Ergebnisse zu Sicherheitslücken in Security Command Center ansehen

Mit dem Security Command Center können Sie Vulnerability- und Misconfiguration-Ergebnisse ansehen und filtern, um Probleme mit hohem Risiko zu priorisieren und Abhilfemaßnahmen zu ergreifen. In der Google Cloud Console können Sie diese Ergebnisse mithilfe von Abfragevoreinstellungen oder durch Filtern nach Projekt, Kategorie, Asset-Typ, Angriffsexpositionsbewertung, CVE-ID oder Schweregrad prüfen. Sie können Ergebniskategorien auch nach der Anzahl der aktiven Ergebnisse in der Google Cloud Console oder mithilfe der Google Cloud CLI aufrufen.

Seite „Sicherheitslücken“ mit der Seite „Ergebnisse“ vergleichen

Die Filteroptionen auf der Seite Sicherheitslücken sind im Vergleich zu den Filter- und Abfrageoptionen auf der Seite Ergebnisse eingeschränkt.

Auf der Seite Sicherheitslücken werden alle Ergebniskategorien in den Ergebnisklassen Vulnerability und Misconfiguration sowie die aktuelle Anzahl der aktiven Ergebnisse in jeder Kategorie und die Compliancestandards angezeigt, denen jede Ergebniskategorie zugeordnet ist. Wenn es in einer bestimmten Kategorie keine aktiven Ergebnisse gibt, wird in der Spalte Aktive Ergebnisse der Wert 0 angezeigt.

Auf der Seite Ergebnisse können dagegen Ergebniskategorien aus jeder Ergebnisklasse angezeigt werden. Eine Ergebniskategorie wird jedoch nur angezeigt, wenn in Ihrer Umgebung innerhalb des angegebenen Zeitraums ein Sicherheitsproblem in dieser Kategorie erkannt wurde.

Weitere Informationen finden Sie auf den folgenden Seiten:

Abfragevoreinstellungen anwenden

Auf der Seite Sicherheitslücken können Sie vordefinierte Abfragen (Abfragevoreinstellungen) auswählen, die Ergebnisse im Zusammenhang mit bestimmten Sicherheitszielen zurückgeben.

Wenn Sie beispielsweise für die Verwaltung von Cloud-Infrastrukturberechtigungen (Cloud Infrastructure Entitlement Management, CIEM) für Google Cloudverantwortlich sind, können Sie die Abfragevoreinstellung Identitäts- und Zugriffsfehlkonfigurationen auswählen, um alle Ergebnisse zu sehen, die sich auf Hauptkonten beziehen, die falsch konfiguriert sind oder denen übermäßige oder vertrauliche Berechtigungen gewährt wurden.

Wenn Sie Hauptkonten nur die Berechtigungen gewähren möchten, die sie tatsächlich benötigen, können Sie die Abfragevoreinstellung IAM Recommender auswählen. Dadurch werden Ergebnisse des IAM Recommender für Hauptkonten angezeigt, die mehr Berechtigungen haben, als sie benötigen.

So wählen Sie eine Abfragevoreinstellung aus:

  1. Rufen Sie die Legacy-Seite Sicherheitslücken auf:

    Zu Sicherheitslücken

  2. Klicken Sie im Bereich Abfragevoreinstellungen auf eine der Abfrageauswahloptionen.

    Die Anzeige wird aktualisiert und enthält nur die in der Abfrage angegebenen Sicherheitslückenkategorien.

Ergebnisse zu Sicherheitslücken nach Projekt ansehen

So rufen Sie die Ergebnisse zu Sicherheitslücken nach Projekt auf der alten Seite Sicherheitslücken in der Google Cloud Console auf:

  1. Rufen Sie in der Google Cloud Console die alte Seite Sicherheitslücken auf.

    Zu Sicherheitslücken

  2. Wählen Sie in der Projektauswahl oben auf der Seite das Projekt aus, für das Sie die Ergebnisse zu Sicherheitslücken aufrufen möchten.

Auf der Seite Sicherheitslücken werden nur Ergebnisse für das ausgewählte Projekt angezeigt.

Wenn Ihre Console-Ansicht auf Ihre Organisation festgelegt ist, können Sie die Ergebnisse zu Sicherheitslücken auch nach einer oder mehreren Projekt-IDs filtern. Verwenden Sie dazu die Schnellfilter auf der Seite „Ergebnisse“.

Ergebnisse zu Sicherheitslücken nach Ergebniskategorie ansehen

So rufen Sie Ergebnisse zu Sicherheitslücken nach Kategorie ab:

  1. Rufen Sie in der Google Cloud Console die alte Seite Sicherheitslücken auf.

    Zu Sicherheitslücken

  2. Wählen Sie in der Projektauswahl Ihre Organisation, Ihren Ordner oder Ihr Projekt aus.

  3. Wählen Sie in der Spalte Kategorie den Ergebnistyp aus, für den Sie Ergebnisse aufrufen möchten.

Die Seite Ergebnisse zeigt eine Liste mit Ergebnissen an, die der ausgewählten Kategorie entsprechen.

Weitere Informationen zu Ergebniskategorien finden Sie unter Ergebnisse zu Sicherheitslücken.

Ergebnisse nach Asset-Typ ansehen

So rufen Sie die Ergebnisse zu Sicherheitslücken für einen bestimmten Asset-Typ auf:

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie in der Projektauswahl Ihre Organisation, Ihren Ordner oder Ihr Projekt aus.

  3. Wählen Sie im Bereich Schnellfilter Folgendes aus:

    • Wählen Sie im Abschnitt Ergebnisklasse sowohl Sicherheitslücke als auch Fehlkonfiguration aus.
    • Optional: Wählen Sie im Abschnitt Projekt-ID die ID des Projekts aus, in dem Sie Assets ansehen möchten.
    • Wählen Sie im Abschnitt Ressourcentyp den Ressourcentyp aus, den Sie sehen möchten.

Die Liste der Ergebnisse im Bereich Ergebnisse der Ergebnisabfrage wird aktualisiert und enthält nur die Ergebnisse, die Ihren Auswahlen entsprechen.

Ergebnisse zu Sicherheitslücken nach Angriffsrisikobewertung ansehen

Sicherheitslücken, die als hochwertig eingestuft und von Angriffspfadsimulationen unterstützt werden, wird eine Angriffsrisikobewertung zugewiesen. Sie können Ergebnisse nach diesem Wert filtern.

So rufen Sie Ergebnisse zu Sicherheitslücken nach Angriffsbewertung auf:

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie in der Projektauswahl Ihre Organisation, Ihren Ordner oder Ihr Projekt aus.

  3. Klicken Sie rechts neben dem Bereich Abfragevorschau auf Abfrage bearbeiten.

  4. Klicken Sie oben im Bereich Abfrageeditor auf Filter hinzufügen.

  5. Führen Sie im Dialogfeld Filter auswählen die folgenden Schritte aus:

  6. Wählen Sie Angriffsrisiko aus und geben Sie dann im Feld Angriffsrisiko größer als einen Wert ein.

  7. Klicken Sie auf Übernehmen.

    Die Filteranweisung wird Ihrer Abfrage hinzugefügt und die Ergebnisse im Bereich Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur Ergebnisse mit einem Wert für die Angriffsrisiko-Bewertung angezeigt werden, der über dem in der neuen Filteranweisung angegebenen Wert liegt.

Ergebnisse zu Sicherheitslücken nach CVE-ID ansehen

Sie können sich Ergebnisse nach der entsprechenden CVE-ID entweder auf der Seite Übersicht oder auf der Seite Ergebnisse ansehen.

  • Rufen Sie auf der Seite Übersicht das Dashboard Sicherheitslücken auf. Informationen zu den Bereichen im Dashboard finden Sie unter Risiko auf einen Blick bewerten.

  • Auf der Seite Ergebnisse können Sie Ergebnisse nach ihrer CVE-ID abfragen.

    So fragen Sie Ergebnisse zu Sicherheitslücken nach CVE-ID ab:

    1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.

      Zu Ergebnissen

    2. Wählen Sie in der Projektauswahl Ihre Organisation, Ihren Ordner oder Ihr Projekt aus.

    3. Klicken Sie rechts im Feld Abfragevorschau auf Abfrage bearbeiten.

    4. Bearbeiten Sie im Abfrageeditor die Abfrage so, dass sie die gesuchte CVE-ID enthält. Beispiel:

    state="ACTIVE"
  AND NOT mute="MUTED"
  AND vulnerability.cve.id="CVE-2016-5195"

    Die Ergebnisse der Abfrage werden aktualisiert und zeigen alle aktiven Ergebnisse an, die nicht ausgeblendet sind und die CVE-ID enthalten.

Ergebnisse zu Sicherheitslücken nach Schweregrad ansehen

So rufen Sie Ergebnisse zu Sicherheitslücken nach Schweregrad ab:

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie in der Projektauswahl Ihre Organisation, Ihren Ordner oder Ihr Projekt aus.

  3. Gehen Sie im Bereich Schnellfilter zum Abschnitt Ergebnisklasse und wählen Sie sowohl Sicherheitslücke als auch Fehlkonfiguration aus.

    Die angezeigten Ergebnisse werden aktualisiert, sodass nur Ergebnisse der Klassen Vulnerability und Misconfiguration angezeigt werden.

  4. Gehen Sie im Bereich Schnellfilter zum Abschnitt Schweregrad und wählen Sie die Schweregrade der Ergebnisse aus, die Sie sehen möchten.

    Auf der Seite werden nur Ergebnisse mit den ausgewählten Schweregraden angezeigt.

Ergebniskategorien nach der Anzahl der aktiven Ergebnisse ansehen

Wenn Sie Ergebniskategorien nach der Anzahl der darin enthaltenen aktiven Ergebnisse aufrufen möchten, können Sie entweder die Google Cloud Console oder die Befehle der Google Cloud CLI verwenden.

Console

Wenn Sie Ergebniskategorien nach der Anzahl der aktiven Ergebnisse auf der alten Seite Sicherheitslücken aufrufen möchten, können Sie die Kategorien nach der Spalte Aktive Ergebnisse sortieren oder die Kategorien nach der Anzahl der aktiven Ergebnisse filtern.

So filtern Sie Kategorien von Sicherheitslücken nach der Anzahl der darin enthaltenen aktiven Ergebnisse:

  1. Öffnen Sie in der Google Cloud Console die Seite Sicherheitslücken:

    Zu Sicherheitslücken

  2. Wählen Sie in der Projektauswahl Ihre Organisation, Ihren Ordner oder Ihr Projekt aus.

  3. Setzen Sie den Cursor in das Filterfeld, um eine Liste der Filter aufzurufen.

  4. Wählen Sie in der Liste der Filter Aktive Ergebnisse aus. Eine Liste der logischen Operatoren wird angezeigt.

  5. Wählen Sie einen logischen Operator für den Filter aus, z. B. >=.

  6. Geben Sie eine Zahl ein und drücken Sie die Eingabetaste.

Die Anzeige wird aktualisiert und enthält nur noch die Kategorien von Sicherheitslücken, die eine Anzahl aktiver Ergebnisse enthalten, die Ihrem Filter entsprechen.

gcloud

Wenn Sie mit der gcloud CLI die Anzahl aller aktiven Ergebnisse abrufen möchten, fragen Sie zuerst Security Command Center ab, um die Quell-ID eines Sicherheitslückendienstes abzurufen. Anschließend verwenden Sie die Quell-ID, um die Anzahl der aktiven Ergebnisse abzufragen.

Schritt 1: Quell-ID abrufen

Rufen Sie für diesen Schritt Ihre Organisations-ID und dann die Quell-ID eines der Dienste zur Erkennung von Sicherheitslücken ab, die auch als Ergebnisquellen bezeichnet werden. Wenn Sie die Security Command Center API noch nicht aktiviert haben, werden Sie dazu aufgefordert.

  1. Führen Sie gcloud organizations list aus, um Ihre Organisations-ID abzurufen, und notieren Sie die Nummer neben dem Namen der Organisation.

  2. So rufen Sie die Security Health Analytics Quell-ID ab:

    gcloud scc sources describe organizations/ORGANIZATION_ID \
  --source-display-name='SOURCE_DISPLAY_NAME'

    Ersetzen Sie Folgendes:

    • ORGANIZATION_ID: ID Ihrer Organisation. Eine Organisations-ID ist unabhängig von der Aktivierungsstufe von Security Command Center erforderlich.
    • SOURCE_DISPLAY_NAME: der Anzeigename des Dienstes zur Erkennung von Sicherheitslücken, für den Sie Ergebnisse anzeigen möchten. Beispiel: Security Health Analytics.

  3. Aktivieren Sie nach entsprechender Aufforderung die Security Command Center API und führen Sie dann den vorherigen Befehl aus, um die Quell-ID noch einmal abzurufen.

Der Befehl zum Abrufen der Quell-ID sollte etwa so aussehen:

description: Scans for deviations from a Google Cloud
security baseline.
displayName: Security Health Analytics
name: organizations/ORGANIZATION_ID/sources/SOURCE_ID

Notieren Sie sich die SOURCE_ID, die Sie im nächsten Schritt benötigen.

Schritt 2: Anzahl der aktiven Ergebnisse abrufen

Verwenden Sie die im vorherigen Schritt notierte SOURCE_ID, um Ergebnisse zu filtern. Der folgende Befehl der gcloud CLI gibt die Anzahl der Ergebnisse nach Kategorie zurück:

gcloud scc findings group organizations/ORGANIZATION_ID/sources/SOURCE_ID \
  --group-by=category --page-size=PAGE_SIZE

Die Seitengröße kann auf einen Wert von maximal 1.000 festgelegt werden. Der Befehl sollte in etwa folgende Ausgabe mit den Ergebnissen Ihrer Organisation oder Ihres Projekts zurückgeben:

  groupByResults:
  - count: '1'
    properties:
      category: MFA_NOT_ENFORCED
  - count: '3'
    properties:
      category: ADMIN_SERVICE_ACCOUNT
  - count: '2'
    properties:
      category: API_KEY_APIS_UNRESTRICTED
  - count: '1'
    properties:
      category: API_KEY_APPS_UNRESTRICTED
  - count: '2'
    properties:
      category: API_KEY_EXISTS
  - count: '10'
    properties:
      category: AUDIT_CONFIG_NOT_MONITORED
  - count: '10'
    properties:
      category: AUDIT_LOGGING_DISABLED
  - count: '1'
    properties:
      category: AUTO_UPGRADE_DISABLED
  - count: '10'
    properties:
      category: BUCKET_IAM_NOT_MONITORED
  - count: '10'
    properties:
      category: BUCKET_LOGGING_DISABLED
  nextPageToken: token
        readTime: '2019-08-05T21:56:13.862Z'
        totalSize: 50