Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Schritte zur Fehlerbehebung

Sie können häufige Security Command Center-Probleme beheben, z. B. Fehler bei der Aktivierung, Assets, die nicht aktualisiert werden, verzögerte Benachrichtigungen und Scanfehler. Mit diesen Schritten zur Fehlerbehebung können Sie die Einrichtung des Dienstes fortsetzen, das aktive Sicherheitsmonitoring wiederherstellen und erwarteten Scanner-Traffic von Sicherheitsvorfällen unterscheiden.

Informationen zum Beheben von Benachrichtigungs- und Scannermeldungen oder zum Untersuchen von Konfigurationsproblemen, die von Security Command Center erkannt wurden, finden Sie unter Fehlermeldungen und Security Command Center-Fehler.

Aktivierung von Security Command Center schlägt fehl

Die Aktivierung von Security Command Center schlägt in der Regel fehl, wenn Ihre Organisationsrichtlinien Identitäten nach Domain beschränken. Sie und Ihr Dienstkonto müssen Teil einer zulässigen Domain sein:

Melden Sie sich in einem Konto an, das sich in einer zulässigen Domain befindet, bevor Sie versuchen, Security Command Center zu aktivieren.
Wenn Sie ein @*.-Dienstkonto verwenden, fügen Sie das Dienstkonto als Identität in einer Gruppe innerhalb einer zulässigen Domain hinzu.

Assets in Security Command Center werden nicht aktualisiert

Wenn Sie VPC Service Controls verwenden, können Assets in Security Command Center nur erkannt und aktualisiert werden, wenn Sie dem Dienstkonto „Security Command Center“ Zugriff gewähren.

Wenn Sie die Asset-Erkennung aktivieren möchten, müssen Sie dem Security Command Center-Dienstkonto Zugriff gewähren. Dadurch kann das Dienstkonto die Asset-Erkennung abschließen und Assets in der Google Cloud Console anzeigen. Der Name des Dienstkontos hat das Format service-org-organization-id@security-center-api..

Ansehen, Bearbeiten, Erstellen und Aktualisieren von Ergebnissen und Assets

Die IAM-Rollen für Security Command Center können auf Organisations-, Ordner- oder Projektebene zugewiesen werden. Die Möglichkeit, Ergebnisse, Assets und Sicherheitsquellen anzusehen, zu bearbeiten, zu erstellen oder zu aktualisieren, hängt von der Ebene ab, auf die Sie Zugriff haben. Weitere Informationen zu Security Command Center-Rollen finden Sie unter Zugriffssteuerung.

Fehlende oder verzögerte Benachrichtigungen

In einigen Fällen kann es vorkommen, dass Benachrichtigungen fehlen, verworfen wurden oder verzögert sind:

Möglicherweise gibt es keine Ergebnisse, die den Filtern in Ihrer NotificationConfig entsprechen. Zum Testen von Benachrichtigungen können Sie mit der Security Command Center API ein Ergebnis erstellen.
Das Security Command Center-Dienstkonto muss die Rolle securitycenter.notificationServiceAgent für das Pub/Sub-Thema haben. Der Name des Dienstkontos hat das Format service-organization-id@gcp-sa-scc-notification..
- Wenn Sie die Rolle entfernen, ist die Veröffentlichung der Benachrichtigung deaktiviert.
- Wenn Sie die Rolle entfernen und dann wieder zuweisen, werden Benachrichtigungen verzögert.
Wenn Sie das Pub/Sub-Thema löschen und neu erstellen, werden Benachrichtigungen gelöscht.

External Exposure

In den folgenden Abschnitten werden Schritte zur Fehlerbehebung beschrieben, die hilfreich sein können, wenn Probleme oder unerwarteter Traffic im Zusammenhang mit der externen Offenlegung auftreten.

Spitzen in `403 Forbidden`-Anfragelogs von `TsunamiSecurityScanner`

Sie beobachten unerwartete Spitzen in HTTP-403 Forbidden- oder HTTP-401 Unauthorized-Anfragelogs auf Ihren öffentlichen Endpunkten, z. B. Cloud Run, Google Kubernetes Engine (GKE) oder Cloud Load Balancing, mit dem User-Agent TsunamiSecurityScanner.

Ursache

Wenn External Exposure Ihre öffentlichen IP-Adressen und Endpunkte scannt, um offengelegte Schnittstellen und Sicherheitslücken zu erkennen, sendet der Dienst Prüfanfragen mit dem User-Agent-String TsunamiSecurityScanner.

Wenn Ihre Endpunkte oder Dienste Zugriffssteuerungen wie die IAM-Authentifizierung (Identity and Access Management), Identity-Aware Proxy (IAP) oder Google Cloud Armor-Sicherheitsrichtlinien erzwingen, lehnen die Endpunkte nicht authentifizierte Scanneranfragen ab. Diese Ablehnungen generieren eine HTTP-403 Forbidden- oder HTTP-401 Unauthorized-Protokollantwort. Dieses Verhalten ist normal und zeigt, dass Ihre Sicherheitseinstellungen nicht authentifizierten Zugriff blockieren.

Diagnose und Behebung

So diagnostizieren und beheben Sie Spitzen in HTTP-403 Forbidden- oder HTTP-401 Unauthorized-Anfragelogs von TsunamiSecurityScanner:

Wenn Sie prüfen möchten, ob die HTTP-403-Anfragelogs vom Scanner stammen, führen Sie auf der Seite Log-Explorer die folgende Abfrage aus:
```
httpRequest.userAgent="TsunamiSecurityScanner" AND httpRequest.status=403
```
Prüfen Sie, ob sich die gescannten Dienste in Projekten befinden, in denen „Externe Gefährdung“ aktiv ist. Weitere Informationen dazu, wie Scanner-Traffic in Ihren Logs angezeigt wird, finden Sie unter Scanner-Traffic in Ihren Logs identifizieren.
Optional: Wenn Sie logbasierte Benachrichtigungen konfiguriert haben, die bei HTTP-Statuscodes 403 ausgelöst werden, aktualisieren Sie die Benachrichtigungsabfrage, um Scanner-Traffic auszuschließen:
```
NOT httpRequest.userAgent="TsunamiSecurityScanner"
```

Web Security Scanner

In diesem Abschnitt werden Schritte zur Fehlerbehebung beschrieben, die bei Problemen mit Web Security Scanner hilfreich sein können.

Scanfehler für Compute Engine und GKE

Wenn die URL für einen Scan falsch konfiguriert ist, wird sie von Web Security Scanner abgelehnt. Mögliche Gründe für eine Ablehnung:

Die URL hat eine vorübergehende IP-Adresse.

Markieren Sie diese IP-Adresse als statisch:

Für eine Anwendung auf einer einzelnen VM reservieren Sie die IP-Adresse auf der VM.
Reservieren Sie für eine Anwendung hinter einem Load-Balancer die IP-Adresse auf dem Load-Balancer.

Die URL ist einer falschen IP-Adresse zugeordnet.

Anleitungen zum Beheben dieses Problems finden Sie bei Ihrem DNS-Registrar-Dienst.

Die URL ist einer vorübergehenden IP-Adresse derselben VM zugeordnet.

Markieren Sie diese IP-Adresse als statisch.

Die URL ist einer reservierten IP-Adresse zugeordnet.

Dieser Fehler tritt auf, wenn die URL einer IP-Adresse zugeordnet ist, die in einem anderen Projekt derselben Organisation reserviert ist. Definieren Sie zur Behebung dieses Problems Sicherheitsscans für die VM oder den HTTP-Load-Balancer in dem Projekt, für das sie/er definiert ist.

Die URL wird mehreren IP-Adressen zugeordnet.

Achten Sie darauf, dass alle dieser URL zugeordneten IP-Adressen für dasselbe Projekt reserviert sind. Wenn mindestens eine IP-Adresse vorhanden ist, die nicht für dasselbe Projekt reserviert ist, schlägt der Vorgang zum Scannen, Erstellen, Bearbeiten oder Aktualisieren fehl.

Nächste Schritte

Weitere Informationen zu Security Command Center-Fehlern