanza di database SQL non è criptata con chiavi di crittografia gestite dal cliente (CMEK). Per attivare questo rilevatore è necessaria una configurazione aggiuntiva. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla il campo
|
|
Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato:
il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato:
il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato:
il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il campo
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il campo
|
|
Descrizione del risultato:
il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Per garantire una copertura adeguata dei tipi di messaggi nei log, genera un risultato se il campo
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato:
il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un database Cloud SQL con un indirizzo IP pubblico non ha una password configurata per l'account root. Per attivare questo rilevatore è necessaria una configurazione aggiuntiva. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: un database Cloud SQL ha un indirizzo IP pubblico. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il tipo di indirizzo IP di un database Cloud SQL è impostato su
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato:
il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: il flag di database Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla la proprietà
|
|
Descrizione del risultato: un database Cloud SQL con un indirizzo IP pubblico ha anche una password inefficace configurata per l'account root. Questo rilevatore richiede un'ulteriore configurazione per essere attivato. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Confronta la password dell'account root del tuo database Cloud SQL con un elenco di password comuni.
|
Risultati delle vulnerabilità della subnet
Le vulnerabilità di questo tipo di rilevatore riguardano tutte le configurazioni delle subnet di un'organizzazione e appartengono al tipoSUBNETWORK_SCANNER.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: esiste una subnet VPC con i log di flusso disabilitati. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: per una subnet VPC, i log di flusso VPC sono disattivati o non sono configurati in base ai suggerimenti di CIS Benchmark 1.3. Questo rilevatore richiede un'ulteriore configurazione per essere attivato. Per istruzioni, consulta Attiva e disattiva i rilevatori. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
|
Descrizione del risultato: esistono subnet private senza accesso alle API pubbliche di Google. Livello di prezzo: Premium
Asset supportati Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la proprietà
|
Risultati AWS
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: AWS CloudShell è un modo pratico per eseguire i comandi dell'interfaccia a riga di comando sui servizi AWS; una policy IAM gestita ("AWSCloudShellFullAccess") fornisce l'accesso completo a CloudShell, che consente di caricare e scaricare file tra il sistema locale di un utente e l'ambiente CloudShell. All'interno dell'ambiente Cloud Shell, un utente dispone delle autorizzazioni sudo e può accedere a internet. Pertanto, è possibile installare un software di trasferimento file (ad esempio) e spostare i dati da Cloud Shell a server internet esterni. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che l'accesso ad AWSCloudShellFullAccess sia limitato
|
|
Descrizione del risultato: Le chiavi di accesso sono costituite da un ID chiave di accesso e da una chiave di accesso segreta, che vengono utilizzati per firmare le richieste programmatiche che effettui ad AWS. Gli utenti AWS hanno bisogno delle proprie chiavi di accesso per effettuare chiamate programmatiche ad AWS dall'interfaccia a riga di comando AWS (AWS CLI), dagli strumenti per Windows PowerShell, dagli SDK AWS o da chiamate HTTP dirette utilizzando le API per i singoli servizi AWS. Ti consigliamo di ruotare regolarmente tutte le chiavi di accesso. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che le chiavi di accesso vengano ruotate ogni 90 giorni o meno
|
|
Descrizione del risultato: Per abilitare le connessioni HTTPS al tuo sito web o alla tua applicazione in AWS, devi disporre di un certificato server SSL/TLS. Puoi utilizzare ACM o IAM per archiviare ed eseguire il deployment dei certificati server. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che tutti i certificati SSL/TLS scaduti archiviati in AWS IAM vengano rimossi
|
|
Descrizione del risultato: Questo controllo verifica se i gruppi di scalabilità automatica associati a un bilanciatore del carico utilizzano i controlli di integrità di Elastic Load Balancing. In questo modo, il gruppo può determinare l'integrità di un'istanza in base a test aggiuntivi forniti dal bilanciatore del carico. L'utilizzo dei controlli di integrità di Elastic Load Balancing può contribuire a supportare la disponibilità delle applicazioni che utilizzano i gruppi di scalabilità automatica di EC2. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti i gruppi di scalabilità automatica associati a un bilanciatore del carico utilizzino controlli di integrità
|
|
Descrizione del risultato: Assicurati che le istanze di database RDS abbiano il flag di upgrade automatico della versione secondaria abilitato per ricevere automaticamente gli upgrade secondari del motore durante il periodo di manutenzione specificato. In questo modo, le istanze RDS possono ricevere le nuove funzionalità, le correzioni di bug e le patch di sicurezza per i relativi motori del database. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che la funzionalità di upgrade automatico della versione secondaria sia abilitata per le istanze RDS
|
|
Descrizione del risultato: AWS Config è un servizio web che esegue la gestione delle configurazioni delle risorse AWS supportate all'interno del tuo account e ti fornisce i file di log. Le informazioni registrate includono l'elemento di configurazione (risorsa AWS), le relazioni tra gli elementi di configurazione (risorse AWS) e le eventuali modifiche alla configurazione tra le risorse. Ti consigliamo di abilitare AWS Config in tutte le regioni. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che AWS Config sia abilitato in tutte le regioni
|
|
Descrizione del risultato: Security Hub raccoglie i dati sulla sicurezza da account, servizi e prodotti di partner terzi supportati di AWS e ti aiuta ad analizzare le tendenze della sicurezza e a identificare i problemi di sicurezza con la priorità più alta. Quando attivi Security Hub, questo inizia a utilizzare, aggregare, organizzare e dare priorità ai risultati dei servizi AWS che hai attivato, come Amazon GuardDuty, Amazon Inspector e Amazon Macie. Puoi anche attivare le integrazioni con i prodotti di sicurezza dei partner AWS. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che AWS Security Hub sia abilitato
|
|
Descrizione del risultato: AWS CloudTrail è un servizio web che registra le chiamate API AWS per un account e rende i log disponibili per utenti e risorse in conformità con le policy IAM. AWS Key Management Service (KMS) è un servizio gestito che aiuta a creare e controllare le chiavi di crittografia utilizzate per criptare i dati dell'account e utilizza i moduli di sicurezza hardware (HSM) per proteggere la sicurezza delle chiavi di crittografia. I log di CloudTrail possono essere configurati in modo da sfruttare la crittografia lato server (SSE) e le chiavi master create dal cliente (CMK) di KMS per proteggere ulteriormente i log di CloudTrail. È consigliabile configurare CloudTrail in modo che utilizzi SSE-KMS. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che i log di CloudTrail siano crittografati at-rest mediante chiavi CMK di KMS
|
|
Descrizione del risultato: La convalida dei file di log di CloudTrail crea un file di digest con firma digitale contenente un hash di ogni log che CloudTrail scrive su S3. Questi file digest possono essere utilizzati per determinare se un file di log è stato modificato, eliminato o è rimasto invariato dopo che CloudTrail ha inviato il log. Ti consigliamo di abilitare la convalida dei file su tutti i CloudTrail. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che la convalida del file di log di CloudTrail sia abilitata
|
|
Descrizione del risultato: AWS CloudTrail è un servizio web che registra le chiamate API AWS effettuate in un determinato account AWS. Le informazioni registrate includono l'identità del chiamante dell'API, l'ora della chiamata API, l'indirizzo IP di origine del chiamante dell'API, i parametri della richiesta e gli elementi della risposta restituiti dal servizio AWS. CloudTrail utilizza Amazon S3 per l'archiviazione e la distribuzione dei file di log, pertanto i file di log vengono archiviati in modo permanente. Oltre ad acquisire i log di CloudTrail all'interno di un bucket S3 specificato per l'analisi a lungo termine, è possibile eseguire l'analisi in tempo reale configurando CloudTrail in modo che invii i log a CloudWatch Logs. Per un trail abilitato in tutte le regioni di un account, CloudTrail invia i file di log di tutte queste regioni a un gruppo di log di CloudWatch Logs. Ti consigliamo di inviare i log di CloudTrail a CloudWatch Logs. Nota: lo scopo di questo suggerimento è garantire che l'attività dell'account AWS venga acquisita, monitorata e segnalata in modo appropriato. CloudWatch Logs è un modo nativo per farlo utilizzando i servizi AWS, ma non preclude l'utilizzo di una soluzione alternativa. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che i trail di CloudTrail siano integrati con i log di CloudWatch
|
|
Descrizione del risultato: Controlla se Amazon Cloudwatch ha azioni definite quando un allarme passa tra gli stati "OK", "ALLARME" e "DATI_INSUFFICIENTI". La configurazione delle azioni per lo stato ALARM negli allarmi di Amazon CloudWatch è molto importante per attivare una risposta immediata quando le metriche monitorate superano le soglie. Gli allarmi hanno almeno un'azione. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se per gli allarmi CloudWatch è abilitata almeno un'azione allarme, un'azione INSUFFICIENT_DATA o un'azione Ok.
|
|
Descrizione del risultato: Questo controllo assicura che i log di CloudWatch siano configurati con KMS. I dati dei gruppi di log sono sempre criptati in CloudWatch Logs. Per impostazione predefinita, CloudWatch Logs utilizza la crittografia lato server per i dati di log at-rest. In alternativa, puoi utilizzare AWS Key Management Service per questa crittografia. In questo caso, la crittografia viene eseguita utilizzando una chiave AWS KMS. La crittografia tramite AWS KMS è abilitata a livello di gruppo di log, associando una chiave KMS a un gruppo di log, al momento della creazione del gruppo di log o dopo la sua creazione. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti i gruppi di log in Amazon CloudWatch Logs siano criptati con KMS
|
|
Descrizione del risultato: Questo controllo verifica se i trail di CloudTrail sono configurati per inviare i log a CloudWatch Logs. Il controllo non va a buon fine se la proprietà CloudWatchLogsLogGroupArn del trail è vuota. CloudTrail registra le chiamate API AWS effettuate in un determinato account. Le informazioni registrate includono:
CloudTrail utilizza Amazon S3 per l'archiviazione e la distribuzione dei file di log. Puoi acquisire i log di CloudTrail in un bucket S3 specificato per l'analisi a lungo termine. Per eseguire l'analisi in tempo reale, puoi configurare CloudTrail in modo che invii i log a CloudWatch Logs. Per un trail abilitato in tutte le regioni di un account, CloudTrail invia i file di log di tutte queste regioni a un gruppo di log di CloudWatch Logs. Il Pannello di sicurezza consiglia di inviare i log di CloudTrail a CloudWatch Logs. Tieni presente che questo suggerimento ha lo scopo di garantire che l'attività dell'account venga acquisita, monitorata e segnalata in modo appropriato. Puoi utilizzare CloudWatch Logs per configurare questa opzione con i tuoi servizi AWS. Questo suggerimento non preclude l'utilizzo di una soluzione diversa. L'invio dei log di CloudTrail ai log di CloudWatch facilita il logging delle attività storiche e in tempo reale in base a utente, API, risorsa e indirizzo IP. Puoi utilizzare questo approccio per impostare allarmi e notifiche per attività anomale o sensibili dell'account. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti i trail di CloudTrail siano configurati in modo da inviare i log ad AWS CloudWatch
|
|
Descrizione del risultato: In questo modo, viene verificato se il progetto contiene le variabili di ambiente Le credenziali di autenticazione Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti i progetti contenenti le variabili env AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY non siano in testo non crittografato
|
|
Descrizione del risultato: Controlla se l'URL del repository di origine Bitbucket di un progetto AWS CodeBuild contiene token di accesso personali o un nome utente e una password. Il controllo non va a buon fine se l'URL del repository di origine Bitbucket contiene token di accesso personale o un nome utente e una password. Le credenziali di accesso non devono essere archiviate o trasmesse in testo non crittografato né essere visualizzate nell'URL del repository di origine. Anziché utilizzare token di accesso personale o credenziali di accesso, devi accedere al tuo provider di origine in CodeBuild e modificare l'URL del repository di origine in modo che contenga solo il percorso della posizione del repository Bitbucket. L'utilizzo di token di accesso personali o credenziali di accesso potrebbe comportare l'esposizione involontaria dei dati o l'accesso non autorizzato. Livello di prezzo: Enterprise Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla che tutti i progetti che usano github o bitbucket come origine utilizzino oauth
|
|
Descrizione del risultato: Gli utenti AWS IAM possono accedere alle risorse AWS utilizzando diversi tipi di credenziali, come password o chiavi di accesso. Ti consigliamo di disattivare o rimuovere tutte le credenziali che non sono state utilizzate per almeno 45 giorni. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che le credenziali non utilizzate per almeno 45 giorni siano disattivate
|
|
Descrizione del risultato: Un VPC include un gruppo di sicurezza predefinito le cui impostazioni iniziali negano tutto il traffico in entrata, consentono tutto il traffico in uscita e consentono tutto il traffico tra le istanze assegnate al gruppo di sicurezza. Se non specifichi un gruppo di sicurezza quando avvii un'istanza, questa viene assegnata automaticamente al gruppo di sicurezza predefinito. I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata e in uscita verso le risorse AWS. È consigliabile che il gruppo di sicurezza predefinito limiti tutto il traffico. Il VPC predefinito in ogni regione deve avere il gruppo di sicurezza predefinito aggiornato per essere conforme. Tutti i VPC appena creati conterranno automaticamente un gruppo di sicurezza predefinito che dovrà essere corretto per essere conforme a questo suggerimento. NOTA: quando implementi questo suggerimento, il logging dei flussi VPC è fondamentale per determinare l'accesso con privilegio minimo alle porte richiesto dai sistemi per funzionare correttamente, perché può registrare tutte le accettazioni e i rifiuti dei pacchetti che si verificano nei gruppi di sicurezza attuali. Ciò riduce drasticamente la barriera principale alla progettazione con privilegio minimo: la scoperta delle porte minime richieste dai sistemi nell'ambiente. Anche se il suggerimento relativo al logging dei flussi VPC in questo benchmark non viene adottato come misura di sicurezza permanente, deve essere utilizzato durante qualsiasi periodo di rilevamento e progettazione per i gruppi di sicurezza con privilegi minimi. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che il gruppo di sicurezza predefinito di ogni VPC limiti tutto il traffico
|
|
Descrizione del risultato: Controlla se le istanze di replica di AWS DMS sono pubbliche. Per farlo, esamina il valore del campo Un'istanza di replica privata ha un indirizzo IP privato a cui non puoi accedere dall'esterno della rete di replica. Un'istanza di replica deve avere un indirizzo IP privato quando i database di origine e di destinazione si trovano nella stessa rete. La rete deve anche essere connessa al VPC dell'istanza di replica tramite una VPN, AWS Direct Connect o il peering VPC. Per scoprire di più sulle istanze di replica pubbliche e private, consulta Istanze di replica pubbliche e private nella guida dell'utente di AWS Database Migration Service. Inoltre, devi assicurarti che l'accesso alla configurazione dell'istanza AWS DMS sia limitato solo agli utenti autorizzati. Per farlo, limita le autorizzazioni IAM degli utenti per modificare le impostazioni e le risorse di AWS DMS. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se le istanze di replica di AWS Database Migration Service sono pubbliche
|
|
Descrizione del risultato: Per impostazione predefinita, la console AWS non seleziona nessuna casella di controllo quando viene creato un nuovo utente IAM. Quando crei le credenziali utente IAM, devi determinare il tipo di accesso richiesto. Accesso programmatico: l'utente IAM potrebbe dover effettuare chiamate API, utilizzare l'interfaccia a riga di comando AWS o utilizzare gli strumenti per Windows PowerShell. In questo caso, crea una chiave di accesso (ID chiave di accesso e chiave di accesso segreta) per l'utente. Accesso alla Console di gestione AWS: se l'utente deve accedere alla Console di gestione AWS, crea una password per l'utente. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Non impostare le chiavi di accesso durante la configurazione utente iniziale per tutti gli utenti IAM che dispongono di una password della console
|
|
Descrizione del risultato: Questo controllo verifica se una tabella Amazon DynamoDB può scalare la capacità di lettura e scrittura in base alle necessità. Questo controllo viene superato se la tabella utilizza la modalità di capacità on demand o la modalità di provisioning con la scalabilità automatica configurata. La scalabilità della capacità in base alla domanda evita le eccezioni di limitazione, il che contribuisce a mantenere la disponibilità delle tue applicazioni. Le tabelle DynamoDB in modalità di capacità on demand sono limitate solo dalle quote predefinite delle tabelle di throughput di DynamoDB. Per aumentare queste quote, puoi inviare un ticket di assistenza tramite AWS Support. Le tabelle DynamoDB in modalità di provisioning con scalabilità automatica regolano dinamicamente la capacità di throughput riservato in risposta ai pattern di traffico. Per ulteriori informazioni sulla limitazione delle richieste di DynamoDB, consulta Limitazione delle richieste e capacità di burst nella guida per gli sviluppatori di Amazon DynamoDB. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Le tabelle DynamoDB devono scalare automaticamente la capacità in base alla domanda
|
|
Descrizione del risultato: Questo controllo valuta se una tabella DynamoDB è coperta da un piano di backup. Il controllo non va a buon fine se una tabella DynamoDB non è coperta da un piano di backup. Questo controllo valuta solo le tabelle DynamoDB che si trovano nello stato ACTIVE. I backup ti aiutano a riprenderti più rapidamente da un incidente di sicurezza. Inoltre, rafforzano la resilienza dei tuoi sistemi. Includere le tabelle DynamoDB in un piano di backup ti aiuta a proteggere i tuoi dati da perdite o eliminazioni involontarie. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Le tabelle DynamoDB devono essere coperte da un piano di backup
|
|
Descrizione del risultato: Il recupero point-in-time (PITR) è uno dei meccanismi disponibili per eseguire il backup delle tabelle DynamoDB. Un backup point-in-time viene conservato per 35 giorni. Se hai bisogno di un periodo di conservazione più lungo, consulta Configura i backup pianificati per Amazon DynamoDB utilizzando AWS Backup nella documentazione di AWS. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che il recupero point-in-time (PITR) sia abilitato per tutte le tabelle AWS DynamoDB
|
|
Descrizione del risultato: Controlla se tutte le tabelle DynamoDB sono criptate con una chiave KMS gestita dal cliente (non predefinita). Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutte le tabelle DynamoDB siano criptate con AWS Key Management Service (KMS)
|
|
Descrizione del risultato: Controlla se l'ottimizzazione EBS è abilitata per le istanze EC2 che possono essere ottimizzate per EBS Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che l'ottimizzazione EBS sia abilitata per tutte le istanze che la supportano
|
|
Descrizione del risultato: Controlla se gli snapshot di Amazon Elastic Block Store non sono pubblici. Il controllo non va a buon fine se gli snapshot Amazon EBS sono ripristinabili da chiunque. Gli snapshot EBS vengono utilizzati per eseguire il backup dei dati sui volumi EBS in Amazon S3 in un momento specifico. Puoi utilizzare gli snapshot per ripristinare gli stati precedenti dei volumi EBS. Raramente è accettabile condividere uno snapshot con il pubblico. In genere, la decisione di condividere pubblicamente uno snapshot è stata presa per errore o senza una comprensione completa delle implicazioni. Questo controllo aiuta a garantire che tutte le condivisioni siano state completamente pianificate e intenzionali. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Gli snapshot Amazon EBS non devono essere ripristinabili pubblicamente
|
|
Descrizione del risultato: Elastic Compute Cloud (EC2) supporta la crittografia at-rest quando si utilizza il servizio Elastic Block Store (EBS). Sebbene sia disabilitata per impostazione predefinita, è supportata la crittografia forzata durante la creazione del volume EBS. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che la crittografia del volume EBS sia abilitata in tutte le regioni
|
|
Descrizione del risultato: Amazon VPC offre più funzionalità di sicurezza rispetto a EC2 Classic. È consigliabile che tutti i nodi appartengano a un VPC Amazon. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che tutte le istanze appartengano a un VPC
|
|
Descrizione del risultato: Le istanze EC2 con un indirizzo IP pubblico presentano un rischio maggiore di compromissione. Ti consigliamo di non configurare le istanze EC2 con un indirizzo IP pubblico. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che nessuna istanza abbia un IP pubblico
|
|
Descrizione del risultato: Un'associazione di State Manager è una configurazione assegnata alle istanze gestite. La configurazione definisce lo stato che vuoi mantenere nelle tue istanze. Ad esempio, un'associazione può specificare che il software antivirus deve essere installato ed eseguito sulle istanze o che determinate porte devono essere chiuse. Le istanze EC2 associate ad AWS Systems Manager sono gestite da Systems Manager, il che semplifica l'applicazione di patch, la correzione di configurazioni errate e la risposta agli eventi di sicurezza. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla lo stato di conformità dell'associazione dei gestori di sistema AWS
|
|
Descrizione del risultato: Questo controllo verifica se lo stato di conformità dell'associazione di AWS Systems Manager è COMPLIANT o NON_COMPLIANT dopo l'esecuzione dell'associazione su un'istanza. Il controllo non va a buon fine se lo stato di conformità dell'associazione è NON_COMPLIANT. Un'associazione di State Manager è una configurazione assegnata alle istanze gestite. La configurazione definisce lo stato che vuoi mantenere nelle tue istanze. Ad esempio, un'associazione può specificare che il software antivirus deve essere installato ed eseguito sulle istanze o che determinate porte devono essere chiuse. Dopo aver creato una o più associazioni di State Manager, le informazioni sullo stato di conformità sono immediatamente disponibili. Puoi visualizzare lo stato di conformità nella console o in risposta ai comandi dell'interfaccia a riga di comando AWS o alle azioni corrispondenti dell'API Systems Manager. Per le associazioni, Configuration Compliance mostra lo stato di conformità (Conforme o Non conforme). Mostra anche il livello di gravità assegnato all'associazione, ad esempio Critico o Medio. Per scoprire di più sulla conformità delle associazioni di State Manager, consulta Informazioni sulla conformità delle associazioni di State Manager nella guida dell'utente di AWS Systems Manager. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla lo stato di conformità delle patch di AWS Systems Manager
|
|
Descrizione del risultato: Quando attivano il servizio di metadati sulle istanze AWS EC2, gli utenti hanno la possibilità di utilizzare Instance Metadata Service versione 1 (IMDSv1; un metodo di richiesta/risposta) o Instance Metadata Service versione 2 (IMDSv2; un metodo orientato alla sessione). Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che il servizio di metadati EC2 consenta solo IMDSv2
|
|
Descrizione del risultato: Identificare e rimuovere i volumi Elastic Block Store (EBS) non collegati (non utilizzati) nel tuo account AWS per ridurre il costo della fattura mensile di AWS. L'eliminazione dei volumi EBS inutilizzati riduce anche il rischio che dati riservati/sensibili escano dalla tua sede. Inoltre, questo controllo verifica anche se le istanze EC2 archiviate sono configurate per eliminare i volumi al termine. Per impostazione predefinita, le istanze EC2 sono configurate per eliminare i dati in tutti i volumi EBS associati all'istanza e per eliminare il volume EBS root dell'istanza. Tuttavia, per impostazione predefinita, i volumi EBS non root collegati all'istanza, al momento del lancio o durante l'esecuzione, vengono mantenuti dopo la terminazione. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se i volumi EBS sono collegati alle istanze EC2 e configurati per l'eliminazione al termine dell'istanza
|
|
Descrizione del risultato: Amazon EFS supporta due forme di crittografia per i file system: la crittografia dei dati in transito e la crittografia at-rest. In questo modo, viene verificato che tutti i file system EFS siano configurati con la crittografia at-rest in tutte le regioni abilitate nell'account. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se EFS è configurato per criptare i dati dei file utilizzando KMS
|
|
Descrizione del risultato: Le best practice di Amazon consigliano di configurare i backup per i tuoi Elastic File System (EFS). In questo modo, vengono controllati tutti gli EFS in ogni regione abilitata nel tuo account AWS per verificare la presenza di backup abilitati. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se i file system EFS sono inclusi nei piani di backup AWS
|
|
Descrizione del risultato: Controlla se il bilanciatore del carico classico utilizza i certificati SSL/HTTPS forniti da AWS Certificate Manager (ACM). Il controllo non va a buon fine se il bilanciatore del carico classico configurato con il listener HTTPS/SSL non utilizza un certificato fornito da ACM. Per creare un certificato, puoi utilizzare ACM o uno strumento che supporta i protocolli SSL e TLS, come OpenSSL. Il Pannello di sicurezza consiglia di utilizzare ACM per creare o importare i certificati per il bilanciatore del carico. ACM si integra con i bilanciatori del carico classici in modo da poter eseguire il deployment del certificato sul bilanciatore del carico. Inoltre, dovresti rinnovare automaticamente questi certificati. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti i bilanciatori del carico classici utilizzino i certificati SSL forniti da AWS Certificate Manager
|
|
Descrizione del risultato: Controlla se per un bilanciatore del carico delle applicazioni è abilitata la protezione da eliminazione. Il controllo non va a buon fine se la protezione da eliminazione non è configurata. Attiva la protezione da eliminazione per proteggere il bilanciatore del carico delle applicazioni dall'eliminazione. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
La protezione dall'eliminazione del bilanciatore del carico delle applicazioni deve essere abilitata
|
|
Descrizione del risultato: Controlla se il bilanciatore del carico delle applicazioni e il bilanciatore del carico classico hanno il logging abilitato. Il controllo non va a buon fine se access_logs.s3.enabled è false. Elastic Load Balancing fornisce log di accesso che acquisiscono informazioni dettagliate sulle richieste inviate al bilanciatore del carico. Ogni log contiene informazioni come l'ora di ricezione della richiesta, l'indirizzo IP del client, le latenze, i percorsi delle richieste e le risposte del server. Puoi utilizzare questi log di accesso per analizzare i pattern di traffico e risolvere i problemi. Per saperne di più, consulta Log di accesso per il bilanciatore del carico classico nella guida dell'utente per i bilanciatori del carico classici. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se i bilanciatori del carico classici e delle applicazioni hanno la registrazione abilitata
|
|
Descrizione del risultato: Questo controllo garantisce che tutti i bilanciatori del carico classici siano configurati per utilizzare una comunicazione sicura. Un listener è un processo che controlla le richieste di connessione. È configurato con un protocollo e una porta per le connessioni di frontend (dal client al bilanciatore del carico) e un protocollo e una porta per le connessioni di backend (dal bilanciatore del carico all'istanza). Per informazioni sulle porte, sui protocolli e sulle configurazioni dei listener supportati da Elastic Load Balancing, consulta Listener per il bilanciatore del carico classico. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti i bilanciatori del carico classici siano configurati con listener SSL o HTTPS
|
|
Descrizione del risultato: Controlla se i volumi EBS collegati sono criptati. Per superare questo controllo, i volumi EBS devono essere in uso e criptati. Se il volume EBS non è collegato, non è soggetto a questo controllo. Per un ulteriore livello di sicurezza dei dati sensibili nei volumi EBS, devi attivare la crittografia EBS at-rest. La crittografia Amazon EBS offre una soluzione di crittografia semplice per le tue risorse EBS che non richiede la creazione, la manutenzione e la protezione della tua infrastruttura di gestione delle chiavi. Utilizza le chiavi KMS durante la creazione di volumi e snapshot criptati. Per scoprire di più sulla crittografia Amazon EBS, consulta la sezione relativa alla crittografia Amazon EBS nella guida dell'utente di Amazon EC2 per le istanze Linux. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
I volumi Amazon EBS collegati devono essere criptati at-rest
|
|
Descrizione del risultato: Le istanze di database crittografate di Amazon RDS utilizzano l'algoritmo crittografico AES-256 standard di settore per crittografare i dati sul server che ospita le istanze di database di Amazon RDS. Dopo che i dati sono stati crittografati, Amazon RDS gestisce l'autenticazione dell'accesso e la decrittografia dei dati in modo trasparente con un impatto minimo sulle prestazioni. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che la crittografia at-rest sia abilitata per le istanze RDS
|
|
Descrizione del risultato: I dati EFS devono essere criptati at-rest utilizzando AWS KMS (Key Management Service). Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che la crittografia sia abilitata per i file system EFS
|
|
Descrizione del risultato: AWS consente di applicare policy per le password personalizzate al tuo account AWS per specificare i requisiti di complessità e i periodi di rotazione obbligatori per le password degli utenti IAM. Se non imposti una policy per le password personalizzata, le password degli utenti IAM devono soddisfare la policy per le password AWS predefinita. Le best practice per la sicurezza di AWS consigliano i seguenti requisiti di complessità delle password:
Questo controllo verifica tutti i requisiti delle policy relative alle password specificati. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la policy della password dell'account per gli utenti IAM soddisfa i requisiti specificati
|
|
Descrizione del risultato: Le policy della password IAM possono impedire il riutilizzo di una determinata password da parte dello stesso utente. Si consiglia di configurare la policy per le password in modo da impedire il riutilizzo delle password. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che la policy della password IAM impedisca il riutilizzo della password
|
|
Descrizione del risultato: I criteri relativi alle password vengono utilizzati, in parte, per applicare i requisiti di complessità delle password. Le policy delle password IAM possono essere utilizzate per garantire che le password abbiano almeno una determinata lunghezza. È consigliabile che la policy relativa alle password richieda una lunghezza minima di 14 caratteri. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che la policy della password IAM richieda una lunghezza minima di 14 caratteri
|
|
Descrizione del risultato: Le policy IAM sono lo strumento con cui vengono concessi i privilegi a utenti, gruppi o ruoli. È consigliabile e considerato un consiglio di sicurezza standard concedere il privilegio minimo, ovvero concedere solo le autorizzazioni necessarie per eseguire un'attività. Determina cosa devono fare gli utenti e poi crea policy che consentano loro di eseguire solo queste attività, anziché concedere privilegi amministrativi completi. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che non siano collegati criteri IAM che consentono privilegi amministrativi completi "*:*"
|
|
Descrizione del risultato: Agli utenti IAM viene concesso l'accesso a servizi, funzioni e dati tramite le policy IAM. Esistono quattro modi per definire i criteri per un utente: 1) modificare direttamente il criterio utente, noto anche come criterio inline o utente; 2) collegare un criterio direttamente a un utente; 3) aggiungere l'utente a un gruppo IAM con un criterio collegato; 4) aggiungere l'utente a un gruppo IAM con un criterio inline. È consigliata solo la terza implementazione. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che gli utenti IAM ricevano le autorizzazioni solo tramite i gruppi
|
|
Descrizione del risultato: Gli utenti IAM devono sempre far parte di un gruppo IAM per rispettare le best practice di sicurezza IAM. Aggiungendo utenti a un gruppo, è possibile condividere i criteri tra i tipi di utenti. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se gli utenti IAM sono membri di almeno un gruppo IAM
|
|
Descrizione del risultato: L'autenticazione a più fattori (MFA) è una best practice che aggiunge un ulteriore livello di protezione oltre a nomi utente e password. Con l'MFA, quando un utente accede alla Console di gestione AWS, deve fornire un codice di autenticazione sensibile al fattore tempo, fornito da un dispositivo virtuale o fisico registrato. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se per gli utenti IAM AWS è abilitata l'autenticazione a più fattori (MFA)
|
|
Descrizione del risultato: In questo modo, vengono controllate le password IAM o le chiavi di accesso attive che non sono state utilizzate negli ultimi 90 giorni. Le best practice consigliano di rimuovere, disattivare o ruotare tutte le credenziali non utilizzate per almeno 90 giorni. In questo modo si riduce la finestra di opportunità per l'utilizzo delle credenziali associate a un account compromesso o abbandonato. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti gli utenti IAM AWS dispongano di password o chiavi di accesso attive che non sono state utilizzate in maxCredentialUsageAge giorni (il valore predefinito è 90)
|
|
Descrizione del risultato: Questo controllo verifica se è pianificata l'eliminazione delle chiavi KMS. Il controllo non va a buon fine se è pianificata l'eliminazione di una chiave KMS. Le chiavi KMS non possono essere recuperate una volta eliminate. Anche i dati criptati con una chiave KMS non sono recuperabili in modo permanente se la chiave KMS viene eliminata. Se dati significativi sono stati criptati con una chiave KMS pianificata per l'eliminazione, valuta la possibilità di decriptarli o criptarli nuovamente con una nuova chiave KMS, a meno che tu non stia eseguendo intenzionalmente una cancellazione crittografica. Quando è pianificata l'eliminazione di una chiave KMS, viene applicato un periodo di attesa obbligatorio per consentire di annullare l'eliminazione, se è stata pianificata per errore. Il periodo di attesa predefinito è di 30 giorni, ma può essere ridotto fino a 7 giorni quando la chiave KMS è pianificata per l'eliminazione. Durante il periodo di attesa, l'eliminazione pianificata può essere annullata e la chiave KMS non verrà eliminata. Per ulteriori informazioni sull'eliminazione delle chiavi KMS, consulta Eliminazione delle chiavi KMS nella guida per gli sviluppatori di AWS Key Management Service. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che non sia pianificata l'eliminazione di tutte le CMK
|
|
Descrizione del risultato: Controlla se la funzione Lambda è configurata con un limite di esecuzione simultanea a livello di funzione. La regola è NON_COMPLIANT se la funzione Lambda non è configurata con un limite di esecuzione simultanea a livello di funzione. Livello di prezzo: Enterprise Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla se le funzioni Lambda sono configurate con un limite di esecuzione simultanea a livello di funzione
|
|
Descrizione del risultato: Controlla se una funzione Lambda è configurata con una coda di messaggi non recapitabili. La regola è NON_COMPLIANT se la funzione Lambda non è configurata con una coda di messaggi non recapitabili. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se le funzioni Lambda sono configurate con una coda di messaggi non recapitabili
|
|
Descrizione del risultato: Le best practice di AWS consigliano di non esporre pubblicamente la funzione Lambda. Questa policy controlla tutte le funzioni Lambda di cui è stato eseguito il deployment in tutte le regioni abilitate all'interno del tuo account e non andrà a buon fine se sono configurate per consentire l'accesso pubblico. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la policy collegata alla funzione Lambda vieta l'accesso pubblico
|
|
Descrizione del risultato: Controlla se una funzione Lambda si trova in un VPC. Potresti visualizzare risultati non riusciti per le risorse Lambda@Edge. Non valuta la configurazione di routing della subnet VPC per determinare la raggiungibilità pubblica. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se esistono funzioni Lambda all'interno di un VPC
|
|
Descrizione del risultato: Una volta abilitata l'eliminazione con autenticazione MFA sul bucket S3 sensibile e classificato, l'utente deve disporre di due forme di autenticazione. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che l'eliminazione con autenticazione MFA sia abilitata sui bucket S3
|
|
Descrizione del risultato: L'account utente "root" è l'utente con più privilegi in un account AWS. L'autenticazione a più fattori (MFA) aggiunge un ulteriore livello di protezione oltre al nome utente e alla password. Con l'MFA abilitata, quando un utente accede a un sito web AWS, gli verranno richiesti il nome utente e la password, nonché un codice di autenticazione dal suo dispositivo MFA AWS. Nota: quando viene utilizzata l'MFA virtuale per gli account "root", si consiglia di NON utilizzare un dispositivo personale, ma un dispositivo mobile dedicato (tablet o smartphone) che viene gestito in modo da essere tenuto carico e protetto indipendentemente da qualsiasi dispositivo personale individuale. ("MFA virtuale non personale"). In questo modo si riducono i rischi di perdere l'accesso all'MFA a causa della perdita o della permuta del dispositivo o se la persona che possiede il dispositivo non lavora più per l'azienda. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che l'autenticazione MFA sia abilitata per l'account utente "root"
|
|
Descrizione del risultato: L'autenticazione a più fattori (MFA) aggiunge un ulteriore livello di garanzia di autenticazione oltre alle credenziali tradizionali. Con l'MFA abilitata, quando un utente accede alla console AWS, gli verranno richiesti il nome utente e la password, nonché un codice di autenticazione dal token MFA fisico o virtuale. Ti consigliamo di attivare l'MFA per tutti gli account con una password per la console. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che l'autenticazione a più fattori (MFA) sia abilitata per tutti gli utenti IAM con una password per la console
|
|
Descrizione del risultato: La funzione Network Access Control List (NACL) fornisce un filtro stateless del traffico di rete in entrata e in uscita verso le risorse AWS. Si consiglia di non consentire l'accesso in entrata senza restrizioni alle porte di amministrazione del server remoto, come SSH alla porta Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che nessun ACL di rete consenta il traffico in entrata da 0.0.0.0/0 alle porte di amministrazione del server remoto
|
|
Descrizione del risultato: L'account utente "root" è l'utente con più privilegi in un account AWS. Le chiavi di accesso AWS forniscono l'accesso programmatico a un determinato account AWS. Ti consigliamo di eliminare tutte le chiavi di accesso associate all'account utente "root". Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che non esistano chiavi di accesso all'account utente "root"
|
|
Descrizione del risultato: I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata e in uscita verso le risorse AWS. È consigliabile che nessun gruppo di sicurezza consenta l'accesso in entrata senza restrizioni alle porte di amministrazione del server remoto, ad esempio SSH alla porta Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che nessun gruppo di sicurezza consenta il traffico in entrata da 0.0.0.0/0 alle porte di amministrazione del server remoto
|
|
Descrizione del risultato: I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata e in uscita verso le risorse AWS. Si consiglia di non consentire l'accesso in entrata senza restrizioni alle porte di amministrazione del server remoto, ad esempio SSH alla porta Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che nessun gruppo di sicurezza consenta il traffico in entrata da ::/0 alle porte di amministrazione del server remoto
|
|
Descrizione del risultato: Le chiavi di accesso sono credenziali a lungo termine per un utente IAM o l'utente "root" dell'account AWS. Puoi utilizzare le chiavi di accesso per firmare le richieste programmatiche all'interfaccia a riga di comando AWS o all'API AWS (direttamente o utilizzando l'SDK AWS) Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che sia disponibile una sola chiave di accesso attiva per ogni singolo utente IAM
|
|
Descrizione del risultato: Assicurati e verifica che le istanze di database RDS di cui è stato eseguito il provisioning nel tuo account AWS limitino l'accesso non autorizzato per ridurre al minimo i rischi per la sicurezza. Per limitare l'accesso a qualsiasi istanza di database RDS accessibile pubblicamente, devi disattivare il flag Accessibile pubblicamente del database e aggiornare il gruppo di sicurezza VPC associato all'istanza. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Verifica che l'accesso pubblico non sia concesso all'istanza RDS
|
|
Descrizione del risultato: Il monitoraggio avanzato fornisce metriche in tempo reale sul sistema operativo su cui viene eseguita l'istanza RDS, tramite un agente installato nell'istanza. Per maggiori dettagli, consulta Monitoraggio delle metriche del sistema operativo con il monitoraggio avanzato. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il monitoraggio avanzato è abilitato per tutte le istanze DB RDS
|
|
Descrizione del risultato: L'abilitazione della protezione da eliminazione delle istanze è un ulteriore livello di protezione contro l'eliminazione accidentale del database o l'eliminazione da parte di un'entità non autorizzata. Quando è abilitata la protezione da eliminazione, un'istanza DB RDS non può essere eliminata. Affinché una richiesta di eliminazione possa essere eseguita correttamente, la protezione da eliminazione deve essere disabilitata. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se per tutte le istanze RDS è abilitata la protezione da eliminazione
|
|
Descrizione del risultato: Questo controllo valuta se le istanze DB di Amazon RDS sono coperte da un piano di backup. Questo controllo non va a buon fine se un'istanza DB di RDS non è coperta da un piano di backup. AWS Backup è un servizio di backup completamente gestito che centralizza e automatizza il backup dei dati nei servizi AWS. Con AWS Backup, puoi creare policy di backup chiamate piani di backup. Puoi utilizzare questi piani per definire i requisiti di backup, ad esempio la frequenza con cui eseguire il backup dei dati e per quanto tempo conservare i backup. Includere le istanze DB di RDS in un piano di backup ti aiuta a proteggere i tuoi dati da perdite o eliminazioni involontarie. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Le istanze DB di RDS devono essere coperte da un piano di backup
|
|
Descrizione del risultato: Controlla se i seguenti log di Amazon RDS sono abilitati e inviati a CloudWatch. I database RDS devono avere i log pertinenti abilitati. Il logging del database fornisce registri dettagliati delle richieste effettuate a RDS. I log del database possono essere utili per i controlli di sicurezza e di accesso e per diagnosticare i problemi di disponibilità. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se i log esportati sono abilitati per tutte le istanze DB RDS
|
|
Descrizione del risultato: Le istanze DB di RDS devono essere configurate per più zone di disponibilità (AZ). In questo modo, viene garantita la disponibilità dei dati archiviati. I deployment multi-AZ consentono il failover automatico in caso di problemi con la disponibilità della zona di disponibilità e durante la manutenzione regolare di RDS. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se l'alta affidabilità è abilitata per tutte le istanze DB RDS
|
|
Descrizione del risultato: Controlla gli elementi essenziali di un cluster Redshift: crittografia at-rest, logging e tipo di nodo. Questi elementi di configurazione sono importanti per la manutenzione di un cluster Redshift sicuro e osservabile. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti i cluster Redshift dispongano di crittografia at-rest, logging e tipo di nodo.
|
|
Descrizione del risultato: Gli upgrade automatici della versione principale vengono eseguiti in base al periodo di manutenzione Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti i cluster Redshift abbiano allowVersionUpgrade abilitato e preferredMaintenanceWindow e automatedSnapshotRetentionPeriod impostati
|
|
Descrizione del risultato: L'attributo PubliclyAccessible della configurazione del cluster Amazon Redshift indica se il cluster è accessibile pubblicamente. Quando il cluster è configurato con PubliclyAccessible impostato su true, si tratta di un'istanza con accesso a internet che ha un nome DNS risolvibile pubblicamente, che viene risolto in un indirizzo IP pubblico. Quando il cluster non è accessibile pubblicamente, si tratta di un'istanza interna con un nome DNS che si risolve in un indirizzo IP privato. A meno che tu non voglia che il tuo cluster sia accessibile pubblicamente, il cluster non deve essere configurato con PubliclyAccessible impostato su true. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se i cluster Redshift sono accessibili pubblicamente
|
|
Descrizione del risultato: In questo modo viene verificato se il traffico in entrata senza restrizioni per i gruppi di sicurezza è accessibile alle porte specificate con il rischio più elevato. Questo controllo non va a buon fine se una delle regole di un gruppo di sicurezza consente il traffico in entrata da "0.0.0.0/0" o "::/0" per queste porte. L'accesso illimitato (0.0.0.0/0) aumenta le opportunità di attività dannose, come hacking, attacchi denial of service e perdita di dati. I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata e in uscita verso le risorse AWS. Nessun gruppo di sicurezza deve consentire l'accesso in entrata illimitato alle seguenti porte:
Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
I gruppi di sicurezza non devono consentire l'accesso illimitato alle porte ad alto rischio
|
|
Descrizione del risultato: I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata e in uscita verso le risorse AWS. CIS consiglia di non consentire l'accesso in entrata senza restrizioni alla porta 22 per nessun gruppo di sicurezza. La rimozione della connettività illimitata ai servizi di console remota, come SSH, riduce l'esposizione al rischio di un server. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
I gruppi di sicurezza non devono consentire l'ingresso da 0.0.0.0/0 alla porta 22
|
|
Descrizione del risultato: Controlla se la rotazione automatica delle chiavi è abilitata per ogni chiave e corrisponde all'ID della chiave AWS KMS creata dal cliente. La regola è NON_COMPLIANT se il ruolo del registratore AWS Config per una risorsa non dispone dell'autorizzazione kms:DescribeKey. Livello di prezzo: Enterprise Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Assicurati che sia abilitata la rotazione per le chiavi CMK create dal cliente
|
|
Descrizione del risultato: AWS Key Management Service (KMS) consente ai clienti di ruotare la chiave di supporto, ovvero il materiale della chiave archiviato all'interno del KMS associato all'ID della chiave master del cliente (CMK) creata dal cliente. È la chiave di supporto utilizzata per eseguire operazioni crittografiche come la crittografia e la decriptazione. La rotazione automatica delle chiavi attualmente conserva tutte le chiavi di supporto precedenti, in modo che la decrittografia dei dati criptati possa avvenire in modo trasparente. Ti consigliamo di abilitare rotazione della chiave CMK per le chiavi simmetriche. La rotazione delle chiavi non può essere abilitata per nessuna CMK asimmetrica. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che sia abilitata la rotazione per le chiavi CMK simmetriche create dal cliente
|
|
Descrizione del risultato: Controlla se le tabelle di routing per il peering VPC sono configurate con il principio del privilegio minimo. Livello di prezzo: Enterprise Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Assicurati che le tabelle di routing per il peering VPC siano ad "accesso minimo"
|
|
Descrizione del risultato: Il blocco dell'accesso pubblico di Amazon S3 fornisce impostazioni per punti di accesso, bucket e account per aiutarti a gestire l'accesso pubblico alle risorse Amazon S3. Per impostazione predefinita, i nuovi bucket, punti di accesso e oggetti non consentono l'accesso pubblico. Livello di prezzo: Enterprise Questa categoria di risultati non è mappata a nessuno standard di conformità. |
Controlla se le impostazioni richieste di blocco dell'accesso pubblico S3 sono configurate a livello di account
|
|
Descrizione del risultato: Amazon S3 fornisce Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che i bucket S3 siano configurati con
|
|
Descrizione del risultato: Il logging dell'accesso al bucket S3 genera un log che contiene i record di accesso per ogni richiesta effettuata al bucket S3. Un record del log degli accessi contiene dettagli sulla richiesta, come il tipo di richiesta, le risorse specificate nella richiesta e l'ora e la data in cui la richiesta è stata elaborata. Ti consigliamo di abilitare il logging degli accessi ai bucket sul bucket S3 CloudTrail. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che il logging degli accessi ai bucket S3 sia abilitato sul bucket S3 CloudTrail
|
|
Descrizione del risultato: La funzionalità di logging degli accessi al server AWS S3 registra le richieste di accesso ai bucket di archiviazione, il che è utile per gli audit di sicurezza. Per impostazione predefinita, il logging degli accessi al server non è abilitato per i bucket S3. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se il logging è abilitato su tutti i bucket S3
|
|
Descrizione del risultato: A livello di bucket Amazon S3, puoi configurare le autorizzazioni tramite una policy del bucket che rende gli oggetti accessibili solo tramite HTTPS. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che il criterio bucket S3 sia impostato in modo da rifiutare le richieste HTTP
|
|
Descrizione del risultato: Questo controllo verifica se un bucket Amazon S3 ha la replica tra regioni abilitata. Il controllo non va a buon fine se la replica tra regioni non è abilitata per il bucket o se è abilitata anche la replica nella stessa regione. La replica è la copia automatica e asincrona di oggetti tra bucket nelle stesse regioni AWS o in regioni AWS diverse. La replica copia gli oggetti appena creati e gli aggiornamenti degli oggetti da un bucket di origine a uno o più bucket di destinazione. Le best practice di AWS consigliano la replica per i bucket di origine e di destinazione di proprietà dello stesso account AWS. Oltre alla disponibilità, devi considerare altre impostazioni di protezione dei sistemi. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se la replica tra regioni di bucket S3 è abilitata
|
|
Descrizione del risultato: In questo modo, viene verificato che il bucket S3 abbia la crittografia predefinita di Amazon S3 abilitata o che la policy del bucket S3 neghi esplicitamente le richieste put-object senza crittografia lato server. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che tutti i bucket S3 utilizzino la crittografia at-rest
|
|
Descrizione del risultato: Amazon S3 è un mezzo per conservare più varianti di un oggetto nello stesso bucket e può aiutarti a eseguire più facilmente il recupero sia da azioni utente involontarie sia da errori dell'applicazione. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che il controllo delle versioni sia abilitato per tutti i bucket S3
|
|
Descrizione del risultato: Controlla se i bucket Amazon S3 sono criptati con AWS Key Management Service (AWS KMS) Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti i bucket siano criptati con KMS
|
|
Descrizione del risultato: Controlla se è configurata una chiave AWS Key Management Service (AWS KMS) per un'istanza di notebook Amazon SageMaker. La regola è NON_COMPLIANT se non viene specificato "KmsKeyId" per l'istanza di notebook SageMaker. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutte le istanze di notebook SageMaker siano configurate per utilizzare KMS
|
|
Descrizione del risultato: Controlla se l'accesso a internet diretto è disabilitato per un'istanza di notebook SageMaker. Per farlo, controlla se il campo DirectInternetAccess è disabilitato per l'istanza di notebook. Se configuri l'istanza SageMaker senza un VPC, l'accesso diretto a internet viene abilitato per impostazione predefinita nell'istanza. Devi configurare l'istanza con un VPC e modificare l'impostazione predefinita in Disabilita: accedi a internet tramite un VPC. Per addestrare o ospitare modelli da un notebook, devi disporre dell'accesso a internet. Per abilitare l'accesso a internet, assicurati che il VPC abbia un gateway NAT e che il gruppo di sicurezza consenta le connessioni in uscita. Per scoprire di più su come connettere un'istanza di notebook alle risorse in un VPC, consulta Connettere un'istanza di notebook alle risorse in un VPC nella guida per gli sviluppatori di Amazon SageMaker. Devi inoltre assicurarti che l'accesso alla configurazione di SageMaker sia limitato solo agli utenti autorizzati. Limita le autorizzazioni IAM degli utenti per modificare le impostazioni e le risorse di SageMaker. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla se l'accesso a internet diretto è disabilitato per tutte le istanze di notebook Amazon SageMaker
|
|
Descrizione del risultato: Controlla se un secret archiviato in AWS Secrets Manager è configurato con la rotazione automatica. Il controllo non va a buon fine se il secret non è configurato con la rotazione automatica. Se fornisci un valore personalizzato per il parametro Secrets Manager ti aiuta a migliorare la security posture della tua organizzazione. I secret includono credenziali del database, password e chiavi API di terze parti. Puoi utilizzare Secrets Manager per archiviare i secret in modo centralizzato, criptarli automaticamente, controllarne l'accesso e ruotarli in modo sicuro e automatico. Secrets Manager può ruotare i secret. Puoi utilizzare la rotazione per sostituire i secret a lungo termine con quelli a breve termine. La rotazione dei secret limita il periodo di tempo in cui un utente non autorizzato può utilizzare un secret compromesso. Per questo motivo, devi ruotare i secret di frequente. Per scoprire di più sulla rotazione, consulta Rotazione dei secret di AWS Secrets Manager nella guida dell'utente di AWS Secrets Manager. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che la rotazione sia abilitata per tutti i secret di AWS Secrets Manager
|
|
Descrizione del risultato: Controlla se un argomento SNS è criptato at-rest utilizzando AWS KMS. I controlli non vanno a buon fine se un argomento SNS non utilizza una chiave KMS per la crittografia lato server (SSE). La crittografia dei dati at-rest riduce il rischio che un utente non autenticato su AWS acceda ai dati archiviati sul disco. Inoltre, aggiunge un altro insieme di controlli degli accessi per limitare la possibilità di utenti non autorizzati di accedere ai dati. Ad esempio, sono necessarie le autorizzazioni API per decriptare i dati prima che possano essere letti. Gli argomenti SNS devono essere criptati at-rest per un livello di sicurezza aggiuntivo. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti gli argomenti SNS siano criptati con KMS
|
|
Descrizione del risultato: Questo controllo verifica se il gruppo di sicurezza predefinito di un VPC consente il traffico in entrata o in uscita. Il controllo non va a buon fine se il gruppo di sicurezza consente il traffico in entrata o in uscita. Le regole per il gruppo di sicurezza predefinito consentono tutto il traffico in uscita e in entrata dalle interfacce di rete (e dalle istanze associate) assegnate allo stesso gruppo di sicurezza. Ti consigliamo di non utilizzare il gruppo di sicurezza predefinito. Poiché il gruppo di sicurezza predefinito non può essere eliminato, devi modificare l'impostazione del set di regole del gruppo di sicurezza predefinito per limitare il traffico in entrata e in uscita. In questo modo si impedisce il traffico indesiderato se il gruppo di sicurezza predefinito viene configurato accidentalmente per risorse come le istanze EC2. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che il gruppo di sicurezza predefinito di ogni VPC limiti tutto il traffico
|
|
Descrizione del risultato: I log di flusso VPC sono una funzionalità che consente di acquisire informazioni sul traffico IP da e verso le interfacce di rete nel VPC. Dopo aver creato un log di flusso, puoi visualizzare e recuperare i relativi dati in Amazon CloudWatch Logs. È consigliabile abilitare i log di flusso VPC per i pacchetti "Rifiutati" per i VPC. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Assicurati che il logging dei flussi VPC sia abilitato in tutti i VPC
|
|
Descrizione del risultato: Questo controllo verifica se un gruppo di sicurezza Amazon EC2 consente il traffico in entrata senza restrizioni da porte non autorizzate. Lo stato del controllo viene determinato come segue: Se utilizzi il valore predefinito per authorizedTcpPorts, il controllo non va a buon fine se il gruppo di sicurezza consente il traffico in entrata senza restrizioni da qualsiasi porta diversa dalle porte 80 e 443. Se fornisci valori personalizzati per authorizedTcpPorts o authorizedUdpPorts, il controllo non va a buon fine se il gruppo di sicurezza consente il traffico in entrata senza restrizioni da qualsiasi porta non elencata. Se non viene utilizzato alcun parametro, il controllo non va a buon fine per qualsiasi gruppo di sicurezza che ha una regola per il traffico in entrata senza restrizioni. I gruppi di sicurezza forniscono un filtro stateful del traffico di rete in entrata e in uscita verso AWS. Le regole dei gruppi di sicurezza devono seguire il principio dell'accesso con privilegio minimo. L'accesso illimitato (indirizzo IP con suffisso /0) aumenta la possibilità di attività dannose come hacking, attacchi denial of service e perdita di dati. A meno che una porta non sia specificamente consentita, deve negare l'accesso illimitato. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che tutti i gruppi di sicurezza con 0.0.0.0/0 di qualsiasi VPC consentano solo traffico TCP/UDP in entrata specifico
|
|
Descrizione del risultato: Un tunnel VPN è un link crittografato attraverso il quale i dati possono passare dalla rete del cliente ad AWS o viceversa all'interno di una connessione VPN AWS site-to-site. Ogni connessione VPN include due tunnel VPN che puoi utilizzare contemporaneamente per l'alta affidabilità. Assicurarsi che entrambi i tunnel VPN siano attivi per una connessione VPN è importante per confermare una connessione sicura e ad alta affidabilità tra un VPC AWS e la tua rete remota. Questo controllo verifica che entrambi i tunnel VPN forniti dalla VPN site-to-site di AWS siano in stato UP. Il controllo non va a buon fine se uno o entrambi i tunnel sono in stato DOWN. Livello di prezzo: Enterprise Security Command Center mappa questo rilevatore ai seguenti standard di conformità:
|
Controlla che entrambi i tunnel VPN forniti da AWS tra siti siano in stato attivo
|
Risultati del servizio AI Discovery in AI Protection
Il servizio AI Discovery è un servizio di rilevamento in AI Protection che identifica i componenti e i rischi nel tuo ambiente Google Cloud correlati alle applicazioni di AI.
| Risultato | Riepilogo |
|---|---|
|
Descrizione del risultato: è stato rilevato un foundation model in Gemini Enterprise Agent Platform ed è protetto da Model Armor. Livello di prezzo: Premium |
|
Descrizione del risultato: un foundation model Gemini rilevato in Gemini Enterprise Agent Platform non è protetto da Model Armor. Livello di prezzo: Premium Per correggere questo risultato, configura Model Armor per il modello rilevato. Per saperne di più, consulta Crea e gestisci i template. |
|
Descrizione del risultato: è stato rilevato un foundation model ottimizzato in Gemini Enterprise Agent Platform ed è protetto da Model Armor. Livello di prezzo: Premium |
|
Descrizione del risultato: un modello ottimizzato rilevato in Gemini Enterprise Agent Platform non è protetto da Model Armor. Livello di prezzo: Premium Per correggere questo risultato, configura Model Armor per il modello rilevato. Per saperne di più, consulta Crea e gestisci i template. |
Esamina i risultati nella console Google Cloud
-
Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.
- Seleziona il tuo progetto o la tua organizzazione Google Cloud .
- Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona AI Discovery Service. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
- Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
- Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
- (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.
Risultati di Web Security Scanner
Le scansioni personalizzate e gestite di Web Security Scanner identificano i seguenti tipi di risultati.
Le scansioni personalizzate e gestite di Web Security Scanner identificano i seguenti tipi di risultati. Nel livello Standard-legacy, Web Security Scanner supporta le scansioni personalizzate per le applicazioni di cui è stato eseguito il deployment con URL e IP pubblici che non sono protetti da un firewall.
| Categoria | Descrizione del risultato | Categoria di esiti | OWASP 2017 Top 10 | OWASP 2021 Top 10 |
|---|---|---|---|---|
|
Un repository Git è esposto pubblicamente. Per risolvere questo risultato, rimuovi l'accesso pubblico involontario al repository Git. Livello di prezzo: Premium o Standard |
Vulnerabilità | A5 | A01 |
|
Un repository SVN è esposto pubblicamente. Per risolvere questo risultato, rimuovi l'accesso pubblico involontario al repository SVN. Livello di prezzo: Premium o Standard |
Vulnerabilità | A5 | A01 |
|
Un file ENV è esposto pubblicamente. Per risolvere questo risultato, rimuovi l'accesso pubblico involontario al file ENV. Livello di prezzo: Premium o Standard |
Vulnerabilità | A5 | A01 |
|
Le password inserite nell'applicazione web possono essere memorizzate nella cache di un normale browser anziché in uno spazio di archiviazione sicuro delle password. Livello di prezzo: Premium |
Vulnerabilità | A3 | A04 |
|
Le password vengono trasmesse in chiaro e possono essere intercettate. Per risolvere questo risultato, cripta la password trasmessa sulla rete. Livello di prezzo: Premium o Standard |
Vulnerabilità | A3 | A02 |
|
Un endpoint HTTP o HTTPS cross-site convalida solo un suffisso dell'intestazione della richiesta Livello di prezzo: Premium |
Vulnerabilità | A5 | A01 |
|
Un endpoint HTTP o HTTPS cross-site convalida solo un prefisso dell'intestazione della richiesta Livello di prezzo: Premium |
Vulnerabilità | A5 | A01 |
|
È stata caricata una risorsa che non corrisponde all'intestazione HTTP Content-Type della risposta. Per risolvere questo risultato, imposta l'intestazione HTTP Livello di prezzo: Premium o Standard |
Vulnerabilità | A6 | A05 |
|
Un'intestazione di sicurezza presenta un errore di sintassi e viene ignorata dai browser. Per risolvere questo risultato, imposta correttamente le intestazioni di sicurezza HTTP. Livello di prezzo: Premium o Standard |
Vulnerabilità | A6 | A05 |
|
Un'intestazione di sicurezza contiene valori duplicati non corrispondenti, che generano un comportamento indefinito. Per risolvere questo risultato, imposta correttamente le intestazioni di sicurezza HTTP. Livello di prezzo: Premium o Standard |
Vulnerabilità | A6 | A05 |
|
Un'intestazione di sicurezza è scritta in modo errato e viene ignorata. Per risolvere questo risultato, imposta correttamente le intestazioni di sicurezza HTTP. Livello di prezzo: Premium o Standard |
Vulnerabilità | A6 | A05 |
|
Le risorse vengono pubblicate tramite HTTP su una pagina HTTPS. Per risolvere questo risultato, assicurati che tutte le risorse vengano pubblicate tramite HTTPS. Livello di prezzo: Premium o Standard |
Vulnerabilità | A6 | A05 |
|
È stata rilevata una libreria con vulnerabilità note. Per risolvere questo risultato, esegui l'upgrade delle librerie a una versione più recente. Livello di prezzo: Premium o Standard |
Vulnerabilità | A9 | A06 |
|
È stata rilevata una vulnerabilità di tipo Server Side Request Forgery (SSRF). Per risolvere questo risultato, utilizza una lista consentita per limitare i domini e gli indirizzi IP a cui l'applicazione web può inviare richieste. Livello di prezzo: Premium o Standard |
Vulnerabilità | Non applicabile | A10 |
|
Quando effettua una richiesta tra domini, l'applicazione web include l'identificatore di sessione dell'utente nell'intestazione della richiesta Livello di prezzo: Premium |
Vulnerabilità | A2 | A07 |
|
È stata rilevata una potenziale vulnerabilità SQL injection. Per risolvere questo risultato, utilizza query parametrizzate per impedire che gli input dell'utente influenzino la struttura della query SQL. Livello di prezzo: Premium |
Vulnerabilità | A1 | A03 |
|
È stato rilevato l'utilizzo di una versione vulnerabile di Apache Struts. Per risolvere questo risultato, esegui l'upgrade di Apache Struts all'ultima versione. Livello di prezzo: Premium |
Vulnerabilità | A8 | A08 |
|
Un campo di questa applicazione web è vulnerabile a un attacco di cross-site scripting (XSS). Per risolvere questo risultato, convalida ed elimina i dati non attendibili forniti dall'utente. Livello di prezzo: Premium o Standard |
Vulnerabilità | A7 | A03 |
|
Una stringa fornita dall'utente non viene sottoposta a escape e AngularJS può interpolarla. Per risolvere questo risultato, convalida ed elimina i dati non attendibili forniti dall'utente e gestiti dal framework di Angular. Livello di prezzo: Premium o Standard |
Vulnerabilità | A7 | A03 |
|
Un campo di questa applicazione web è vulnerabile a un attacco di cross-site scripting. Per risolvere questo risultato, convalida ed elimina i dati non attendibili forniti dall'utente. Livello di prezzo: Premium o Standard |
Vulnerabilità | A7 | A03 |
|
È stata rilevata una vulnerabilità XXE (XML External Entity). Questa vulnerabilità può causare la perdita di un file sull'host da parte dell'applicazione web. Per risolvere questo problema, configura i parser XML in modo da non consentire le entità esterne. Livello di prezzo: Premium |
Vulnerabilità | A4 | A05 |
|
L'applicazione è vulnerabile alla contaminazione del prototipo. Questa vulnerabilità si verifica quando
alle proprietà dell'oggetto Livello di prezzo: Premium o Standard |
Vulnerabilità | A1 | A03 |
|
È stata rilevata un'intestazione HTTP Strict Transport Security (HSTS) configurata in modo errato. Per ridurre in modo significativo il rischio di attacchi di downgrade e intercettazione sulle connessioni HTTP, risolvi l'intestazione HSTS configurata in modo errato. Le intestazioni HSTS forzano le connessioni attraverso canali criptati (TLS) in modo che le connessioni HTTP in testo non crittografato non vadano a buon fine. Scopri di più sulle intestazioni HSTS
Livello di prezzo: Premium |
Configurazione errata | Non applicabile | Non applicabile |
|
È stata rilevata un'intestazione della risposta HTTP Content Security Policy (CSP) mancante. Le intestazioni CSP mitigano lo sfruttamento delle vulnerabilità web comuni, in particolare il cross-site scripting XSS, impedendo il caricamento di script o plug-in non attendibili. È consigliabile utilizzare un'intestazione CSP rigida. Scopri di più sulle intestazioni CSP
Livello di prezzo: Premium |
Configurazione errata | Non applicabile | Non applicabile |
|
È stata rilevata un'intestazione della risposta HTTP Content Security Policy (CSP) configurata in modo errato. Le intestazioni CSP mitigano lo sfruttamento delle vulnerabilità web comuni, in particolare il cross-site scripting XSS, impedendo il caricamento di script o plug-in non attendibili. È consigliabile utilizzare un'intestazione CSP rigida. Scopri di più sulle intestazioni CSP
Livello di prezzo: Premium |
Configurazione errata | Non applicabile | Non applicabile |
|
È stata rilevata un'intestazione HTTP Cross-Origin-Opener-Policy (COOP) mancante. COOP è un meccanismo di sicurezza web che impedisce a una pagina aperta in una nuova finestra di accedere alle proprietà della pagina di origine. COOP offre un livello di protezione efficace contro i comuni attacchi web.
Livello di prezzo: Premium |
Configurazione errata | Non applicabile | Non applicabile |
|
È stata rilevata un'intestazione della risposta mancante. Per impedire il clickjacking, implementa un'intestazione della risposta HTTP come
Livello di prezzo: Premium |
Configurazione errata | Non applicabile | Non applicabile |
Risultati di Notebook Security Scanner
Notebook Security Scanner rileva le vulnerabilità relative ai pacchetti Python utilizzati nei notebook Colab Enterprise e le pubblica nella categoria Vulnerabilità dei pacchetti.
Un risultato di vulnerabilità del pacchetto mostra i dettagli della versione di un pacchetto con vulnerabilità note. Una determinata versione di un pacchetto Python può avere più risultati di vulnerabilità del pacchetto, ognuno corrispondente a una vulnerabilità nota diversa.
Per risolvere un risultato relativo a una vulnerabilità del pacchetto, devi utilizzare una versione diversa del pacchetto, come consigliato nella sezione Passaggi successivi del risultato.
Per saperne di più, consulta Attiva e utilizza Notebook Security Scanner.
Risultati del motore per suggerimenti IAM
La tabella seguente elenca i risultati di Security Command Center generati dal motore per suggerimenti IAM.
Ogni risultato del motore per suggerimenti IAM contiene suggerimenti specifici per rimuovere o sostituire un ruolo che include autorizzazioni eccessive da un'entità nel tuo ambienteGoogle Cloud .
I risultati generati dal motore per suggerimenti IAM corrispondono ai suggerimenti visualizzati nella console Google Cloud nella pagina IAM del progetto, della cartella o dell'organizzazione interessati.
Per saperne di più sull'integrazione del motore per suggerimenti IAM con Security Command Center, consulta Origini di sicurezza.
| Rilevatore | Riepilogo |
|---|---|
|
Descrizione del risultato: il motore per suggerimenti IAM ha rilevato un account di servizio con uno o più ruoli IAM che concedono autorizzazioni eccessive all'account utente. Livello di prezzo: Premium Asset supportati:
Correggi questo risultato : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo risultato seguendo questi passaggi:
Dopo aver risolto il problema, il motore per i suggerimenti IAM aggiorna lo stato del risultato in |
|
Descrizione del risultato: il motore per suggerimenti IAM ha rilevato che il ruolo IAM predefinito originale concesso a un agente di servizio è stato sostituito con uno dei ruoli IAM di base: Proprietario, Editor o Visualizzatore. I ruoli di base sono ruoli legacy eccessivamente permissivi e non devono essere concessi agli agenti di servizio. Livello di prezzo: Premium Asset supportati:
Correggi questo risultato : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo risultato seguendo questi passaggi:
Dopo aver risolto il problema, il motore per i suggerimenti IAM aggiorna lo stato del risultato in |
|
Descrizione del risultato: il motore per suggerimenti IAM ha rilevato che a un agente di servizio è stato concesso uno dei ruoli IAM di base: Proprietario, Editor o Visualizzatore. I ruoli di base sono ruoli legacy eccessivamente permissivi e non devono essere concessi agli agenti di servizio. Livello di prezzo: Premium Asset supportati:
Correggi questo risultato : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo risultato seguendo questi passaggi:
Dopo aver risolto il problema, il motore per i suggerimenti IAM aggiorna lo stato del risultato in |
|
Descrizione del risultato: il motore per suggerimenti IAM ha rilevato un account utente con un ruolo IAM che non è stato utilizzato negli ultimi 90 giorni. Livello di prezzo: Premium Asset supportati:
Correggi questo risultato : Utilizza il motore per suggerimenti IAM per applicare la correzione consigliata per questo risultato seguendo questi passaggi:
Dopo aver risolto il problema, il motore per i suggerimenti IAM aggiorna lo stato del risultato in |
Risultati CIEM
La tabella seguente elenca i risultati relativi a identità e accessi di Security Command Center per AWS e Microsoft Azure generati da Cloud Infrastructure Entitlement Management (CIEM). Per visualizzare i risultati generati da Cloud Infrastructure Entitlement Management (CIEM) per Google Cloud, consulta Risultati del motore per suggerimenti IAM.
I risultati CIEM contengono suggerimenti specifici per rimuovere o sostituire policy di gestione di identità e accessi (generalmente denominate IAM) altamente permissive associate a identità, utenti o gruppi assunti nei tuoi ambienti AWS e Microsoft Azure.
Per saperne di più su CIEM, consulta Panoramica di Cloud Infrastructure Entitlement Management.
| Rilevatore | Riepilogo |
|---|---|
|
Descrizione del risultato: nel tuo ambiente AWS o Microsoft Azure, CIEM ha rilevato un ruolo IAM assunto con una policy altamente permissiva che viola il principio del privilegio minimo e aumenta i rischi per la sicurezza. Questo risultato si basa sui log di utilizzo più recenti degli ultimi 83-90 giorni. Livello di prezzo: Enterprise Correggi questo risultato : A seconda del risultato, utilizza gli strumenti AWS o Microsoft Azure per eseguire una delle seguenti attività di correzione:
Per i passaggi di correzione specifici, consulta i dettagli del risultato. |
|
Descrizione del risultato: nel tuo ambiente AWS o Microsoft Azure, CIEM ha rilevato un gruppo con una o più policy altamente permissive che violano il principio del privilegio minimo e aumentano i rischi per la sicurezza. Questo risultato si basa sui log di utilizzo più recenti degli ultimi 83-90 giorni. Livello di prezzo: Enterprise Correggi questo risultato : A seconda del risultato, utilizza gli strumenti AWS o Microsoft Azure per eseguire una delle seguenti attività di correzione:
Per i passaggi di correzione specifici, consulta i dettagli del risultato. |
|
Descrizione del risultato: nel tuo ambiente AWS o Microsoft Azure, CIEM ha rilevato un utente con una o più policy altamente permissive che violano il principio del privilegio minimo e aumentano i rischi per la sicurezza. Questo risultato si basa sui log di utilizzo più recenti degli ultimi 83-90 giorni. Livello di prezzo: Enterprise Correggi questo risultato : A seconda del risultato, utilizza gli strumenti AWS o Microsoft Azure per eseguire una delle seguenti attività di correzione:
Per i passaggi di correzione specifici, consulta i dettagli del risultato. |
|
Descrizione del risultato: nel tuo ambiente AWS o Microsoft Azure, CIEM ha rilevato un utente inattivo con una o più autorizzazioni. Ciò viola il principio del privilegio minimo e aumenta i rischi per la sicurezza. Questo risultato si basa sui log di utilizzo più recenti degli ultimi 83-90 giorni. Livello di prezzo: Enterprise Correggi questo risultato : A seconda del risultato, esegui una delle seguenti attività di correzione:
Per i passaggi di correzione specifici, consulta i dettagli del risultato. |
|
Descrizione del risultato: nel tuo ambiente AWS o Microsoft Azure, CIEM ha rilevato che un gruppo inattivo dispone di una o più autorizzazioni. Ciò viola il principio del privilegio minimo e aumenta i rischi per la sicurezza. Questo risultato si basa sui log di utilizzo più recenti degli ultimi 83-90 giorni. Livello di prezzo: Enterprise Correggi questo risultato : A seconda del risultato, esegui una delle seguenti attività di correzione:
Per i passaggi di correzione specifici, consulta i dettagli del risultato. |
|
Descrizione del risultato: nel tuo ambiente AWS o Microsoft Azure, CIEM ha rilevato un ruolo IAM assunto che è inattivo e dispone di una o più autorizzazioni. Ciò viola il principio del privilegio minimo e aumenta i rischi per la sicurezza. Questo risultato si basa sui log di utilizzo più recenti degli ultimi 83-90 giorni. Livello di prezzo: Enterprise Correggi questo risultato : A seconda del risultato, esegui una delle seguenti attività di correzione:
Per i passaggi di correzione specifici, consulta i dettagli del risultato. |
|
Descrizione del risultato: nel tuo ambiente AWS o Microsoft Azure, CIEM ha rilevato una policy di attendibilità eccessivamente permissiva applicata a un ruolo IAM che viola il principio del privilegio minimo e aumenta i rischi per la sicurezza. Questo risultato si basa sui log di utilizzo più recenti degli ultimi 83-90 giorni. Livello di prezzo: Enterprise Correggi questo risultato : Utilizza gli strumenti AWS o Microsoft Azure per modificare le autorizzazioni nella policy di attendibilità applicata al ruolo in modo da rispettare il principio del privilegio minimo. Per i passaggi di correzione specifici, consulta i dettagli del risultato. |
|
Descrizione del risultato: nel tuo ambiente AWS o Microsoft Azure, CIEM ha rilevato una o più identità che possono spostarsi lateralmente tramite impersonificazione. Questo risultato si basa sui log di utilizzo più recenti degli ultimi 83-90 giorni. Livello di prezzo: Enterprise Correggi questo risultato : Utilizza gli strumenti AWS o Microsoft Azure per rimuovere la policy o le policy associate all'identità o alle identità che consentono il movimento laterale. Per i passaggi di correzione specifici, consulta i dettagli del risultato. |
Risultati di Data Security Posture Management
I controlli cloud della security posture dei dati sono i risultati generati da Data Security Posture Management (DSPM) quando si verificano violazioni delle regole di controllo cloud. Per informazioni sui controlli cloud, consulta Controlli cloud per la sicurezza dei dati.
Risultati dell'esposizione esterna
External Exposure crea risultati della classe EXTERNAL_EXPOSURE che identificano gli indirizzi IP esterni e i servizi esposti raggiungibili dalla rete internet pubblica.
Per saperne di più su questi risultati, consulta Rileva risorse esposte.
Questi risultati vengono generati nelle seguenti categorie granulari di rischio ed esposizione:
EXTERNALLY_EXPOSED_UI: identifica pannelli amministrativi, dashboard o console di gestione accessibili pubblicamente (come Jupyter Notebook o dashboard di Kubernetes).EXTERNALLY_EXPOSED_API: identifica le API degli endpoint esposti e non autenticati.EXTERNALLY_EXPOSED_WEAK_CREDENTIALS: identifica le porte o i servizi esposti a cui è possibile accedere utilizzando credenziali deboli predefinite o facilmente indovinabili.EXTERNALLY_EXPOSED_RCE_VULNERABILITY: identifica gli endpoint esposti con vulnerabilità di esecuzione di codice da remoto (RCE) convalidate attivamente.EXTERNALLY_EXPOSED_ARBITRARY_DATA_READ: identifica le vulnerabilità che consentono a un malintenzionato di leggere file o dati arbitrari dal sistema.EXTERNALLY_EXPOSED_VM_INSTANCE: identifica le risorse Compute Engine o Google Kubernetes Engine (GKE) con un indirizzo IP pubblico diretto che consente l'accesso al sistema operativo host.EXTERNALLY_EXPOSED_SERVERLESS_WORKLOAD: identifica i workload Cloud Run esposti.EXTERNALLY_EXPOSED_DATABASE: identifica le istanze di database accessibili direttamente (come Cloud SQL o AlloyDB per PostgreSQL).EXTERNALLY_EXPOSED_SERVICE_VIA_LOAD_BALANCER: identifica i workload di backend con bilanciatori del carico esterni, nginx-ingress o gateway Istio.EXTERNALLY_EXPOSED_STORAGE_VIA_LOAD_BALANCER: identifica i bucket di backend di Cloud Storage esposti direttamente dietro Cloud Load Balancing, bypassando la normale autorizzazione di Identity and Access Management (IAM).
Risultati del servizio Security Posture
Questa sezione elenca i risultati di Security Command Center generati dal servizio di security posture.
Il servizio Security Posture genera i seguenti insiemi di categorie di risultati:
- Deviazione da una security posture di cui è stato eseguito il deployment
- Risorsa che viola una security posture di cui è stato eseguito il deployment
Deviazione da una security posture di cui è stato eseguito il deployment
La tabella seguente elenca i risultati della security posture che identificano un'istanza di deviazione dalla security posture definita.
| Risultato | Riepilogo |
|---|---|
|
Descrizione del risultato: il servizio Security Posture ha rilevato una modifica a un rilevatore di Security Health Analytics che si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium
Correggi questo risultato : Questo risultato richiede di accettare o annullare la modifica in modo che le impostazioni del rilevatore nella postura e nell'ambiente corrispondano. Hai due opzioni per risolvere questo risultato: puoi aggiornare il rilevatore di Security Health Analytics o aggiornare la postura e il deployment della postura. Per annullare la modifica, aggiorna il rilevatore di Security Health Analytics nella console Google Cloud . Per istruzioni, consulta Attiva e disattiva i rilevatori. Per accettare la modifica, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio della security posture ha rilevato una modifica a un modulo personalizzato di Security Health Analytics che si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede di accettare o annullare la modifica in modo che le impostazioni del modulo personalizzato nella postura e nell'ambiente corrispondano. Hai due opzioni per risolvere questo risultato: puoi aggiornare il modulo personalizzato di Security Health Analytics o puoi aggiornare la postura e il deployment della postura. Per annullare la modifica, aggiorna il modulo personalizzato di Security Health Analytics nella console Google Cloud . Per le istruzioni, consulta Aggiorna un modulo personalizzato. Per accettare la modifica, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio di security posture ha rilevato che un modulo personalizzato di Security Health Analytics è stato eliminato. Questa eliminazione è avvenuta al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede di accettare o annullare la modifica in modo che le impostazioni del modulo personalizzato nella postura e nell'ambiente corrispondano. Hai due opzioni per risolvere questo risultato: puoi aggiornare il modulo personalizzato di Security Health Analytics o puoi aggiornare la postura e il deployment della postura. Per annullare la modifica, aggiorna il modulo personalizzato di Security Health Analytics nella console Google Cloud . Per le istruzioni, consulta Aggiorna un modulo personalizzato. Per accettare la modifica, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio Security Posture ha rilevato una modifica a una policy dell'organizzazione che si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede di accettare o annullare la modifica in modo che le definizioni delle policy dell'organizzazione nella postura e nell'ambiente corrispondano. Hai due opzioni per risolvere questo risultato: puoi aggiornare la policy dell'organizzazione o puoi aggiornare la postura e il deployment della postura. Per annullare la modifica, aggiorna la policy dell'organizzazione nella console Google Cloud . Per le istruzioni, consulta la pagina sulla creazione e modifica delle policy. Per accettare la modifica, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio Security Posture ha rilevato l'eliminazione di una policy dell'organizzazione. Questa eliminazione è avvenuta al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede di accettare o annullare la modifica in modo che le definizioni delle policy dell'organizzazione nella postura e nell'ambiente corrispondano. Hai due opzioni per risolvere questo risultato: puoi aggiornare la policy dell'organizzazione o puoi aggiornare la postura e il deployment della postura. Per annullare la modifica, aggiorna la policy dell'organizzazione nella console Google Cloud . Per le istruzioni, consulta la pagina sulla creazione e modifica delle policy. Per accettare la modifica, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio Security Posture ha rilevato una modifica a una policy dell'organizzazione personalizzata che si è verificata al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede di accettare o annullare la modifica in modo che le definizioni delle policy dell'organizzazione personalizzate nella postura e nell'ambiente corrispondano. Hai due opzioni per risolvere questo risultato: puoi aggiornare la policy dell'organizzazione personalizzata o puoi aggiornare la postura e il deployment della postura. Per annullare la modifica, aggiorna la policy dell'organizzazione personalizzata nella console Google Cloud . Per le istruzioni, consulta Aggiorna un vincolo personalizzato. Per accettare la modifica, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio Security Posture ha rilevato l'eliminazione di una policy dell'organizzazione personalizzata. Questa eliminazione è avvenuta al di fuori di un aggiornamento della postura. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede di accettare o annullare la modifica in modo che le definizioni delle policy dell'organizzazione personalizzate nella postura e nell'ambiente corrispondano. Hai due opzioni per risolvere questo risultato: puoi aggiornare la policy dell'organizzazione personalizzata o puoi aggiornare la postura e il deployment della postura. Per annullare la modifica, aggiorna la policy dell'organizzazione personalizzata nella console Google Cloud . Per le istruzioni, consulta Aggiorna un vincolo personalizzato. Per accettare la modifica, completa i seguenti passaggi:
|
Risorsa che viola una security posture di cui è stato eseguito il deployment
Il servizio di security posture e Security Health Analytics generano i seguenti risultati, che identificano le istanze di risorse che violano la security posture definita.
| Risultato | Riepilogo |
|---|---|
|
Descrizione del risultato: il servizio Security Posture ha rilevato che una subnet ha un indirizzo IPv6 esterno abilitato. Livello di prezzo: Premium Correggi questo risultato : Hai due opzioni per risolvere questo risultato: puoi eliminare la risorsa in violazione o aggiornare la postura ed eseguirne nuovamente il deployment. Per eliminare la risorsa, completa i seguenti passaggi:
Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare la postura. Per aggiornare la postura, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio Security Posture ha rilevato che una subnet ha un indirizzo IPv6 interno abilitato. Livello di prezzo: Premium Correggi questo risultato : Hai due opzioni per risolvere questo risultato: puoi eliminare la risorsa in violazione o aggiornare la postura ed eseguirne nuovamente il deployment. Per eliminare la risorsa, completa i seguenti passaggi:
Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare la postura. Per aggiornare la postura, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio Security Posture ha rilevato che OS Login è disattivato in un'istanza VM. Livello di prezzo: Premium Correggi questo risultato : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione o puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa, completa i seguenti passaggi:
Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare la postura. Per aggiornare la postura, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio Security Posture ha rilevato che una rete autorizzata è stata aggiunta a un'istanza SQL. Livello di prezzo: Premium Correggi questo risultato : Questo risultato richiede di correggere la violazione o aggiornare la postura. Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione o aggiornare la postura e rieseguirne il deployment. Per aggiornare la risorsa, completa i seguenti passaggi:
Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare la postura. Per aggiornare la postura, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio di security posture ha rilevato che un connettore VPC non è abilitato per un'istanza di Cloud Run Functions. Livello di prezzo: Premium Correggi questo risultato : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione o puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa, completa i seguenti passaggi:
Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare la postura. Per aggiornare la postura, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio Security Posture ha rilevato che l'accesso alla porta seriale di un'istanza VM è abilitato. Livello di prezzo: Premium Correggi questo risultato : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione o puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa, completa i seguenti passaggi:
Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare la postura. Per aggiornare la postura, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio Security Posture ha rilevato la creazione di una rete predefinita. Livello di prezzo: Premium Correggi questo risultato : Hai due opzioni per risolvere questo risultato: puoi eliminare la risorsa in violazione o aggiornare la postura ed eseguirne nuovamente il deployment. Per eliminare la risorsa, completa i seguenti passaggi:
Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare la postura. Per aggiornare la postura, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio Security Posture ha rilevato che un servizio Cloud Run non è conforme alle impostazioni di traffico in entrata specificate. Livello di prezzo: Premium Correggi questo risultato : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione o puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa, completa i seguenti passaggi:
Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare la postura. Per aggiornare la postura, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio Security Posture ha rilevato che un accesso a livello di bucket è granulare anziché uniforme. Livello di prezzo: Premium Correggi questo risultato : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione o puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa, completa i seguenti passaggi:
Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare la postura. Per aggiornare la postura, completa i seguenti passaggi:
|
|
Descrizione del risultato: il servizio di security posture ha rilevato che un servizio Cloud Run non è conforme alle impostazioni di traffico in uscita specificate. Livello di prezzo: Premium Correggi questo risultato : Hai due opzioni per risolvere questo risultato: puoi aggiornare la risorsa in violazione o puoi aggiornare la postura ed eseguirne nuovamente il deployment. Per aggiornare la risorsa, completa i seguenti passaggi:
Se vuoi mantenere la risorsa nella stessa configurazione, devi aggiornare la postura. Per aggiornare la postura, completa i seguenti passaggi:
|
Risultati di Model Armor
Model Armor è un servizio completamente gestito Google Cloud che migliora la sicurezza delle applicazioni di AI analizzando i prompt e le risposte degli LLM per vari rischi per la sicurezza e la protezione.
La tabella seguente elenca i risultati di Security Command Center generati da Model Armor.
| Risultato | Riepilogo |
|---|---|
|
Descrizione del risultato: una violazione delle impostazioni di base che si verifica quando un template Model Armor non soddisfa gli standard di sicurezza minimi definiti dalle impostazioni di base della gerarchia delle risorse. Classe dei risultati: configurazione errata Livello di prezzo: Premium Questo risultato richiede l'aggiornamento del template Model Armor per renderlo conforme alle impostazioni di base definite nella gerarchia delle risorse. |
Esamina i risultati nella console Google Cloud
-
Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.
- Seleziona il tuo progetto o la tua organizzazione Google Cloud .
- Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Model Armor. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
- Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
- Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
- (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.
Risolvi i risultati di Model Armor
Il risultato FLOOR_SETTINGS_VIOLATION indica che il template Model Armor non ha soddisfatto gli standard di sicurezza minimi definiti dalle impostazioni di base della gerarchia delle risorse.
Per risolvere questo risultato, segui questi passaggi:
- Nella console Google Cloud , vai alla pagina Model Armor.
- Verifica di visualizzare il progetto su cui hai attivato Model Armor. Viene visualizzata la pagina Model Armor con l'elenco dei template creati per il tuo progetto.
- Fai clic sul modello che vuoi modificare.
- Modifica il template in base alle impostazioni di base definite nella gerarchia delle risorse.
- Fai clic su Salva.
VM Manager
VM Manager è una suite di strumenti utilizzabili per gestire sistemi operativi per grandi parchi risorse di macchine virtuali (VM) che eseguono Windows e Linux su Compute Engine.
Se abiliti VM Manager a livello di organizzazione, VM Manager scrive i risultati dei report sulle vulnerabilità (anteprima) in Security Command Center. I report identificano le vulnerabilità nei sistemi operativi installati sulle VM, incluse le vulnerabilità ed esposizioni comuni (CVE).
Per utilizzare VM Manager con le attivazioni a livello di progetto di Security Command Center Premium, attiva Security Command Center Standard nell'organizzazione principale.
I report sulle vulnerabilità non sono disponibili per Security Command Center Standard.
I risultati semplificano il processo di utilizzo della funzionalità di conformità delle patch di VM Manager (anteprima). La funzionalità consente di eseguire la gestione delle patch a livello di organizzazione in tutti i progetti.
La gravità dei risultati delle vulnerabilità ricevuti da VM Manager è sempre CRITICAL o HIGH.
Risultati di VM Manager
Le vulnerabilità di questo tipo riguardano tutte i pacchetti del sistema operativo installati nelle VM di Compute Engine supportate.
| Rilevatore | Riepilogo | Impostazioni di scansione degli asset |
|---|---|---|
|
Descrizione del risultato: VM Manager ha rilevato una vulnerabilità nel pacchetto del sistema operativo (OS) installato per una VM di Compute Engine. Livello di prezzo: Premium Asset supportati |
I report sulle vulnerabilità di VM Manager descrivono in dettaglio le vulnerabilità nei pacchetti del sistema operativo installati per le VM di Compute Engine, incluse le vulnerabilità ed esposizioni comuni (CVE). Per un elenco completo dei sistemi operativi supportati, consulta Dettagli del sistema operativo. I risultati vengono visualizzati in Security Command Center poco dopo il rilevamento delle vulnerabilità. I report sulle vulnerabilità in VM Manager vengono generati come segue:
|
Esamina i risultati nella console
-
Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.
- Seleziona il tuo progetto o la tua organizzazione Google Cloud .
- Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona VM Manager. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
- Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
- Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
- (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.
Correzione dei risultati di VM Manager
Un risultato OS_VULNERABILITY indica che VM Manager ha trovato una vulnerabilità nei pacchetti del sistema operativo installati in una VM di Compute Engine.
Per risolvere questo risultato, segui questi passaggi:
Apri un risultato
OS vulnerabilitye visualizza la relativa definizione JSON.Copia il valore del campo
externalUri. Questo valore è l'URI della pagina Informazioni sul sistema operativo dell'istanza VM di Compute Engine in cui è installato il sistema operativo vulnerabile.Applica tutte le patch appropriate per il sistema operativo mostrato nella sezione Informazioni di base. Per istruzioni sul deployment delle patch, consulta Crea job di applicazione patch.
Scopri di più sugli asset e sulle impostazioni di scansione supportati per questo tipo di risultato.
Disattiva i risultati di VM Manager
Se non sono pertinenti ai tuoi requisiti di sicurezza, potresti voler nascondere alcuni o tutti i risultati di VM Manager in Security Command Center.
Puoi nascondere i risultati di VM Manager creando una regola di silenziamento e aggiungendo attributi di query specifici per i risultati di VM Manager che vuoi nascondere.
Per informazioni su come creare una regola di silenziamento, consulta Crea una regola di silenziamento.
Ad esempio, se vuoi nascondere ID CVE specifici nei risultati delle vulnerabilità di VM Manager, seleziona Vulnerabilità > ID CVE, quindi seleziona gli ID CVE che vuoi nascondere.
Il campo Query sui risultati per la regola di silenziamento è simile al seguente:
parent_display_name="VM Manager"
AND vulnerability.cve.id="CVE-2025-26923" OR vulnerability.cve.id="CVE-2025-27635"
Risultati di Vulnerability Assessment for Agent Platform
Rilevamento delle vulnerabilità
Agent Platform Vulnerability Assessment identifica le vulnerabilità del software (CVE) nei workload agentici di cui è stato eseguito il deployment con Gemini Enterprise Agent Platform.
I risultati hanno la classe VULNERABILITY e la gravità HIGH o CRITICAL.
Per risolvere un risultato, aggiorna i requisiti dell'agente o la definizione del container personalizzato in modo da utilizzare una versione sicura del pacchetto, come specificato nel campo Pacchetto corretto.
Rilevamento di secret
Agent Platform Vulnerability Assessment fornisce una scansione continua e automatizzata dei secret in testo non crittografato nelle immagini di Agent Platform di cui i clienti hanno eseguito il deployment e genera risultati in Security Command Center.
Ogni risultato identifica l'URI della piattaforma agente, il repository di immagini, il tipo di secret e il percorso.
I risultati hanno la classe SECRET e la gravità CRITICAL.
Riferimento ai risultati
| Rilevatore | Riepilogo |
|---|---|
|
Descrizione del risultato: è stata rilevata una vulnerabilità software (CVE) in un workload agentico di cui è stato eseguito il deployment con Agent Platform. Questo scanner valuta automaticamente il codice personalizzato e le dipendenze all'interno dell'istanza operativa. Livello di prezzo: Premium o Enterprise Correggi questo risultato : Esamina i dettagli del risultato per identificare il pacchetto e la versione interessati. Per risolvere il risultato, aggiorna i requisiti dell'agente o la definizione del container personalizzato in modo da utilizzare una versione sicura del pacchetto, quindi esegui nuovamente il deployment dell'istanza di Agent Platform. |
|
Descrizione del risultato: è stata trovata una credenziale in testo normale di tipo Livello di prezzo: Premium o Enterprise Correggi questo risultato :
|
Per saperne di più, consulta Configura AI Protection.
Risultati della valutazione delle vulnerabilità di Artifact Registry
La tabella seguente elenca i risultati che ti avvisano di potenziali vulnerabilità rilevate nelle immagini container. Questi risultati vengono generati solo per le immagini container vulnerabili archiviate in Artifact Registry e di cui è stato eseguito il deployment in uno dei seguenti asset:
- Cluster Google Kubernetes Engine
- Servizio Cloud Run
- Job Cloud Run
- App Engine
Questi risultati sono classificati con gravità HIGH o CRITICAL.
Per informazioni su come attivare, disattivare e visualizzare i risultati della valutazione delle vulnerabilità di Artifact Registry nella console Google Cloud , consulta Servizio di rilevamento della valutazione delle vulnerabilità di Artifact Registry.
| Rilevatore | Riepilogo |
|---|---|
|
Descrizione del risultato: è stata rilevata una vulnerabilità in un'immagine container analizzata in Artifact Registry. Questa immagine è implementata in uno dei seguenti asset:
Livello di prezzo: Standard, Premium o Enterprise Correggi questo risultato : A seconda del tipo di risorsa, procedi nel seguente modo:
Consulta i dettagli del risultato per i passaggi di correzione specifici in base alla risorsa di runtime appropriata. Per i clienti del livello Standard-legacy, l'utilizzo della funzionalità di query sugli asset di Cloud Asset Inventory per determinare dove è stato eseguito il deployment dell'immagine container vulnerabile non è supportato. Ti consigliamo di eseguire l'upgrade ai livelli Premium o Enterprise per ottenere informazioni più dettagliate. |
Sensitive Data Protection
Questa sezione descrive i risultati delle vulnerabilità generati da Sensitive Data Protection, gli standard di conformità supportati e come correggere i risultati.
Sensitive Data Protection invia anche i risultati delle osservazioni a Security Command Center. Per ulteriori informazioni sui risultati dell'osservazione e su Sensitive Data Protection, consulta Sensitive Data Protection.
Per informazioni su come visualizzare i risultati, consulta Esamina i risultati di Sensitive Data Protection nella console Google Cloud .
Risultati delle vulnerabilità di Sensitive Data Protection
Il servizio di rilevamento di Sensitive Data Protection ti aiuta a determinare se stai archiviando dati altamente sensibili non protetti.
| Categoria | Riepilogo |
|---|---|
|
Descrizione del risultato: la risorsa specificata contiene dati ad alta sensibilità a cui chiunque su internet può accedere. Asset supportati:
Correzione: Per i dati Google Cloud , rimuovi Per i dati Amazon S3, configura le impostazioni di blocco dell'accesso pubblico o aggiorna l'ACL dell'oggetto per negare l'accesso in lettura pubblico. Per saperne di più, consulta Configurazione delle impostazioni di blocco dell'accesso pubblico per i bucket S3 e Configurazione delle ACL nella documentazione di AWS. Per i dati di Azure Blob Storage, rimuovi l'accesso pubblico al container e ai blob. Per saperne di più, consulta Panoramica: correzione dell'accesso in lettura anonimo per i dati blob nella documentazione di Azure. Standard di conformità: non mappati |
|
Descrizione del risultato: sono presenti secret, come password, token di autenticazione e credenziali Google Cloud , nelle variabili di ambiente. Per attivare questo rilevatore, consulta Segnala i secret nelle variabili di ambiente a Security Command Center nella documentazione di Sensitive Data Protection. Asset supportati: Correzione: Per le variabili di ambiente di Cloud Run Functions, rimuovi il secret dalla variabile di ambiente e archivialo in Secret Manager. Per le variabili di ambiente della revisione del servizio Cloud Run, sposta tutto il traffico dalla revisione, quindi elimina la revisione. Standard di conformità:
|
|
Descrizione del risultato: nella risorsa specificata sono presenti secret, come password, token di autenticazione e credenziali cloud. Asset supportati:
Correzione:
Standard di conformità: non mappati |
Risultati degli errori di configurazione di Sensitive Data Protection
Il servizio di rilevamento di Sensitive Data Protection ti aiuta a determinare se sono presenti configurazioni errate che potrebbero esporre dati sensibili.
| Categoria | Riepilogo |
|---|---|
|
Descrizione del risultato: la risorsa specificata contiene dati ad alta o moderata sensibilità e non utilizza una chiave di crittografia gestita dal cliente (CMEK). Asset supportati:
Correzione:
Standard di conformità: non mappati |
Risultati delle osservazioni di Sensitive Data Protection
Il servizio di rilevamento di Sensitive Data Protection ti aiuta a determinare se i tuoi dati contengono infoType specifici e dove si trovano nella tua organizzazione, nelle cartelle e nei progetti. Genera le seguenti categorie di risultati di osservazione in Security Command Center:
| Categoria | Riepilogo |
|---|---|
|
Descrizione del risultato: un'indicazione del livello di sensibilità dei dati in un asset di dati specifico. I dati sono sensibili se contengono PII o altri elementi che potrebbero richiedere un controllo o una gestione aggiuntivi. La gravità del risultato è il livello di sensibilità calcolato da Sensitive Data Protection durante la generazione del profilo dati. |
|
Descrizione del risultato: il rischio associato ai dati nel loro stato attuale. Quando calcola il rischio dei dati, Sensitive Data Protection considera il livello di sensibilità dei dati nell'asset di dati e la presenza di controlli dell'accesso per proteggere questi dati. La gravità del risultato è il livello di rischio dei dati calcolato da Sensitive Data Protection durante la generazione del profilo dati. |
Policy Controller
Policy Controller consente l'applicazione, anche forzata, dei criteri programmabili per i tuoi cluster Kubernetes registrati come membri del parco risorse. Queste policy fungono da barriere e possono aiutare con la gestione di best practice, sicurezza e conformità dei cluster e del parco risorse.
Questa pagina non elenca tutti i singoli risultati di Policy Controller, ma le informazioni sui risultati della classe Misconfiguration che Policy Controller scrive in Security Command Center sono le stesse delle violazioni del cluster documentate per ogni bundle di Policy Controller. La documentazione per i singoli tipi di risultati di Policy Controller è disponibile nei seguenti bundle di Policy Controller:
CIS Kubernetes Benchmark v1.5.1, un insieme di consigli per configurare Kubernetes al fine di supportare una solida security posture. Puoi anche visualizzare le informazioni su questo bundle nel repository GitHub per
cis-k8s-v1.5.1.PCI-DSS v3.2.1, un bundle che valuta la conformità delle risorse del cluster ad alcuni aspetti dello standard PCI-DSS (Payment Card Industry Data Security Standard) v3.2.1. Puoi anche visualizzare le informazioni su questo bundle nel repository GitHub per
pci-dss-v3.
Questa funzionalità non è compatibile con i perimetri di servizio dei Controlli di servizio VPC intorno all'API Stackdriver.
Ricerca e correzione dei risultati di Policy Controller
Le categorie di Policy Controller corrispondono ai nomi dei vincoli elencati nella documentazione dei bundle di Policy Controller. Ad esempio, un risultato require-namespace-network-policies indica che uno spazio dei nomi viola la policy secondo cui ogni spazio dei nomi in un cluster deve avere un NetworkPolicy.
Per correggere un risultato, segui questi passaggi:
-
Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.
- Seleziona il tuo progetto o la tua organizzazione Google Cloud .
- Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Policy Controller On-Cluster. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
- Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
- Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
- (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.
Passaggi successivi
Per informazioni sul ciclo di vita di un risultato, consulta Panoramica del ciclo di vita dei risultati.
Per informazioni sugli intervalli di scansione per ogni servizio, consulta Quando aspettarsi i risultati in Security Command Center.
Consulta l'indice dei risultati delle vulnerabilità.
Scopri come utilizzare Security Health Analytics.
Scopri come utilizzare Web Security Scanner.
Leggi i suggerimenti per correggere i risultati di Security Health Analytics e correggere i risultati di Web Security Scanner.