Security Graph הוא מסד נתונים של תרשים שמשתמש בצמתים כדי לזהות משאבים בענן כמו נכסים, זהויות, אפליקציות ונתונים. הקצוות של התרשים קובעים את הקשר בין הסיכונים של המשאבים האלה, בהתאם לכללי הזיהוי. כאשר מתגלה סיכון קשר, ה-Security Graph יוצר בעיה.
ב-Security Command Center נעשה שימוש בכללים מוגדרים מראש של Security Graph כדי לזהות בעיות שעלולות לסכן את המשאבים שלכם.
בטבלה הבאה מפורטים הכללים האלה. במאמר ניהול ותיקון של בעיות מוסבר איך לחקור בעיות.
| כלל | תיאור |
|---|---|
| מכונה של GCE: פגיעות CVE בסיכון גבוה, גישה למשאב בעל ערך גבוה באמצעות התחזות לחשבון שירות (SA) | זוהתה פגיעות CVE בסיכון גבוה במכונה של Compute Engine, שיכולה להתחזות לחשבון שירות (SA) עם גישה למשאב קריטי. נקודת החולשה הזו מגבירה את הסיכון להרחבת הרשאות ולגישה לא מורשית לנתונים או למערכות רגישים. |
| מכונה של GCE: פגיעות CVE בסיכון גבוה, גישה למשאב עם מידע אישי רגיש באמצעות התחזות ל-SA | למכונה של Compute Engine עם CVE בסיכון גבוה יש גישה למשאב שמכיל מידע אישי רגיש באמצעות התחזות לחשבון שירות (SA). נקודת החולשה הזו מגבירה את הסיכון לגישה לא מורשית לנתונים, להסלמת הרשאות (privilege escalation) ולפרצות פוטנציאליות באבטחת מידע. |
| מכונה ב-GCE: פגיעות CVE בסיכון גבוה, גישה ישירה למשאב בעל ערך גבוה | למכונה של Compute Engine עם פגיעות CVE בסיכון גבוה יש גישה ישירה למשאב בעל ערך גבוה, מה שמגביר את הסבירות לניצול לרעה, לגישה לא מורשית ולפגיעה בנתונים. |
| מכונה ב-GCE: פגיעות CVE בסיכון גבוה, גישה ישירה למשאב עם מידע אישי רגיש | למכונה של Compute Engine עם CVE בסיכון גבוה יש גישה ישירה למשאב שמכיל מידע אישי רגיש. נקודת החולשה הזו מגבירה את הסיכון לגישה לא מורשית, לפרצות באבטחת מידע ולהסלמת הרשאות. |
| מכונה של GCE שחשופה כלפי חוץ: CVE בסיכון גבוה, ניצול זמין | מכונה של Compute Engine חשופה כלפי חוץ ומושפעת מ-CVE בסיכון גבוה עם ניצול פרצה ידוע. זה מגדיל משמעותית את הסיכון להתקפות מרחוק, לגישה לא מורשית ולפגיעה במערכת. |
| מכונה של GCE: נקודת חולשה או חשיפה נפוצה (CVE) בסיכון גבוה, יכולת להתחזות לחשבון שירות (SA) | מכונה של Compute Engine מושפעת מ-CVE בסיכון גבוה ויכולה להתחזות לחשבון שירות (SA) אחר. כך גדל משמעותית הסיכון להרחבת הרשאות, לגישה לא מורשית ולפגיעה אפשרית במשאבי ענן קריטיים. |
| מכונה של GCE: פגיעות CVE בסיכון גבוה, הרשאות ישירות מוגזמות | למכונה של Compute Engine עם CVE בסיכון גבוה יש הרשאות יתר ישירות במשאב אחר, מה שמגביר את הסיכון לגישה לא מורשית, להסלמת הרשאות ולפגיעה במשאב. |
| GCE Instance: High-risk CVE, excessive permissions via SA impersonation | למכונה של Compute Engine עם CVE בסיכון גבוה יש הרשאות מוגזמות במשאב אחר באמצעות התחזות לחשבון שירות (SA), מה שמגביר את הסיכון להסלמת הרשאות ולגישה לא מורשית. |
| עומס עבודה ב-GKE שחשוף כלפי חוץ: CVE בסיכון גבוה, יש ניצול לרעה | עומס עבודה ב-GKE חשוף כלפי חוץ ומושפע מ-CVE בסיכון גבוה עם ניצול פרצה ידוע. זה מגדיל משמעותית את הסיכון להתקפות מרחוק, לגישה לא מורשית ולפגיעה במערכת. |
| מאגר צמתים של GKE: עדכון אבטחה דחוף בסיכון גבוה, גישה למשאב בעל ערך גבוה באמצעות התחזות לחשבון שירות | למאגר צמתים של GKE יש יכולת להתחזות לחשבון שירות (SA) שמעניק גישה למשאב בעל ערך גבוה. זה מגדיל את הסיכון להרחבת הרשאות, לגישה לא מורשית ולפגיעה בנתונים. |
| מאגר צמתים ב-GKE: עלון מידע בסיכון גבוה, גישה למשאב עם מידע אישי רגיש באמצעות התחזות לחשבון שירות | מאגר צמתים של GKE יכול להתחזות לחשבון שירות (SA) שמעניק גישה למשאב שמכיל מידע רגיש. כך גדל הסיכון לגישה לא מורשית, לפרצות באבטחת מידע ולהסלמת הרשאות. |
| מאגר צמתים ב-GKE: עדכון אבטחה דחוף בסיכון גבוה, גישה ישירה למשאב בעל ערך גבוה | למאגר צמתים של GKE יש גישה ישירה למשאב בעל ערך גבוה, מה שמגביר את הסיכון לגישה לא מורשית, להעברת הרשאות ברמות גבוהות יותר ולפגיעה פוטנציאלית בנתונים. |
| מאגר צמתים ב-GKE: עלון מידע בסיכון גבוה, גישה ישירה למשאב עם נתונים רגישים | למאגר צמתים ב-GKE יש גישה ישירה למשאב שמכיל מידע אישי רגיש, מה שמגביר את הסיכון לגישה לא מורשית, לפרצות באבטחת מידע ולהסלמת הרשאות. |
| מאגר צמתים של GKE שחשוף כלפי חוץ: עדכון אבטחה דחוף בסיכון גבוה | מאגר צמתים של GKE חשוף כלפי חוץ ומושפע מ-CVE בסיכון גבוה. זה מגדיל משמעותית את הסיכון להתקפות מרחוק, לגישה לא מורשית ולפגיעה במערכת. |
| מאגר צמתים של GKE: עדכון אבטחה דחוף בסיכון גבוה, יכולת להתחזות לחשבון שירות | יש הודעה בסיכון גבוה לגבי מאגר צמתים של GKE שיש לו הרשאות להתחזות לחשבון שירות (SA) אחר, מה שמגביר את הסיכון להסלמת הרשאות ולגישה לא מורשית למשאבים קריטיים. |
| מאגר צמתים ב-GKE: עלון מידע בסיכון גבוה, הרשאות ישירות מוגזמות | יש עלון מידע בסיכון גבוה לגבי מאגר צמתים ב-GKE שיש לו הרשאות מוגזמות במשאב אחר, שמעניקות לו גישה לא מכוונת. כך גדל הסיכון להרחבת הרשאות, לגישה לא מורשית ולחשיפת נתונים. |
| מאגר צמתים של GKE: הודעה על סיכון גבוה, הרשאות מוגזמות באמצעות התחזות ל-SA | יש הודעה בסיכון גבוה לגבי מאגר צמתים של GKE שיש לו הרשאות מוגזמות במשאב אחר באמצעות התחזות לחשבון שירות (SA), מה שמגביר את הסיכון להסלמת הרשאות ולגישה לא מורשית. |
| לחשבון שירות עם מפתח שלא הוחלף יש יותר מדי הרשאות | חשבון שירות משתמש במפתח לטווח ארוך שלא הוחלף, עם הרשאות מוגזמות, מה שמגביר את הסיכון לפריצה לפרטי הכניסה, לגישה לא מורשית ולהסלמת הרשאות. |
| לחשבון שירות עם מפתח בניהול המשתמש יש יותר מדי הרשאות | חשבון שירות עם מפתחות בניהול המשתמש והרשאות מוגזמות, שמגדיל את הסיכון לדליפת פרטי כניסה ולהסלמת הרשאות. |
| עומס עבודה ב-GKE שחשוף כלפי חוץ ופגיע ל-CVE-2025-49844 (יש ניצול לרעה, הרצת קוד מרחוק קריטית ב-Redis) | מזהה עומסי עבודה של GKE שחשופים כלפי חוץ ומריצים את Redis, שפגיעים ל-CVE-2025-49844 – פגם קריטי של הרצת קוד מרחוק עם ניצול פרצה ידוע. |
| מכונה של GCE שחשופה לגורמים חיצוניים ופגיעה ל-CVE-2025-49844 (יש ניצול לרעה, הרצת קוד מרחוק קריטית ב-Redis) | מזהה מכונות GCE שחשופות כלפי חוץ ומריצות את Redis, שחשופות ל-CVE-2025-49844 – פגם קריטי של הרצת קוד מרחוק עם ניצול פרצה ידוע. |
| עומס עבודה ב-GKE שחשוף כלפי חוץ ופגיע ל-CVE-2025-32433 (RCE קריטי ב-Erlang SSH) | מזהה עומסי עבודה של GKE שחשופים כלפי חוץ ומריצים Erlang SSH שפגיע ל-CVE-2025-32433, פגם קריטי בהרצת קוד מרחוק שתוקפים מנצלים באופן פעיל. |
| מכונה של GCE שחשופה כלפי חוץ ופגיעה ל-CVE-2025-32433 (נקודת חולשה קריטית של RCE ב-Erlang SSH) | מזהה מכונות GCE שחשופות כלפי חוץ ומריצות את Erlang SSH, שפגיעות ל-CVE-2025-32433 – פגם קריטי בהרצת קוד מרחוק שתוקפים מנצלים באופן פעיל. |
| עומס עבודה ב-GKE שחשוף כלפי חוץ ופגיע ל-CVE-2023-46604 (נקודת חולשה קריטית של RCE ב-Apache ActiveMQ, שנוצלה בפועל) | מזהה עומסי עבודה של GKE שחשופים כלפי חוץ ומריצים את Apache ActiveMQ, שחשוף ל-CVE-2023-46604 – פגם קריטי בהרצת קוד מרחוק בפרוטוקול OpenWire שתוקפים מנצלים באופן פעיל. |
| מכונה של GCE שחשופה כלפי חוץ ופגיעה ל-CVE-2023-46604 (נקודת חולשה קריטית של RCE ב-Apache ActiveMQ, שנוצלה בפועל) | מזהה מכונות GCE שחשופות כלפי חוץ ומריצות את Apache ActiveMQ, שפגיעות ל-CVE-2023-46604 – פגם קריטי בהרצת קוד מרחוק בפרוטוקול OpenWire שתוקפים מנצלים באופן פעיל. |
| מכונה של GCE שחשופה ל-CVE-2025-32463 (Sudo) עם ניצול פרצה ידוע | זיהוי מכונות GCE שחשופות ל-CVE-2025-32463, פגם בהסלמת הרשאות (privilege escalation) מקומית ב-Sudo עם ניצול פרצה ידוע. |
| מכונה של GCE חשופה לנקודת חולשה קריטית ב-Nvidia Container Toolkit (CVE-2025-23266) | מזהה מכונות GCE שמשתמשות בעומסי עבודה של GPU שחשופים ל-CVE-2025-23266, פגם קריטי של הסלמת הרשאות ב-NVIDIA Container Toolkit. |
| מכונה של GCE שחשופה כלפי חוץ ופגיעה ל-CVE-2025-59287 בסיכון גבוה (מנוצלת בפועל, הרצת קוד מרחוק קריטית ב-WSUS) | מזהה מכונות GCE שחשופות כלפי חוץ ומריצות את Windows WSUS, שפגיעות ל-CVE-2025-59287 – פגם קריטי בהרצת קוד מרחוק שתוקפים מנצלים באופן פעיל. |
| Vertex AI Workbench: פגיעות CVE בסיכון גבוה | זוהתה פגיעות CVE בסיכון גבוה במכונה של Gemini Enterprise Agent Platform Workbench. פרצת האבטחה הזו מגבירה את הסיכון לגישה לא מורשית לסביבת הפיתוח, ועלולה לחשוף את נתוני האימון ואת קוד המקור של המודל לזליגת נתונים. |
| Vertex AI Workbench: פרצת אבטחה (CVE) בסיכון גבוה, הרשאות מוגזמות | מכונה של Vertex AI Workbench עם CVE בסיכון גבוה משתמשת בחשבון שירות עם הרשאות יתר. השילוב הזה מאפשר לתוקפים לנצל את נקודת החולשה כדי להרחיב את ההרשאות ולפגוע במשאבים אחרים בענן. |
| Agent Runtime: פגיעות CVE בסיכון גבוה, זהות של חשבון שירות עם גישה למשאב בעל ערך גבוה באמצעות התחזות לחשבון שירות | זוהתה נקודת חולשה וחשיפה (CVE) בסיכון גבוה בסוכן AI שנפרס ב-Agent Runtime, שיכולה להתחזות לחשבון שירות עם גישה למשאב קריטי. נקודת החולשה הזו מגבירה את הסיכון להסלמת הרשאות ולגישה לא מורשית לנתונים או למערכות רגישים. |
| Agent Runtime: פרצת אבטחה (CVE) בסיכון גבוה, זהות של חשבון שירות עם גישה למשאב עם מידע אישי רגיש באמצעות התחזות לחשבון שירות | סוכן AI שנפרס ב-Agent Runtime עם CVE בסיכון גבוה, ויש לו גישה למשאב שמכיל נתונים רגישים באמצעות התחזות לחשבון שירות (SA). הפרצה הזו מגבירה את הסיכון לגישה לא מורשית לנתונים, להסלמת הרשאות ולפרצות פוטנציאליות באבטחת מידע. |
| Agent Runtime: פגיעות CVE בסיכון גבוה, זהות SA עם גישה ישירה למשאב בעל ערך גבוה | סוכן AI שנפרס ב-Agent Runtime עם פגיעות CVE בסיכון גבוה, ויש לו גישה ישירה למשאב בעל ערך גבוה, מגדיל את הסבירות לניצול לרעה, לגישה לא מורשית ולפגיעה בנתונים. |
| Agent Runtime: פגיעויות וחשיפות נפוצות (CVE) בסיכון גבוה, זהות של חשבון שירות עם גישה ישירה למשאב עם מידע אישי רגיש | סוכן AI שנפרס ב-Agent Runtime עם CVE בסיכון גבוה, ויש לו גישה ישירה למשאב שמכיל מידע אישי ורגיש. נקודת החולשה הזו מגבירה את הסיכון לגישה לא מורשית, לפרצות באבטחת מידע ולהסלמת הרשאות (privilege escalation). |
| Agent Runtime: פגיעות CVE בסיכון גבוה, זהות של חשבון שירות עם הרשאות ישירות עודפות | סוכן AI שנפרס ב-Agent Runtime עם CVE בסיכון גבוה, כולל הרשאות ישירות מוגזמות במשאב אחר, מה שמגביר את הסיכון לגישה לא מורשית, להסלמת הרשאות ולפגיעה במשאב. |
| Agent Runtime: פגיעות CVE בסיכון גבוה, זהות של חשבון שירות עם הרשאות עודפות באמצעות התחזות לחשבון שירות | סוכן AI שנפרס ב-Agent Runtime עם CVE בסיכון גבוה, כולל הרשאות מוגזמות במשאב אחר באמצעות התחזות לחשבון שירות (SA), מה שמגביר את הסיכון להסלמת הרשאות ולגישה לא מורשית. |
| Agent Runtime: נקודת חולשה או חשיפה נפוצה (CVE) בסיכון גבוה, זהות של חשבון שירות עם יכולת להתחזות לחשבון שירות | סוכן AI שנפרס ב-Agent Runtime עם CVE בסיכון גבוה יכול להתחזות לחשבון שירות אחר. כך גדל משמעותית הסיכון להרחבת הרשאות, לגישה לא מורשית ולפגיעה אפשרית במשאבי ענן קריטיים. |
| קטגוריה של Cloud Storage: קטגוריה שחשופה לציבור ומשמשת לפריסה של Agent Runtime | נעשה שימוש בקטגוריה של Cloud Storage שחשופה לציבור כדי לפרוס סוכן AI ב-Agent Runtime. זה מגביר את הסיכון לדליפת קוד של הנציג ולהרעלת נציג. |