צפייה בממצאי נקודות חולשה ב-Security Command Center

Standard-legacy,‏ Standard,‏ Premium ו-Enterprise (הוצאה משימוש)

ב-Security Command Center אפשר לראות ולסנן את הממצאים של Vulnerability ו-Misconfiguration, כדי לתעדף בעיות בסיכון גבוה ולבצע את השלבים לתיקון. במסוף Google Cloud , אתם יכולים לבדוק את הממצאים האלה באמצעות שאילתות מוגדרות מראש או על ידי סינון לפי פרויקט, קטגוריה, סוג נכס, ציון חשיפה להתקפות, מזהה CVE או חומרה. אפשר גם לראות את קטגוריות הממצאים לפי מספר הממצאים הפעילים שלהן במסוף Google Cloud או באמצעות Google Cloud CLI.

השוואה בין הדף Vulnerabilities לדף Findings

אפשרויות הסינון בדף Vulnerabilities מוגבלות בהשוואה לאפשרויות הסינון והשאילתות שזמינות בדף Findings.

בדף Vulnerabilities מוצגות כל קטגוריות הממצאים בסיווגים Vulnerability ו-Misconfiguration, וגם המספר הנוכחי של הממצאים הפעילים בכל קטגוריה ותקני התאימות שאליהם ממופה כל קטגוריית ממצאים. אם אין ממצאים פעילים בקטגוריה מסוימת, בעמודה Active findings יוצג הערך 0.

לעומת זאת, בדף Findings יכולות להופיע קטגוריות של ממצאים מכל סוג, אבל רק אם זוהתה בעיית אבטחה בקטגוריה הזו בסביבה שלכם בטווח התאריכים שציינתם.

מידע נוסף זמין בדפים הבאים:

איך משתמשים בפילטרים מוגדרים מראש לשאילתות

בדף Vulnerabilities, אתם יכולים לבחור שאילתות מוגדרות מראש, query presets, שמחזירות ממצאים שקשורים ליעדי אבטחה ספציפיים.

לדוגמה, אם אתם אחראים על ניהול הרשאות לתשתית ענן (CIEM) ב- Google Cloud, אתם יכולים לבחור את השאילתה המוגדרת מראש Identity and access misconfigurations כדי לראות את כל הממצאים שקשורים לחשבונות של חשבונות משתמשים שהוגדרו באופן שגוי, או שקיבלו הרשאות רגישות או הרשאות יתר.

אם המטרה שלכם היא להגביל את חשבונות המשתמשים רק להרשאות שהם באמת צריכים, אתם יכולים לבחור את השאילתה המוגדרת מראש IAM Recommender כדי להציג ממצאים משירות ההמלצות של IAM לגבי חשבונות משתמשים שיש להם יותר הרשאות ממה שהם צריכים.

כדי לבחור שאילתה מוגדרת מראש:

  1. נכנסים לדף Vulnerabilities הקודם:

    מעבר לדף Vulnerabilities

  2. בקטע Query presets, לוחצים על אחד מהבוררים של השאילתות.

    התצוגה תתעדכן כך שיופיעו רק קטגוריות נקודות החולשה שצוינו בשאילתה.

צפייה בממצאי נקודות חולשה לפי פרויקט

כדי לראות את ממצאי נקודות החולשה לפי פרויקט בדף Vulnerabilities הקודם במסוף Google Cloud :

  1. נכנסים לדף Vulnerabilities הקודם במסוף Google Cloud .

    מעבר לדף Vulnerabilities

  2. בבורר הפרויקטים שבחלק העליון של הדף, בוחרים את הפרויקט שבו רוצים לראות את ממצאי נקודות החולשה.

בדף Vulnerabilities מוצגים ממצאים רק לגבי הפרויקט שבחרתם.

לחלופין, אם תצוגת המסוף מוגדרת לארגון, תוכלו לסנן את ממצאי נקודות החולשה לפי מזהה פרויקט אחד או יותר באמצעות מסננים מהירים בדף Findings.

צפייה בממצאי פגיעויות לפי קטגוריית ממצאים

כדי לראות את ממצאי נקודות החולשה לפי קטגוריה:

  1. נכנסים לדף Vulnerabilities הקודם במסוף Google Cloud .

    מעבר לדף Vulnerabilities

  2. בבורר הפרויקטים, בוחרים את הארגון, התיקייה או הפרויקט.

  3. בעמודה Category, בוחרים את סוג הממצא שרוצים להציג את הממצאים שלו.

הדף Findings נטען ומוצגת בו רשימה של ממצאים שתואמים לסוג שבחרתם.

מידע נוסף על קטגוריות של ממצאים זמין במאמר ממצאים של נקודות חולשה.

צפייה בממצאים לפי סוג הנכס

כדי לראות את ממצאי נקודות החולשה של סוג נכס ספציפי:

  1. נכנסים לדף Findings של Security Command Center במסוף Google Cloud .

    כניסה לדף Findings

  2. בבורר הפרויקטים, בוחרים את הארגון, התיקייה או הפרויקט.

  3. בחלונית Quick filters, בוחרים את האפשרויות הבאות:

    • בקטע Finding class, בוחרים באפשרויות Vulnerability ו-Misconfiguration.
    • אופציונלי: בקטע Project ID, בוחרים את מזהה הפרויקט שבו רוצים לראות את הנכסים.
    • בקטע Resource type, בוחרים את סוג המשאב שרוצים לראות.

רשימת הממצאים בחלונית Findings query results מתעדכנת ומוצגים רק הממצאים שתואמים לבחירות שלכם.

צפייה בממצאי נקודות החולשה לפי ציון החשיפה להתקפה

ממצאי פגיעויות שמוגדרים כבעלי ערך גבוה ונתמכים על ידי סימולציות של מסלולי התקפה מקבלים ציון חשיפה להתקפה. אפשר לסנן את הממצאים לפי הניקוד הזה.

כדי לראות את ממצאי נקודות החולשה לפי ציון החשיפה להתקפות:

  1. נכנסים לדף Findings של Security Command Center במסוף Google Cloud .

    כניסה לדף Findings

  2. בבורר הפרויקטים, בוחרים את הארגון, התיקייה או הפרויקט.

  3. משמאל לחלונית Query preview, לוחצים על Edit query.

  4. בחלק העליון של החלונית עורך השאילתות, לוחצים על Add filter.

  5. בתיבת הדו-שיח Select filter:

  6. בוחרים באפשרות Attack exposure ומזינים ערך ניקוד בשדה Attack exposure greater than.

  7. לוחצים על אישור.

    הצהרת הסינון תתווסף לשאילתה, והממצאים בחלונית Findings query results יעודכנו כך שיוצגו רק ממצאים עם ציון חשיפה להתקפות שגבוה מהערך שצוין בהצהרת הסינון החדשה.

צפייה בממצאי נקודות חולשה לפי מזהה CVE

אפשר לראות את הממצאים לפי מזהה ה-CVE המתאים בדף Overview או בדף Findings.

  • בדף Overview, נכנסים ללוח הבקרה Vulnerabilities. למידע על החלוניות במרכז הבקרה, ראו הערכת סיכונים במבט חטוף.

  • בדף Findings אפשר לשלוח שאילתה על הממצאים לפי מזהה ה-CVE שלהם.

    כדי לשלוח שאילתה על ממצאי נקודות חולשה לפי מזהה CVE:

    1. נכנסים לדף Findings של Security Command Center במסוף Google Cloud .

      כניסה לדף Findings

    2. בבורר הפרויקטים, בוחרים את הארגון, התיקייה או הפרויקט.

    3. משמאל לשדה Query preview, לוחצים על Edit query.

    4. בעורך השאילתות, עורכים את השאילתה כך שתכלול את מזהה ה-CVE שמחפשים. לדוגמה:

    state="ACTIVE"
  AND NOT mute="MUTED"
  AND vulnerability.cve.id="CVE-2016-5195"

    תוצאות השאילתה של הממצאים מתעדכנות ומוצגים כל הממצאים הפעילים שלא הושתקו ומכילים את מזהה ה-CVE.

צפייה בממצאי נקודות החולשה לפי חומרה

כדי לראות את ממצאי נקודות החולשה לפי חומרה:

  1. נכנסים לדף Findings של Security Command Center במסוף Google Cloud .

    כניסה לדף Findings

  2. בבורר הפרויקטים, בוחרים את הארגון, התיקייה או הפרויקט.

  3. בחלונית Quick filters, עוברים לקטע Finding class ובוחרים באפשרויות Vulnerability ו-Misconfiguration.

    הממצאים המוצגים מתעדכנים כך שיוצגו רק ממצאים מהסוגים Vulnerability ו-Misconfiguration.

  4. גם בחלונית Quick filters, עוברים לקטע Severity ובוחרים את רמות החומרה של הממצאים שרוצים לראות.

    בדף יוצגו רק ממצאים ברמות החומרה שנבחרו.

הצגת קטגוריות של ממצאים לפי מספר הממצאים הפעילים

כדי להציג את קטגוריות הממצאים לפי מספר הממצאים הפעילים שהן מכילות, אתם יכולים להשתמש במסוף Google Cloud או בפקודות של Google Cloud CLI.

המסוף

כדי לראות את קטגוריות הממצאים לפי מספר הממצאים הפעילים שהן מכילות בדף Vulnerabilities הקודם, אתם יכולים למיין את הקטגוריות לפי העמודה Active findings או לסנן את הקטגוריות לפי מספר הממצאים הפעילים שכל אחת מהן מכילה.

כדי לסנן את הקטגוריות של ממצאי החולשות לפי מספר הממצאים הפעילים שהן מכילות:

  1. פותחים את הדף הקודם Vulnerabilities במסוף Google Cloud :

    מעבר לדף Vulnerabilities

  2. בבורר הפרויקטים, בוחרים את הארגון, התיקייה או הפרויקט.

  3. מציבים את הסמן בשדה הסינון כדי להציג רשימה של מסננים.

  4. ברשימת המסננים, בוחרים באפשרות ממצאים פעילים. מוצגת רשימה של אופרטורים לוגיים.

  5. בוחרים אופרטור לוגי לשימוש במסנן, למשל >=.

  6. מקלידים מספר ולוחצים על Enter.

התצוגה תתעדכן כך שיוצגו רק קטגוריות של נקודות חולשה שמכילות מספר ממצאים פעילים שתואמים למסנן.

gcloud

כדי להשתמש ב-CLI של gcloud כדי לקבל את מספר הממצאים הפעילים, קודם שולחים שאילתה ל-Security Command Center כדי לקבל את מזהה המקור של שירות פגיעויות, ואז משתמשים במזהה המקור כדי לשלוח שאילתה על מספר הממצאים הפעילים.

שלב 1: מקבלים את מזהה המקור

כדי להשלים את השלב הזה, צריך לקבל את מזהה הארגון ואז את מזהה המקור של אחד מהשירותים לזיהוי נקודות חולשה, שנקראים גם מקורות הממצאים. אם עדיין לא הפעלתם את Security Command Center API, תתבקשו להפעיל אותו.

  1. כדי לקבל את מזהה הארגון, מריצים את הפקודה gcloud organizations list ורושמים את המספר שמופיע לצד שם הארגון.

  2. כדי לקבל את מזהה המקור של Security Health Analytics, מריצים את הפקודה:

    gcloud scc sources describe organizations/ORGANIZATION_ID \
  --source-display-name='SOURCE_DISPLAY_NAME'

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫ORGANIZATION_ID: מזהה הארגון. צריך מזהה ארגון, בלי קשר לרמת ההפעלה של Security Command Center.
    • ‫SOURCE_DISPLAY_NAME: השם המוצג של השירות לזיהוי נקודות חולשה שאת הממצאים שלו רוצים להציג. לדוגמה, Security Health Analytics.

  3. אם מוצגת בקשה, מפעילים את Security Command Center API ואז מריצים שוב את הפקודה הקודמת כדי לקבל את מזהה המקור.

הפלט של הפקודה לקבלת מזהה המקור אמור להיראות כך:

description: Scans for deviations from a Google Cloud
security baseline.
displayName: Security Health Analytics
name: organizations/ORGANIZATION_ID/sources/SOURCE_ID

שימו לב ל-SOURCE_ID, כי תצטרכו להשתמש בו בשלב הבא.

שלב 2: קבלת מספר הממצאים הפעילים

כדי לסנן את הממצאים, משתמשים ב-SOURCE_ID שציינתם בשלב הקודם. פקודת ה-CLI הבאה של gcloud מחזירה את מספר הממצאים לפי קטגוריה:

gcloud scc findings group organizations/ORGANIZATION_ID/sources/SOURCE_ID \
  --group-by=category --page-size=PAGE_SIZE

אפשר להגדיר את גודל הדף לכל ערך עד 1,000. הפקודה אמורה להציג פלט כמו זה שבהמשך, עם תוצאות מהארגון או מהפרויקט הספציפיים שלכם:

  groupByResults:
  - count: '1'
    properties:
      category: MFA_NOT_ENFORCED
  - count: '3'
    properties:
      category: ADMIN_SERVICE_ACCOUNT
  - count: '2'
    properties:
      category: API_KEY_APIS_UNRESTRICTED
  - count: '1'
    properties:
      category: API_KEY_APPS_UNRESTRICTED
  - count: '2'
    properties:
      category: API_KEY_EXISTS
  - count: '10'
    properties:
      category: AUDIT_CONFIG_NOT_MONITORED
  - count: '10'
    properties:
      category: AUDIT_LOGGING_DISABLED
  - count: '1'
    properties:
      category: AUTO_UPGRADE_DISABLED
  - count: '10'
    properties:
      category: BUCKET_IAM_NOT_MONITORED
  - count: '10'
    properties:
      category: BUCKET_LOGGING_DISABLED
  nextPageToken: token
        readTime: '2019-08-05T21:56:13.862Z'
        totalSize: 50