Passaggi per la risoluzione dei problemi

Standard-legacy, Standard, Premium ed Enterprise (ritirato)

Puoi risolvere i problemi comuni di Security Command Center, tra cui errori di attivazione, asset che non si aggiornano, notifiche ritardate ed errori di scansione. Questi passaggi per la risoluzione dei problemi ti aiutano a sbloccare la configurazione del servizio, ripristinare il monitoraggio attivo della sicurezza e distinguere il traffico previsto dello scanner dagli incidenti di sicurezza.

Per risolvere i messaggi di notifica e dello scanner o per esaminare i problemi di configurazione rilevati da Security Command Center, consulta Messaggi di errore ed Errori di Security Command Center.

Attivazione di Security Command Center non riuscita

L'attivazione di Security Command Center non va a buon fine se le policy dell'organizzazione limitano le identità per dominio. Tu e il tuo account di servizio dovete far parte di un dominio consentito:

  • Prima di provare ad attivare Security Command Center, assicurati di accedere a un account che si trova in un dominio consentito.
  • Se utilizzi un account di servizio @*., aggiungilo come identità in un gruppo all'interno di un dominio consentito.

Gli asset in Security Command Center non vengono aggiornati

Se utilizzi i Controlli di servizio VPC, gli asset in Security Command Center possono essere rilevati e aggiornati solo se concedi l'accesso al service account di Security Command Center.

Per abilitare il rilevamento degli asset, concedi l'accesso al account di servizio Security Command Center. In questo modo, il account di servizio può completare il rilevamento degli asset e visualizzarli nella console Google Cloud . Il nome del account di servizio è nel formato service-org-organization-id@security-center-api..

Visualizzazione, modifica, creazione e aggiornamento di risultati e asset

I ruoli IAM per Security Command Center possono essere concessi a livello di organizzazione, cartella o progetto. La possibilità di visualizzare, modificare, creare o aggiornare risultati, asset e origini di sicurezza dipende dal livello di accesso che ti è stato concesso. Per scoprire di più sui ruoli di Security Command Center, consulta Controllo dell'accesso.

Notifiche mancanti o in ritardo

In alcune situazioni, le notifiche potrebbero non essere inviate, essere eliminate o essere inviate in ritardo:

  • Potrebbero non esserci risultati corrispondenti ai filtri nel tuo NotificationConfig. Per testare le notifiche, utilizza l'API Security Command Center per creare un risultato.
  • Il account di servizio Security Command Center deve avere il ruolo securitycenter.notificationServiceAgent sull'argomento Pub/Sub. Il nome del account di servizio è nel formato service-organization-id@gcp-sa-scc-notification..
    • Se rimuovi il ruolo, la pubblicazione delle notifiche viene disattivata.
    • Se rimuovi il ruolo e poi lo concedi di nuovo, le notifiche vengono ritardate.
  • Se elimini e ricrei l'argomento Pub/Sub, le notifiche verranno eliminate.

Esposizione esterna

Le sezioni seguenti descrivono i passaggi per la risoluzione dei problemi che potrebbero esserti utili se riscontri problemi o traffico imprevisto correlato all'esposizione esterna.

Picchi nei log delle richieste 403 Forbidden da TsunamiSecurityScanner

Osservi picchi imprevisti nei log delle richieste HTTP 403 Forbidden o HTTP 401 Unauthorized sui tuoi endpoint pubblici, come Cloud Run, Google Kubernetes Engine (GKE) o Cloud Load Balancing, con lo user agent TsunamiSecurityScanner.

Causa

Quando External Exposure analizza i tuoi indirizzi IP pubblici ed endpoint per rilevare interfacce esposte e vulnerabilità, il servizio invia richieste di probe utilizzando la stringa dello user agent TsunamiSecurityScanner.

Se i tuoi endpoint o servizi applicano controlli degli accessi, come l'autenticazione Identity and Access Management (IAM), Identity-Aware Proxy (IAP) o le policy di sicurezza di Google Cloud Armor, gli endpoint rifiutano le richieste di scanner non autenticate. Questi rifiuti generano una risposta di log HTTP 403 Forbidden o HTTP 401 Unauthorized. Questo comportamento è previsto e indica che i controlli di sicurezza bloccano l'accesso non autenticato.

Diagnostica e risolvi

Per diagnosticare e risolvere i picchi nei log delle richieste HTTP 403 Forbidden o HTTP 401 Unauthorized da TsunamiSecurityScanner, segui questi passaggi:

  1. Per verificare se i log delle richieste HTTP 403 provengono dallo scanner, nella pagina Esplora log, esegui la seguente query:

    httpRequest.userAgent="TsunamiSecurityScanner" AND httpRequest.status=403

  2. Verifica che i servizi scansionati si trovino in progetti in cui l'esposizione esterna è attiva. Per saperne di più su come il traffico dello scanner viene visualizzato nei log, consulta Identifica il traffico dello scanner nei log.

  3. (Facoltativo) Se hai configurato avvisi basati su log che vengono attivati in base ai codici di stato HTTP 403, aggiorna la query di avviso per escludere il traffico dello scanner:

    NOT httpRequest.userAgent="TsunamiSecurityScanner"

Web Security Scanner

Questa sezione contiene i passaggi per la risoluzione dei problemi che potrebbero esserti utili in caso di problemi con l'utilizzo di Web Security Scanner

Errori di scansione per Compute Engine e GKE

Se l'URL di una scansione non è configurato correttamente, Web Security Scanner lo rifiuta. I possibili motivi del rifiuto includono:

L'URL ha un indirizzo IP temporaneo

Contrassegna questo indirizzo IP come statico:

  • Per un'applicazione su una singola VM, prenota l'indirizzo IP sulla VM
  • Per un'applicazione dietro un bilanciatore del carico, prenota l'indirizzo IP sul bilanciatore del carico.

L'URL è mappato a un indirizzo IP errato

Per correggere questo risultato, consulta le istruzioni del servizio di registrar DNS.

L'URL è mappato a un indirizzo IP temporaneo della stessa VM

Contrassegna questo indirizzo IP come statico.

L'URL è mappato a un indirizzo IP riservato

Questo errore si verifica quando l'URL è mappato a un indirizzo IP riservato in un progetto diverso della stessa organizzazione. Per risolvere il problema, definisci le scansioni di sicurezza per la VM o il bilanciatore del carico HTTP nel progetto per cui sono definite.

L'URL è mappato a più di un indirizzo IP

Assicurati che tutti gli indirizzi IP mappati a questo URL siano riservati per lo stesso progetto. Se esiste almeno un indirizzo IP non prenotato per lo stesso progetto, l'operazione di creazione, modifica o aggiornamento della scansione non va a buon fine.

Passaggi successivi

Scopri di più sugli errori di Security Command Center.