Security Command Center ti consente di visualizzare e filtrare i risultati di Vulnerability e Misconfiguration in modo da poter dare la priorità ai problemi ad alto rischio e applicare i passaggi di correzione.
Nella console Google Cloud puoi esaminare questi risultati utilizzando i preset delle query o filtrando per progetto, categoria, tipo di asset, punteggio di esposizione agli attacchi, ID CVE o gravità. Puoi anche visualizzare le categorie di risultati in base al numero di risultati attivi nella console Google Cloud o utilizzando Google Cloud CLI.
Confronto tra la pagina Vulnerabilità e la pagina Risultati
Le opzioni di filtro nella pagina Vulnerabilità sono limitate rispetto alle opzioni di filtro e query disponibili nella pagina Risultati.
La pagina Vulnerabilità mostra tutte le categorie di risultati nelle classi di risultati Vulnerability e Misconfiguration, insieme al numero attuale di risultati attivi in ogni categoria e agli standard di conformità a cui è mappata ogni categoria di risultati. Se non sono presenti risultati attivi in una determinata categoria, la colonna Risultati attivi mostra 0.
Al contrario, la pagina Risultati può mostrare le categorie di risultati di qualsiasi classe, ma mostra una categoria di risultati solo se è stato rilevato un problema di sicurezza in quella categoria nel tuo ambiente entro l'intervallo di tempo specificato.
Per saperne di più, consulta le pagine seguenti:
Applica i preset query
Nella pagina Vulnerabilità, puoi selezionare query predefinite, preset di query, che restituiscono risultati correlati a obiettivi di sicurezza specifici.
Ad esempio, se la tua responsabilità è la gestione dei diritti dell'infrastruttura cloud (CIEM) per Google Cloud, puoi selezionare il preset di query Errori di configurazione di identità e accesso per visualizzare tutti i risultati relativi agli account principal configurati in modo errato o a cui sono state concesse autorizzazioni sensibili o eccessive.
In alternativa, se il tuo obiettivo è limitare le entità solo alle autorizzazioni di cui hanno effettivamente bisogno, puoi selezionare la query preimpostata Motore per suggerimenti IAM per mostrare i risultati del motore per suggerimenti IAM per le entità che hanno più autorizzazioni di quelle necessarie.
Per selezionare una query preimpostata:
Vai alla pagina Vulnerabilità precedente:
Nella sezione Preset di query, fai clic su uno dei selettori di query.
La visualizzazione si aggiorna per mostrare solo le categorie di vulnerabilità specificate nella query.
Visualizzazione delle vulnerabilità rilevate per progetto
Per visualizzare i risultati delle vulnerabilità per progetto nella pagina Vulnerabilità precedente nella console Google Cloud , segui questi passaggi:
Vai alla pagina Vulnerabilità legacy nella console Google Cloud .
Nel selettore di progetti nella parte superiore della pagina, seleziona il progetto per il quale vuoi visualizzare i risultati delle vulnerabilità.
La pagina Vulnerabilità mostra i risultati solo per il progetto che hai selezionato.
In alternativa, se la visualizzazione della console è impostata sulla tua organizzazione, puoi filtrare i risultati delle vulnerabilità in base a uno o più ID progetto utilizzando i Filtri rapidi nella pagina Risultati.
Visualizzazione dei risultati relativi alle vulnerabilità per categoria di risultati
Per visualizzare i risultati delle vulnerabilità per categoria, segui questi passaggi:
Vai alla pagina Vulnerabilità legacy nella console Google Cloud .
Nel selettore di progetti, seleziona l'organizzazione, la cartella o il progetto.
Nella colonna Categoria, seleziona il tipo di risultato per cui vuoi visualizzare i risultati.
La pagina Risultati si carica e visualizza un elenco di risultati che corrispondono al tipo selezionato.
Per saperne di più sulle categorie di risultati, consulta Risultati delle vulnerabilità.
Visualizzazione dei risultati per tipo di asset
Per visualizzare i risultati relativi alle vulnerabilità per un tipo di asset specifico, segui questi passaggi:
Vai alla pagina Risultati di Security Command Center nella console Google Cloud .
Nel selettore di progetti, seleziona l'organizzazione, la cartella o il progetto.
Nel riquadro Filtri rapidi, seleziona quanto segue:
- Nella sezione Classe di risultati, seleziona sia Vulnerabilità sia Configurazione errata.
- (Facoltativo) Nella sezione ID progetto, seleziona l'ID del progetto in cui visualizzare gli asset.
- Nella sezione Tipo di risorsa, seleziona il tipo di risorsa che devi visualizzare.
L'elenco dei risultati nel riquadro Risultati delle query sui risultati si aggiorna per visualizzare solo i risultati che corrispondono alle tue selezioni.
Visualizzazione dei risultati delle vulnerabilità in base al punteggio di esposizione agli attacchi
Ai risultati delle vulnerabilità designati come di alto valore e supportati dalle simulazioni del percorso di attacco viene assegnato un punteggio di esposizione agli attacchi. Puoi filtrare i risultati in base a questo punteggio.
Per visualizzare i risultati delle vulnerabilità in base al punteggio di esposizione agli attacchi, segui questi passaggi:
Vai alla pagina Risultati di Security Command Center nella console Google Cloud .
Nel selettore di progetti, seleziona l'organizzazione, la cartella o il progetto.
A destra del riquadro Anteprima della query, fai clic su Modifica query.
Nella parte superiore del riquadro Editor di query, fai clic su Aggiungi filtro.
Nella finestra di dialogo Seleziona filtro, segui questi passaggi:
Seleziona Esposizione agli attacchi, quindi inserisci un valore di punteggio nel campo Esposizione agli attacchi maggiore di.
Fai clic su Applica.
L'istruzione di filtro viene aggiunta alla query e i risultati nel riquadro Risultati delle query sui risultati vengono aggiornati per mostrare solo i risultati con un punteggio di esposizione agli attacchi superiore al valore specificato nella nuova istruzione di filtro.
Visualizzazione dei risultati delle vulnerabilità per ID CVE
Puoi visualizzare i risultati in base all'ID CVE corrispondente nella pagina Panoramica o nella pagina Risultati.
Nella pagina Panoramica, vai alla dashboard Vulnerabilità. Per informazioni sui riquadri della dashboard, consulta Valuta il rischio a colpo d'occhio.
Nella pagina Risultati, puoi eseguire query sui risultati in base al relativo ID CVE.
Per eseguire query sui risultati delle vulnerabilità in base all'ID CVE, segui questi passaggi:
Vai alla pagina Risultati di Security Command Center nella console Google Cloud .
Nel selettore di progetti, seleziona l'organizzazione, la cartella o il progetto.
A destra nel campo Anteprima della query, fai clic su Modifica query.
Nell'editor di query, modifica la query in modo da includere l'ID CVE che stai cercando. Ad esempio:
state="ACTIVE" AND NOT mute="MUTED" AND vulnerability.cve.id="CVE-2016-5195"
I risultati delle query sui risultati vengono aggiornati per mostrare tutti i risultati attivi non disattivati che contengono l'ID CVE.
Visualizzazione dei risultati di vulnerabilità in base alla gravità
Per visualizzare i risultati delle vulnerabilità in base alla gravità:
Vai alla pagina Risultati di Security Command Center nella console Google Cloud .
Nel selettore di progetti, seleziona l'organizzazione, la cartella o il progetto.
Nel riquadro Filtri rapidi, vai alla sezione Classe di risultati e seleziona Vulnerabilità e Configurazione errata.
I risultati visualizzati vengono aggiornati per mostrare solo i risultati delle classi
VulnerabilityeMisconfiguration.Sempre nel riquadro Filtri rapidi, vai alla sezione Gravità e seleziona le gravità dei risultati che devi visualizzare.
La pagina mostra solo i risultati con le gravità selezionate.
Visualizzazione delle categorie di risultati in base al numero di risultati attivi
Per visualizzare le categorie di risultati in base al numero di risultati attivi che contengono, puoi utilizzare la console Google Cloud o i comandi di Google Cloud CLI.
Console
Per visualizzare le categorie di risultati in base al numero di risultati attivi che contengono nella pagina Vulnerabilità precedente, puoi ordinare le categorie in base alla colonna Risultati attivi o puoi filtrare le categorie in base al numero di risultati attivi contenuti in ciascuna.
Per filtrare le categorie di risultati delle vulnerabilità in base al numero di risultati attivi che contengono, segui questi passaggi:
Apri la pagina Vulnerabilità legacy nella console Google Cloud :
Nel selettore di progetti, seleziona l'organizzazione, la cartella o il progetto.
Posiziona il cursore nel campo del filtro per visualizzare un elenco di filtri.
Dall'elenco dei filtri, seleziona Risultati attivi. Viene visualizzato un elenco di operatori logici.
Seleziona un operatore logico da utilizzare nel filtro, ad esempio
>=.Digita un numero e premi Invio.
La visualizzazione viene aggiornata per mostrare solo le categorie di vulnerabilità che contengono un numero di risultati attivi corrispondente al filtro.
gcloud
Per utilizzare gcloud CLI per ottenere un conteggio di tutti i risultati attivi, devi prima eseguire una query su Security Command Center per ottenere l'ID origine di un servizio di vulnerabilità, quindi utilizzare l'ID origine per eseguire una query sul conteggio dei risultati attivi.
Passaggio 1: recupera l'ID origine
Per completare questo passaggio, recupera l'ID organizzazione, quindi recupera l'ID origine di uno dei servizi di rilevamento delle vulnerabilità, chiamati anche origini dei risultati. Se non hai ancora abilitato l'API Security Command Center, ti verrà chiesto di farlo.
- Recupera l'ID organizzazione eseguendo
gcloud organizations list, quindi prendi nota del numero accanto al nome dell'organizzazione. Recupera l'ID origine di Security Health Analytics eseguendo questo comando:
gcloud scc sources describe organizations/ORGANIZATION_ID \ --source-display-name='SOURCE_DISPLAY_NAME'
Sostituisci quanto segue:
ORGANIZATION_ID: l'ID della tua organizzazione. È richiesto un ID organizzazione, indipendentemente dal livello di attivazione di Security Command Center.SOURCE_DISPLAY_NAME: il nome visualizzato del servizio di rilevamento delle vulnerabilità per cui vuoi visualizzare i risultati. Ad esempio,Security Health Analytics.
Se richiesto, abilita l'API Security Command Center, quindi esegui il comando precedente per ottenere nuovamente l'ID origine.
Il comando per ottenere l'ID origine dovrebbe mostrare un output simile al seguente:
description: Scans for deviations from a Google Cloud
security baseline.
displayName: Security Health Analytics
name: organizations/ORGANIZATION_ID/sources/SOURCE_ID
Prendi nota del SOURCE_ID da utilizzare nel passaggio successivo.
Passaggio 2: ottieni il conteggio dei risultati attivi
Utilizza il SOURCE_ID che hai annotato nel passaggio precedente per filtrare i risultati. Il seguente comando gcloud CLI restituisce un conteggio dei risultati per categoria:
gcloud scc findings group organizations/ORGANIZATION_ID/sources/SOURCE_ID \
--group-by=category --page-size=PAGE_SIZE
Puoi impostare page-size su qualsiasi valore fino a 1000. Il comando dovrebbe visualizzare un output simile al seguente, con i risultati della tua organizzazione o del tuo progetto:
groupByResults:
- count: '1'
properties:
category: MFA_NOT_ENFORCED
- count: '3'
properties:
category: ADMIN_SERVICE_ACCOUNT
- count: '2'
properties:
category: API_KEY_APIS_UNRESTRICTED
- count: '1'
properties:
category: API_KEY_APPS_UNRESTRICTED
- count: '2'
properties:
category: API_KEY_EXISTS
- count: '10'
properties:
category: AUDIT_CONFIG_NOT_MONITORED
- count: '10'
properties:
category: AUDIT_LOGGING_DISABLED
- count: '1'
properties:
category: AUTO_UPGRADE_DISABLED
- count: '10'
properties:
category: BUCKET_IAM_NOT_MONITORED
- count: '10'
properties:
category: BUCKET_LOGGING_DISABLED
nextPageToken: token
readTime: '2019-08-05T21:56:13.862Z'
totalSize: 50