Reglas de detección predefinidas

Security Command Center proporciona reglas de detección integradas para identificar amenazas, vulnerabilidades y parámetros de configuración incorrectos en tu entorno de nube. En este documento, se describen las reglas predefinidas para el gráfico de seguridad y las amenazas correlacionadas.

Para obtener información sobre las reglas y los hallazgos de otros servicios integrados, consulta las reglas de Event Threat Detection y los hallazgos de VM Threat Detection.

Reglas del gráfico de seguridad predefinidas

El gráfico de seguridad usa nodos para identificar recursos de la nube, como activos, identidades, aplicaciones y datos. Los bordes del gráfico representan las relaciones de riesgo entre estos recursos según las reglas de detección. Cuando se descubre un riesgo de relación, el gráfico de seguridad genera un problema.

Security Command Center usa reglas de gráficos de seguridad predefinidas para identificar problemas que podrían comprometer tus recursos.

En la siguiente tabla, se definen estas reglas. Para obtener información sobre cómo investigar problemas, consulta Administra y soluciona problemas.

Regla Descripción
Instancia de GCE: CVE de alto riesgo, acceso a un recurso de alto valor a través de la suplantación de identidad de una SA Se detectó una CVE de alto riesgo en una instancia de Compute Engine que puede actuar como una cuenta de servicio (SA) con acceso a un recurso crítico. Esta vulnerabilidad aumenta el riesgo de elevación de privilegios y acceso no autorizado a datos o sistemas sensibles.
Instancia de GCE: CVE de alto riesgo, acceso al recurso con datos sensibles a través del uso de identidad de SA Una instancia de Compute Engine con una CVE de alto riesgo tiene acceso a un recurso que contiene datos sensibles con la identidad de una cuenta de servicio (SA). Esta vulnerabilidad aumenta el riesgo de acceso no autorizado a los datos, elevación de privilegios y posibles violaciones de la seguridad de los datos.
Instancia de GCE: CVE de alto riesgo, acceso directo a un recurso de alto valor Una instancia de Compute Engine con una CVE de alto riesgo tiene acceso directo a un recurso de alto valor, lo que aumenta la probabilidad de explotación, acceso no autorizado y vulneración de datos.
Instancia de GCE: CVE de alto riesgo, acceso directo al recurso con datos sensibles Una instancia de Compute Engine con un CVE de alto riesgo tiene acceso directo a un recurso que contiene datos sensibles. Esta vulnerabilidad aumenta el riesgo de acceso no autorizado, violaciones de la seguridad de los datos y elevación de privilegios.
Instancia de GCE expuesta externamente: CVE de alto riesgo, exploit disponible Una instancia de Compute Engine está expuesta de forma externa y se ve afectada por una CVE de alto riesgo con un exploit conocido. Esto aumenta significativamente el riesgo de ataques remotos, acceso no autorizado y vulneración del sistema.
Instancia de GCE: CVE de alto riesgo, capacidad de suplantar la identidad de una SA Una instancia de Compute Engine se ve afectada por una CVE de alto riesgo y tiene la capacidad de actuar en nombre de otra cuenta de servicio (SA). Esto aumenta significativamente el riesgo de elevación de privilegios, acceso no autorizado y posible vulneración de recursos de la nube críticos.
Instancia de GCE: CVE de alto riesgo, permisos directos excesivos Una instancia de Compute Engine con una CVE de alto riesgo tiene permisos excesivos directos en otro recurso, lo que aumenta el riesgo de acceso no autorizado, elevación de privilegios y vulneración de recursos.
Instancia de GCE: CVE de alto riesgo, permisos excesivos a través de la suplantación de identidad de SA Una instancia de Compute Engine con una CVE de alto riesgo tiene permisos excesivos en otro recurso a través de la suplantación de identidad de la cuenta de servicio (SA), lo que aumenta el riesgo de elevación de privilegios y acceso no autorizado.
Carga de trabajo de GKE expuesta externamente: CVE de alto riesgo, exploit disponible Una carga de trabajo de GKE está expuesta de forma externa y se ve afectada por una CVE de alto riesgo con un exploit conocido. Esto aumenta significativamente el riesgo de ataques remotos, acceso no autorizado y vulneración del sistema.
Grupo de nodos de GKE: Boletín de alto riesgo, acceso a recursos de alto valor a través de la suplantación de identidad de la SA Un grupo de nodos de GKE tiene la capacidad de actuar en nombre de una cuenta de servicio (SA) que otorga acceso a un recurso de alto valor. Esto aumenta el riesgo de elevación de privilegios, acceso no autorizado y vulneración de datos.
Grupo de nodos de GKE: Boletín de alto riesgo, acceso al recurso con datos sensibles a través de la suplantación de identidad de la SA Un grupo de nodos de GKE tiene la capacidad de actuar en nombre de una cuenta de servicio (SA) que otorga acceso a un recurso que contiene datos sensibles. Esto aumenta el riesgo de acceso no autorizado, violaciones de la seguridad de los datos y elevación de privilegios.
Grupo de nodos de GKE: Boletín de alto riesgo, acceso directo a un recurso de alto valor Un grupo de nodos de GKE tiene acceso directo a un recurso de alto valor, lo que aumenta el riesgo de acceso no autorizado, elevación de privilegios y posible vulneración de datos.
Grupo de nodos de GKE: Boletín de alto riesgo, acceso directo al recurso con datos sensibles Un grupo de nodos de GKE tiene acceso directo a un recurso que contiene datos sensibles, lo que aumenta el riesgo de acceso no autorizado, violaciones de la seguridad de los datos y elevación de privilegios.
Grupo de nodos de GKE expuesto externamente: Boletín de alto riesgo Un grupo de nodos de GKE está expuesto de forma externa y se ve afectado por una CVE de alto riesgo. Esto aumenta significativamente el riesgo de ataques remotos, acceso no autorizado y vulneración del sistema.
Grupo de nodos de GKE: Boletín de alto riesgo, capacidad de usar la identidad de una cuenta de servicio Hay un boletín de alto riesgo en un grupo de nodos de GKE que tiene permisos para actuar en nombre de otra cuenta de servicio (SA), lo que aumenta el riesgo de elevación de privilegios y acceso no autorizado a recursos críticos.
Grupo de nodos de GKE: Boletín de alto riesgo, permisos directos excesivos Hay un boletín de alto riesgo en un grupo de nodos de GKE que tiene permisos excesivos en otro recurso, lo que le otorga acceso no deseado. Esto aumenta el riesgo de elevación de privilegios, acceso no autorizado y exposición de datos.
Grupo de nodos de GKE: Boletín de alto riesgo, permisos excesivos a través de la suplantación de identidad de la SA Hay un boletín de alto riesgo en un grupo de nodos de GKE que tiene permisos excesivos en otro recurso a través de la identidad temporal de la cuenta de servicio (SA), lo que aumenta el riesgo de elevación de privilegios y acceso no autorizado.
La cuenta de servicio con clave sin rotar tiene permisos excesivos Una cuenta de servicio usa una clave de larga duración que no se rota con permisos excesivos, lo que aumenta el riesgo de vulneración de credenciales, acceso no autorizado y elevación de privilegios.
La cuenta de servicio con clave administrada por el usuario tiene permisos excesivos Una cuenta de servicio con claves administradas por el usuario y permisos excesivos, lo que aumenta el riesgo de filtración de credenciales y elevación de privilegios.
Carga de trabajo de GKE expuesta externamente vulnerable a CVE-2025-49844 (exploit disponible, ejecución remota de código crítica en Redis) Identifica las cargas de trabajo de GKE expuestas de forma externa que ejecutan Redis y que son vulnerables a la CVE-2025-49844, una falla crítica de ejecución de código remoto con un exploit conocido.
Instancia de GCE expuesta externamente vulnerable a CVE-2025-49844 (exploit disponible, ejecución remota de código crítica en Redis) Identifica las instancias de GCE expuestas externamente que ejecutan Redis y que son vulnerables a la CVE-2025-49844, una falla crítica de ejecución remota de código con un exploit conocido.
Carga de trabajo de GKE expuesta externamente vulnerable a CVE-2025-32433 (RCE crítica en Erlang SSH) Identifica las cargas de trabajo de GKE expuestas de forma externa que ejecutan Erlang SSH y que son vulnerables a la CVE-2025-32433, una falla crítica de ejecución remota de código que los atacantes aprovechan de forma activa.
Instancia de GCE expuesta externamente vulnerable a CVE-2025-32433 (RCE crítica en Erlang SSH) Identifica las instancias de GCE expuestas de forma externa que ejecutan Erlang SSH y que son vulnerables a CVE-2025-32433, una falla crítica de ejecución remota de código que los atacantes aprovechan de forma activa.
Carga de trabajo de GKE expuesta externamente vulnerable a CVE-2023-46604 (RCE crítica en Apache ActiveMQ, explotada de forma activa) Identifica las cargas de trabajo de GKE expuestas de forma externa que ejecutan Apache ActiveMQ y que son vulnerables a CVE-2023-46604, una falla crítica de ejecución remota de código en el protocolo OpenWire que los atacantes aprovechan de forma activa.
Instancia de GCE expuesta externamente vulnerable a CVE-2023-46604 (RCE crítica en Apache ActiveMQ, explotada de forma generalizada) Identifica las instancias de GCE expuestas de forma externa que ejecutan Apache ActiveMQ vulnerables a CVE-2023-46604, una falla crítica de ejecución de código remoto en el protocolo OpenWire que los atacantes aprovechan de forma activa.
Instancia de GCE vulnerable a CVE-2025-32463 (Sudo) con exploit conocido Identifica las instancias de GCE vulnerables a CVE-2025-32463, una falla de elevación de privilegios local en Sudo con un exploit conocido.
Instancia de GCE vulnerable a la CVE crítica de Nvidia Container Toolkit (CVE-2025-23266) Identifica las instancias de GCE que usan cargas de trabajo de GPU vulnerables a la CVE-2025-23266, una falla crítica de elevación de privilegios en NVIDIA Container Toolkit.
Instancia de GCE expuesta externamente vulnerable a CVE-2025-59287 de alto riesgo (aprovechada de forma activa, ejecución remota de código crítica en WSUS) Identifica las instancias de GCE expuestas de forma externa que ejecutan Windows WSUS y que son vulnerables a CVE-2025-59287, una falla crítica de ejecución remota de código que los atacantes aprovechan de forma activa.
Vertex AI Workbench: CVE de alto riesgo Se detectó una CVE de alto riesgo en una instancia de Gemini Enterprise Agent Platform Workbench. Esta vulnerabilidad aumenta el riesgo de acceso no autorizado al entorno de desarrollo, lo que podría exponer los datos de entrenamiento y el código fuente del modelo a la robo de datos.
Vertex AI Workbench: CVE de alto riesgo, permisos excesivos Una instancia de Vertex AI Workbench con una CVE de alto riesgo usa una cuenta de servicio con privilegios excesivos. Esta combinación permite que los atacantes aprovechen la vulnerabilidad para aumentar los privilegios y vulnerar otros recursos de la nube.
Agent Runtime: CVE de alto riesgo, identidad de SA con acceso a un recurso de alto valor a través de la suplantación de identidad de SA Se detectó una CVE de alto riesgo en un agente de IA implementado en Agent Runtime que puede actuar en nombre de una cuenta de servicio con acceso a un recurso crítico. Esta vulnerabilidad aumenta el riesgo de elevación de privilegios y acceso no autorizado a sistemas o datos sensibles.
Agent Runtime: CVE de alto riesgo, identidad de SA con acceso al recurso con datos sensibles a través del uso de identidad de SA Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene acceso a un recurso que contiene datos sensibles a través de la suplantación de identidad de una cuenta de servicio (SA). Esta vulnerabilidad aumenta el riesgo de acceso no autorizado a los datos, la elevación de privilegios y las posibles violaciones de la seguridad de los datos.
Agent Runtime: CVE de alto riesgo, identidad de SA con acceso directo a un recurso de alto valor Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene acceso directo a un recurso de alto valor, lo que aumenta la probabilidad de explotación, acceso no autorizado y vulneración de datos.
Agent Runtime: CVE de alto riesgo, identidad de SA con acceso directo al recurso con datos sensibles Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene acceso directo a un recurso que contiene datos sensibles. Esta vulnerabilidad aumenta el riesgo de acceso no autorizado, violaciones de la seguridad de los datos y elevación de privilegios.
Agent Runtime: CVE de alto riesgo, identidad de cuenta de servicio con permisos directos excesivos Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene permisos excesivos directos en otro recurso, lo que aumenta el riesgo de acceso no autorizado, elevación de privilegios y vulneración de recursos.
Agent Runtime: CVE de alto riesgo, identidad de SA con permisos excesivos a través de la suplantación de identidad de SA Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene permisos excesivos en otro recurso a través de la suplantación de identidad de la cuenta de servicio (SA), lo que aumenta el riesgo de elevación de privilegios y acceso no autorizado.
Agent Runtime: CVE de alto riesgo, identidad de cuenta de servicio con capacidad de usar la identidad de la cuenta de servicio Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene la capacidad de actuar en nombre de otra cuenta de servicio. Esto aumenta significativamente el riesgo de elevación de privilegios, acceso no autorizado y posible vulneración de recursos de la nube críticos.
Bucket de Cloud Storage: Es un bucket expuesto públicamente que se usa para la implementación de Agent Runtime Se usó un bucket de Cloud Storage expuesto públicamente para implementar el agente de IA en Agent Runtime. Esto aumenta el riesgo de filtración de código del agente y de envenenamiento del agente.

Reglas de amenazas correlacionadas

Las amenazas correlacionadas ayudan a identificar varios patrones de ataque de varias etapas en los recursos de la nube. En la siguiente tabla, se definen las reglas de amenazas correlacionadas disponibles.

Regla Descripción
Múltiples indicadores de amenazas correlacionados de software de minería de criptomonedas Busca varios indicadores distintos de software malicioso que provengan de máquinas virtuales de Google Cloud , incluidas las VMs de Compute Engine y los nodos de Google Kubernetes Engine (GKE) (y sus Pods).

Algunos ejemplos son los siguientes:

  • VM Threat Detection detecta un programa de criptomonedas y Event Threat Detection detecta conexiones a direcciones IP o dominios de criptomonedas desde la misma VM.
  • Container Threat Detection detecta un programa que usa el protocolo de estrato de minería de criptomonedas, y Event Threat Detection detecta una conexión a una dirección IP de minería de criptomonedas desde el mismo nodo de Google Kubernetes Engine.
Múltiples indicadores de amenazas correlacionados de software malicioso Busca varios indicadores distintos de software malicioso que provengan de máquinas virtuales de Google Cloud, incluidas las VMs de Compute Engine y los nodos de GKE (y sus Pods) o Agent Runtime.

Algunos ejemplos son los siguientes:

  • Container Threat Detection detecta si se ejecutan un objeto binario malicioso y una secuencia de comandos de Python maliciosa en el mismo Pod.
  • Event Threat Detection detecta una VM que se conecta a una dirección IP de malware, y VM Threat Detection detecta malware en el disco de la misma VM.
  • Agent Platform Threat Detection detecta una URL maliciosa y una shell inversa del mismo agente de IA.
Movimiento lateral de una cuenta de GCP potencialmente comprometida a un recurso de cómputo comprometido Busca evidencia de llamadas sospechosas a las APIs de procesamiento (Compute Engine o GKE) que modifiquen una VM o un Pod. Luego, la regla correlaciona esa actividad con la actividad maliciosa que se origina en el recurso de procesamiento en un período breve. Los atacantes suelen usar este patrón de movimiento lateral. Esta regla indica que es probable que la VM o el Pod estén comprometidos. Esta regla también indica que la cuenta de Google Cloud (ya sea de usuario o de servicio) puede ser la causa de la actividad maliciosa.

Estos son algunos ejemplos:

  • Event Threat Detection detecta que un usuario agregó una clave SSH nueva a una instancia de Compute Engine, y VM Threat Detection detecta un minero de criptomonedas que se ejecuta en la misma instancia.
  • Event Threat Detection detecta que una cuenta de servicio accedió a una instancia con la API de Compute Engine desde la red de Tor, y Event Threat Detection detecta conexiones a una dirección IP maliciosa desde la misma instancia.
  • Event Threat Detection detecta que un usuario creó un contenedor con privilegios y Container Threat Detection detecta que el contenedor accedió a archivos sensibles en el nodo de GKE desde el mismo Pod.

¿Qué sigue?