Security Command Center und Erkennungsdienste verwalten Ergebnisse in den folgenden Phasen:
- Erkennung: Erkennungsdienste scannen Ihre Umgebung, um potenzielle Sicherheitsprobleme wie Sicherheitslücken, Fehlkonfigurationen oder Bedrohungen zu identifizieren und Ergebnisse zu generieren.
- Voruntersuchung und Behebung: Sie untersuchen die Ursache
und beheben das zugrunde liegende Problem. Nachdem Sie das Problem behoben haben, können Sie den Ergebnisstatus manuell in
INACTIVEändern. Alternativ kann der Erkennungsdienst den Ergebnisstatus automatisch aufINACTIVEsetzen. - Ausblenden: Um während einer Untersuchung weniger Benachrichtigungen zu erhalten, können Sie optional den Status „Ausblenden“ für ein oder mehrere Ergebnisse festlegen, um sie aus Standard-Dashboards und Benachrichtigungs-Workflows herauszufiltern.
- Aufbewahrung: Security Command Center speichert Ergebnisse und Snapshots gemäß den Richtlinien zur Datenaufbewahrung.
Erkennung
Ein Erkennungsdienst
identifiziert eine Sicherheitsbedingung und erstellt ein Ergebnis in Security Command Center.
Basierend auf der Bedingung definiert der Dienst die
Ergebnisklasse. Wenn der Erkennungsdienst keine Klasse angibt, ist die Ergebnisklasse Finding class unspecified.
Wenn ein Erkennungsdienst zum ersten Mal ein Ergebnis generiert, wird der
Ergebnisstatus
auf ACTIVE mit den folgenden Eigenschaften gesetzt:
- Ereigniszeit (
event_time): Datum und Uhrzeit, zu der der Dienst das Ergebnis zum ersten Mal erkannt oder die Informationen im Ergebnis zuletzt aktualisiert hat. Um zu viele Benachrichtigungen zu vermeiden, aktualisiert ein Dienstevent_timemöglicherweise nur, wenn es bedeutende Änderungen an der Bedingung gibt, die das Ergebnis verursacht hat, z. B. wenn derstateinINACTIVEgeändert wird. - Erstellungszeit (
create_time): Datum und Uhrzeit, zu der der Erkennungsdienst den Ergebnisdatensatz in Security Command Center erstellt hat.
Security Command Center legt die Eigenschaft create_time automatisch fest und Sie können sie nicht manuell ändern. Der Erkennungsdienst legt die Eigenschaft event_time anfänglich fest und aktualisiert den Wert dann möglicherweise, wenn es eine bedeutende Änderung an den Informationen zum Ergebnis gibt.
Voruntersuchung und Behebung
Wenn Sie angeben möchten, dass Sie ein Ergebnis behoben haben, können Sie den state des Ergebnisses manuell auf INACTIVE setzen.
Einige Erkennungsdienste ändern
das Ergebnis state automatisch. Sowohl der Ergebnistyp als auch das Verhalten des
Erkennungsdienstes bestimmen, ob der Dienst den Ergebnis
status automatisch auf ACTIVE oder INACTIVE setzt.
Wenn Sie ein Ergebnis state manuell in INACTIVE ändern und der Erkennungsdienst
den Status verwaltet, wird der Wert möglicherweise wieder auf ACTIVE gesetzt, bis erkannt wird
, dass die Bedingung, die das Ergebnis verursacht hat, behoben wurde.
In den folgenden Abschnitten wird erläutert, wann ein Erkennungsdienst die Ergebniseigenschaften automatisch ändern kann.
Ergebnisse zu Sicherheitslücken und Fehlkonfigurationen
Die Informationen in diesem Abschnitt beschreiben die Eigenschaften eines Ergebnisses, die Sie bei der Untersuchung von Ergebnissen zu Sicherheitslücken und Fehlkonfigurationen auswerten können.
Aktualisierungen der Eigenschaft event_time
Die event_time gibt an, wann der Dienst die Bedingung zum ersten Mal erkannt oder die Informationen zur Bedingung zuletzt aktualisiert hat.
Bei einem Ergebnis zu einer Sicherheitslücke oder Fehlkonfiguration kann ein Erkennungsdienst den Wert event_time aktualisieren, wenn er eine Änderung an der Bedingung erkennt, die das Ergebnis verursacht hat, und auch andere Ergebnis-Felder aktualisiert. Erkennungsdienste aktualisieren event_time möglicherweise nicht bei jedem Scan.
Da Erkennungsdienste event_time möglicherweise nicht bei jedem Scan aktualisieren, stimmt der Zeitraum des aktiven Status möglicherweise nicht mit der event_time des Ergebnisses in Security Command Center überein, wenn ein Erkennungsdienst den state eines Ergebnisses nach einem bestimmten Zeitraum des aktiven Status in INACTIVE ändert.
Einige Änderungen an einem Ergebnis, z. B. das
Ausblenden eines Ergebnisses und das
Kommentieren eines Ergebnisses mit Sicherheitsmarkierungen
ändern die Eigenschaft event_time des Ergebnisses nicht.
Security Command Center aktualisiert den Wert event_time automatisch alle 30 Tage, wenn keine Änderung erfolgt ist, damit das Ergebnis von Abfragen nach aktuellen ACTIVE-Ergebnissen zurückgegeben wird.
Aktualisierungen der Eigenschaft state
Sie haben folgende Möglichkeiten, Sicherheitslücken und Fehlkonfigurationen zu beheben:
- Beheben Sie die Bedingung, die das Ergebnis verursacht hat. Schließen Sie beispielsweise einen offenen Firewallport, beschränken Sie den Zugriff auf die Ressource oder wenden Sie einen Patch an.
- Löschen Sie die betroffene Ressource.
Wenn der Dienst feststellt, dass das Problem nicht mehr vorhanden ist oder dass die Ressource nicht
mehr vorhanden ist, ändert er den Ergebnisstatus
automatisch von ACTIVE in INACTIVE.
Wie lange es dauert, bis ein Dienst den Ergebnisstatus aktualisiert, hängt von mehreren Faktoren ab, darunter:
- Die Häufigkeit der Dienstscans. Jeder Dienst wird in unterschiedlichen Intervallen gescannt. Informationen zu den Scanintervallen der Dienste finden Sie unter Wann sind Ergebnisse in Security Command Center zu erwarten?.
- Die Zeit, die Sie benötigen, um eine Ressource endgültig zu löschen. Projekte verbleiben beispielsweise vor dem endgültigen Löschen in einem Wiederherstellungszeitraum. Weitere Informationen finden Sie unter siehe Projekt löschen. Ein Dienst erkennt möglicherweise erst, dass Sie eine Ressource gelöscht haben, wenn die Löschung endgültig ist.
Die Zeit, die Cloud Asset Inventory benötigt, um eine Ressource zu aktualisieren. Je nach Ressourcentyp, kann es einige Zeit dauern, bis die Informationen zur Ressource aktualisiert werden.
Aktualisierungen von Microsoft Azure- oder AWS-Ressourcen können länger dauern als Aktualisierungen von Google Cloud Ressourcen. Weitere Informationen finden Sie unter:
Ein bestimmtes Zeitfenster, in dem ein Ergebnis
ACTIVEbleibt. Einige Dienste, z. B. die Sicherheitslückenbewertung für Google Cloud und die Sicherheitslückenbewertung für Artifact Registry, behalten ein Ergebnis für ein bestimmtes Zeitfenster im StatusACTIVEbei.
Informationen dazu, wie ein bestimmter Erkennungsdienst Ergebnisstatus verwaltet, finden Sie in der Dokumentation des jeweiligen Dienstes.
Gefundene Bedrohungen
Ein Ergebnis zu einer Bedrohung identifiziert verdächtige Aktivitäten in Ihrer Google Cloud Umgebung.
Sie untersuchen Ergebnisse zu Bedrohungen, ermitteln eine geeignete Methode zur Behebung der Bedingung und ändern dann den Ergebnisstatus manuell in INACTIVE.
Dienste zur Bedrohungserkennung setzen den Status eines Ergebnisses zu einer Bedrohung nicht automatisch auf INACTIVE. Weitere Informationen finden Sie unter
Ansatz zur Behebung von Ergebnissen zu Bedrohungen.
Ergebnisse zu schädlichen Kombinationen und Engstellen
Die Risk Engine erstellt Ergebnisse zu schädlichen Kombinationen und Engstellen bei regelmäßigen Angriffspfadsimulationen. Eine schädliche Kombination identifiziert eine Reihe von sicherheitsrelevanten Bedingungen, die zu einem Zugriff auf eine hochwertige Ressource führen könnten. Eine Engstelle identifiziert eine Ressource, an der mehrere Angriffspfade zusammenlaufen.
Weitere Informationen zum Ändern eines Ergebnisses in INACTIVE finden Sie unter
Schädliche Kombinationen und Engstellen beheben.
Ergebnisse zu Richtlinienverstößen
Ergebnisse zu Richtlinienverstößen identifizieren Ressourcenkonfigurationen, die nicht mit dem Sicherheitsstatus Ihrer Organisation übereinstimmen.
Informationen zum Ändern des Ergebnisstatus finden Sie in der dienstspezifischen Dokumentation:
Informationen zum Dienst für den Sicherheitsstatus finden Sie unter Ergebnisse zum Sicherheitsstatus beheben.
Informationen zum Compliance Manager finden Sie unter Frameworks auf Compliance überwachen.
Fehlerergebnisse
Fehlerergebnisse
identifizieren Probleme mit der Konfiguration Ihrer Security Command Center
Umgebung. Konfigurationsprobleme verhindern
Erkennungsdienste
, dass Ergebnisse generiert werden. Security Command Center ändert Fehlerergebnisse automatisch in INACTIVE, wenn es feststellt, dass das Konfigurationsproblem nicht mehr vorhanden ist.
Probleme
Die Risk Engine erstellt Probleme, um Sicherheitsrisiken in Ihrer Google Cloud Umgebung zu identifizieren.
Informationen zum Lebenszyklus der folgenden Problemtypen finden Sie im jeweiligen Dokument:
- Informationen zu Problemen mit korrelierten Bedrohungen finden Sie im Abschnitt Lebenszyklus von Problemen unter "Übersicht über korrelierte Bedrohungen".
- Informationen zu Problemen mit schädlichen Kombinationen und Engstellen finden Sie im Abschnitt Lebenszyklus von Problemen unter "Übersicht über Probleme".
Ergebnisse ausblenden
Sie können die Anzahl der Ergebnisse, die Sie überprüfen, reduzieren, indem Sie einige Ergebnisse ausblenden. Dadurch werden die Ergebnisse aus Standard-Dashboards und der Standardabfrage für Ergebnisse ausgeblendet. Ausgeblendete Ergebnisse sind weiterhin in Security Command Center verfügbar und Sie können sie abfragen.
Der Status „Ausblenden“
eines Ergebnisses (MUTED oder UNMUTED) ist unabhängig vom
Ergebnisstatus.
Sie können ein Ergebnis ausblenden, das auch den Status ACTIVE hat.
SCC error-Ergebnisse können nicht ausgeblendet werden.
Weitere Informationen zum Erstellen von Regeln zum Ausblenden finden Sie unter Ergebnisse in Security Command Center ausblenden.
Informationen dazu, wie sich das Ausblenden eines Ergebnisses auf schädliche Kombinationen und Engstellen auswirkt, finden Sie unter Ergebnisse mit Angriffsrisikobewertungen.
Aufbewahrung von Ergebnissen
Security Command Center bewahrt Ergebnisse und Snapshots für einen bestimmten Zeitraum auf, der von der Ergebnisklasse, dem Status und der Dienststufe abhängt.
Weitere Informationen zu Richtlinien zur Datenaufbewahrung und ‑löschung für verschiedene Ressourcen finden Sie unter Daten- und Infrastruktursicherheit – Übersicht.