Gestire combinazioni dannose e chokepoint

Security Command Center ti consente di identificare e correggere le combinazioni tossiche e i chokepoint prima che gli utenti malintenzionati possano sfruttare le vulnerabilità composte per raggiungere gli asset critici. Puoi esaminare e rispondere a queste esposizioni utilizzando le seguenti pagine:

  • Problemi, disponibile nei livelli di servizio Premium ed Enterprise (obsoleto).
  • Richieste, disponibili nel livello di servizio Enterprise (ritirato).
  • Risultati, disponibili nei livelli di servizio Premium ed Enterprise (ritirato).

Prima di iniziare

Per assicurarti che il rilevamento di combinazioni tossiche e punti di strozzatura sia accurato, verifica che il software dei componenti delle operazioni di sicurezza sia aggiornato, che il set di risorse di alto valore sia designato con precisione e di disporre delle autorizzazioni IAM appropriate.

(Facoltativo) Raccogli dati da altri cloud

Il motore di rischio supporta l'esecuzione di simulazioni sui dati di Amazon Web Services (AWS) (anteprima) e Microsoft Azure (anteprima) per identificare combinazioni dannose e chokepoint.

Configura la connessione da Security Command Center a questi cloud provider per raccogliere i dati di risorse e configurazione. Per informazioni sulla configurazione delle connessioni, consulta i seguenti articoli:

Per l'elenco delle risorse supportate, consulta Supporto delle funzionalità del motore di rischio.

Ottieni le autorizzazioni richieste

Per lavorare con combinazioni tossiche e punti di strozzatura, devi disporre di autorizzazioni che concedono l'accesso alle funzionalità di Security Command Center e Google SecOps.

Ruoli IAM di Security Command Center

Per ottenere le autorizzazioni necessarie per lavorare con combinazioni tossiche e punti di strozzatura, chiedi all'amministratore di concederti i seguenti ruoli IAM nella tua organizzazione:

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Per saperne di più sui ruoli e sulle autorizzazioni di Security Command Center, consulta IAM per le attivazioni a livello di organizzazione.

Ruoli IAM di Google SecOps

Per il livello di servizio Enterprise (deprecato), per lavorare con combinazioni e casi tossici, devi disporre di uno dei seguenti ruoli:

  • Chronicle SOAR Vulnerability Manager (roles/chronicle.soarVulnerabilityManager)
  • Chronicle SOAR Threat Manager (roles/chronicle.soarThreatManager)
  • Chronicle SOAR Admin (roles/chronicle.soarAdmin)

Per informazioni sulla concessione del ruolo a un utente, consulta Mappa e autorizza gli utenti utilizzando IAM.

Installa il caso d'uso più recente per le operazioni di sicurezza

La funzionalità di combinazione tossica richiede la release del 25 giugno 2024 o una versione successiva del caso d'uso SCC Enterprise – Cloud Orchestration and Remediation.

Per informazioni sull'installazione del caso d'uso, consulta Aggiorna il caso d'uso Enterprise, giugno 2024.

Specifica il set di risorse di alto valore

Non è necessario attivare il rilevamento di combinazioni tossiche e chokepoint, poiché è sempre attivo. Il motore di rischio rileva automaticamente le combinazioni tossiche e i chokepoint che espongono un set di risorse di alto valore predefinito.

È improbabile che i risultati relativi alle combinazioni tossiche e ai chokepoint generati in base al set di risorse di alto valore predefinito riflettano accuratamente le tue priorità di sicurezza. Per specificare quali risorse fanno parte del set di risorse di valore elevato, crea configurazioni dei valori delle risorsenella console Google Cloud . Per le istruzioni, consulta Definisci e gestisci il set di risorse di alto valore.

Correggi le combinazioni dannose e i chokepoint

Le combinazioni tossiche e i chokepoint possono esporre molte risorse di alto valore a potenziali aggressori. Devi correggerli prima di altri rischi nei tuoi ambienti cloud.

Puoi dare la priorità all'ordine in cui correggi le combinazioni tossiche e i chokepoint in base al loro punteggio di esposizione agli attacchi. La modalità di esecuzione di questa operazione cambia a seconda di dove visualizzi le combinazioni dannose e i chokepoint.

Per correggere un risultato relativo a una combinazione tossica o a un chokepoint, correggi le vulnerabilità, le configurazioni errate o i risultati di esposizione esterna sottostanti lungo il percorso di attacco simulato. Quando l'engine di rischio esegue una simulazione del percorso di attacco successiva e identifica che il percorso verso le risorse di alto valore non esiste più, cambia automaticamente lo stato del risultato della combinazione tossica o del chokepoint da ACTIVE a INACTIVE.

Problemi

Per i livelli di servizio Premium ed Enterprise (deprecato), puoi accedere alle combinazioni tossiche e ai punti di strozzatura con il rischio più elevato (visualizzati come problemi) nelle seguenti pagine:

  • Livello di servizio Enterprise (ritirato): pagina Rischio > Panoramica
  • Livello di servizio Premium: Security Command Center > Panoramica dei rischi

Tutte le combinazioni dannose e i chokepoint possono essere visualizzati nella pagina Rischio > Problemi.

Per risolvere un problema, completa le seguenti istruzioni:

Premium

Visualizza tutti i problemi

  1. Per visualizzare tutti i problemi, vai alla pagina Problemi di Security Command Center.

    Vai a Problemi

  2. Seleziona la tua organizzazione Google Cloud .

Ordina per punteggio di esposizione agli attacchi

  1. Per impostazione predefinita, i problemi raggruppati sono classificati in base alla gravità. All'interno del gruppo, i problemi sono classificati in base al punteggio di esposizione agli attacchi. Per ordinare tutti i problemi in base al punteggio di esposizione agli attacchi, disattiva Raggruppa per rilevamenti.
  2. Seleziona un problema.
  3. Esamina la descrizione e le prove del problema.

Accedi a ulteriori informazioni

  1. Se sono presenti risultati correlati, visualizzane i dettagli.
  2. Se vengono rilevati più problemi critici in una risorsa principale in una combinazione tossica o in un chokepoint, viene visualizzato un messaggio dopo il diagramma Prove. Per ottimizzare le attività di correzione, fai clic su Filtra i problemi per questa risorsa principale in questo messaggio per concentrarti sulla risoluzione dei problemi relativi a quella risorsa specifica. Fai clic sulla freccia indietro accanto a Apri riquadro filtri Aggiungi filtro quando vuoi rimuovere il filtro.
  3. Fai clic su Esplora percorsi di attacco completi nel diagramma Prove per comprendere a fondo il problema e il modo in cui i percorsi di attacco espongono risorse di alto valore.
  4. Fai clic su Come risolvere il problema e segui le indicazioni per contribuire a mitigare il rischio.

Enterprise

Visualizza tutti i problemi

  1. Per visualizzare tutti i problemi, vai alla pagina Rischio > Problemi di Security Command Center.

    Vai a Problemi

  2. Seleziona la tua organizzazione Google Cloud .

Ordina per punteggio di esposizione agli attacchi

  1. Per impostazione predefinita, i problemi raggruppati sono classificati in base alla gravità. All'interno del gruppo, i problemi sono classificati in base al punteggio di esposizione agli attacchi. Per ordinare tutti i problemi in base al punteggio di esposizione agli attacchi, disattiva Raggruppa per rilevamenti.
  2. Seleziona un problema.
  3. Esamina la descrizione e le prove del problema.

Accedi a ulteriori informazioni

  1. Se sono presenti risultati correlati, visualizzane i dettagli.
  2. Se vengono rilevati più problemi critici in una risorsa principale in una combinazione tossica o in un chokepoint, viene visualizzato un messaggio dopo il diagramma Prove. Per ottimizzare le tue attività di correzione, fai clic su Filtra i problemi per questa risorsa principale in questo messaggio per concentrarti sulla risoluzione dei problemi relativi a quella risorsa specifica. Fai clic sulla freccia indietro accanto a Apri riquadro filtri Aggiungi filtro quando vuoi rimuovere il filtro.
  3. Fai clic su Esplora percorsi di attacco completi nel diagramma Prove per comprendere a fondo il problema e il modo in cui i percorsi di attacco espongono risorse di alto valore.
  4. Fai clic su Come risolvere il problema e segui le indicazioni per contribuire a mitigare il rischio.

Richieste

Per il livello di servizio Enterprise (deprecato), puoi visualizzare tutte le richieste relative alla combinazione tossica andando alla pagina Richieste. I punti di blocco non generano automaticamente una richiesta e devono essere visualizzati nella pagina Problemi.

Per trovare combinazioni tossiche nei casi, segui queste istruzioni:

  1. Nella console Google Cloud , vai a Rischio > Casi. Viene visualizzata la pagina della console di Security Operations Casi.
  2. Nell'elenco delle richieste, fai clic su Apri riquadro filtri Filtro richieste per aprire il riquadro dei filtri. Viene visualizzato il riquadro Filtro coda di richieste.
  3. Nel Filtro coda richieste, specifica quanto segue: 1. Nel campo Periodo di tempo, specifica il periodo di tempo durante il quale la richiesta è attiva. 1. Imposta Operatore logico su AND. 1. Nella casella di riepilogo della chiave di filtro, seleziona Tag. 1. Imposta l'operatore di uguaglianza su è. 1. Nella casella di riepilogo del valore del filtro, seleziona Combinazione tossica. 1. Fai clic su Applica. Le richieste nella coda vengono aggiornate per mostrare solo quelle che corrispondono al filtro specificato.
  4. Fai clic su Ordina accanto al filtro Casi Apri riquadro filtri e seleziona Ordina per esposizione agli attacchi (dal più alto al più basso).
  5. Nella coda delle richieste, fai clic sulla richiesta che vuoi visualizzare. Se visualizzi le richieste in Visualizzazione elenco, fai clic sull'case ID. Vengono visualizzate le informazioni sulla richiesta.
  6. Fai clic su Richiesta Panoramica della richiesta.
  7. Nella sezione Riepilogo della richiesta, segui le indicazioni riportate in Passaggi successivi.

In genere, una combinazione tossica include uno o più risultati di una vulnerabilità del software o di un errore di configurazione. Per ognuno di questi risultati, Security Command Center apre automaticamente una richiesta separata ed esegue i playbook associati. Puoi esaminare i casi relativi a questi risultati e chiedere ai proprietari dei ticket di dare priorità alla correzione per contribuire a risolvere la combinazione tossica.

Per esaminare i risultati correlati in una combinazione tossica, segui questi passaggi:

  1. Dalla scheda Richiesta Panoramica del caso di un caso, vai alla sezione Risultati.

  2. Nella sezione Risultati, esamina i risultati elencati.

    • Fai clic sull'case ID del risultato per aprire la richiesta e visualizzarne lo stato, il proprietario assegnato e altre informazioni.
    • Fai clic sul punteggio di esposizione agli attacchi per esaminare il percorso di attacco per il risultato.
    • Se il risultato ha un ID ticket, fai clic per aprire il ticket.

In alternativa, puoi visualizzare i risultati correlati nelle rispettive schede degli avvisi nel caso.

Risultati

Un risultato di combinazione dannosa o chokepoint è il record iniziale che il motore di rischio genera quando rileva una combinazione dannosa o un chokepoint nel tuo ambiente cloud.

  1. Vai alla pagina Risultati.

    Vai ai risultati

  2. Seleziona la tua organizzazione Google Cloud .

  3. Nella sezione Classe di risultati del riquadro Filtri rapidi, seleziona Combinazione tossica o Chokepoint. Il riquadro Risultati delle query sui risultati si aggiorna per mostrare solo i risultati relativi alle combinazioni tossiche o ai chokepoint.

  4. Per ordinare i risultati in base alla gravità, fai clic sull'intestazione della colonna Punteggio di esposizione agli attacchi finché i punteggi non sono in ordine decrescente.

  5. Fai clic su una categoria di risultati per aprire il riquadro dei dettagli dei risultati. Vai alla sezione Passaggi successivi e segui le indicazioni per risolvere il problema di sicurezza.

Chiudi i casi di combinazioni tossiche

Puoi chiudere una richiesta per una combinazione tossica correggendo la combinazione tossica sottostante o disattivando il risultato correlato nella consoleGoogle Cloud .

Chiudi una richiesta correggendo una combinazione tossica

Dopo aver risolto i problemi di sicurezza che compongono una combinazione tossica e questi non espongono più risorse nel tuo set di risorse di alto valore, il motore di rischio chiude automaticamente il caso durante la simulazione del percorso di attacco successivo, che viene eseguita ogni 48 ore.

Chiudi una richiesta disattivando il risultato

Se il rischio posto dalla combinazione dannosa è accettabile per la tua attività o se non puoi rimediare alla combinazione dannosa, puoi chiudere la richiesta disattivando il risultato correlato.

Per disattivare i risultati di una combinazione tossica, segui questi passaggi:

  1. Nella console Google Cloud , vai a Rischio > Casi.
  2. Individua e apri la richiesta di combinazione tossica.
  3. Fai clic sulla scheda dell'avviso correlato.
  4. Nel widget Riepilogo dei risultati, fai clic su Esplora i risultati in SCC. Si apre il risultato correlato.
  5. Utilizza le Opzioni di disattivazione nella pagina dei dettagli del risultato per disattivarlo.

Puoi anche disattivare i risultati nella console Google Cloud . Per saperne di più, consulta Disattiva un singolo risultato.

Visualizza le richieste di combinazione tossica chiuse

Quando una richiesta viene chiusa, Security Command Center la rimuove dalla pagina Richieste.

Per visualizzare una richiesta relativa alla combinazione tossica chiusa, segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Richieste. Si apre la console di Security Operations.
  2. Espandi la sezione Stato e seleziona Chiuso.
  3. Espandi la sezione Tag, quindi seleziona Combinazione tossica.
  4. Fai clic su Applica. Le richieste di combinazione tossica chiuse vengono visualizzate nei risultati di ricerca.

Passaggi successivi