Activer et utiliser l'évaluation des failles pour Google Cloud

Niveaux de service Standard, Premium et Enterprise (obsolète)

Le niveau de service Security Command Center Enterprise sera arrêté le 21 mai 2027. Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium le 21 mai 2027 ou après cette date. Si vous avez des questions, contactez votre responsable de compte ou un spécialiste des ventesGoogle Cloud .

Vulnerability Assessment pour Google Cloud vous permet de détecter les failles logicielles et les secrets exposés dans les ressources Google Cloud sans installer d'agents. L'évaluation des failles pour Google Cloudanalyse les instances de VM Compute Engine en cours d'exécution, les nœuds des clusters GKE Standard, les conteneurs s'exécutant dans les clusters GKE Standard et GKE Autopilot, ainsi que les conteneurs s'exécutant dans les charges de travail Cloud Run (preview).

Fonctionnement de Vulnerability Assessment pour Google Cloud

Les types de ressources analysés dépendent du niveau de service de Security Command Center et incluent les éléments suivants :

• Instances de VM Compute Engine en cours d'exécution
• Nœuds dans les clusters GKE Standard
• Conteneurs exécutés dans des clusters GKE Standard et GKE Autopilot.
• Conteneurs s'exécutant dans des services Cloud Run, des révisions actives, des jobs et des pools de nœuds de calcul (preview).

Pour les instances de VM et les clusters GKE, l'évaluation des vulnérabilités pour Google Cloud clone les disques de vos instances de VM, les installe dans une autre instance de VM sécurisée et les analyse avec SCALIBR. Le clone de l'instance de VM possède les propriétés suivantes :

• Il est créé dans la même région que l'instance de VM source.
• Il est créé dans un projet appartenant à Google, ce qui n'augmente pas vos coûts.

Pour vous aider à identifier les failles dans les ressources Cloud Run, l'évaluation des failles pour Google Cloud met en corrélation les données des sources suivantes pour les charges de travail Cloud Run (preview) :

• Analysez les occurrences pour détecter les failles et les secrets des conteneurs à partir d'Artifact Analysis.
• Informations sur les ressources Cloud Run actives provenant de l'inventaire des éléments cloud.

Les résultats générés sont directement associés au service, au job ou au pool de nœuds de calcul Cloud Run actif.

Différences de fonctionnalités entre les niveaux de service

Les fonctionnalités d'évaluation des failles pour Google Cloud suivantes varient en fonction du niveau de service :

• La fréquence d'analyse
• Le niveau de gravité des résultats créés
• Quels résultats sont enrichis avec les données d'évaluation des CVE de Mandiant ?
• Délai avant qu'un résultat soit marqué comme INACTIVE

Pour en savoir plus sur ces différences, consultez Résultats générés par l'évaluation des failles pour Google Cloud.

Limites

Tenez compte des limites suivantes lorsque vous identifiez les ressources que vous souhaitez analyser :

Compute Engine et disques

• Les agents de service Security Command Center doivent pouvoir lister les instances de VM du projet et cloner leurs disques dans des projets appartenant à Google. Assurez-vous que les configurations de sécurité et de règles, telles que les contraintes des règles d'administration, n'interfèrent pas avec la capacité de l'agent de service à accéder à ces ressources et à les analyser.

  Pour résoudre ce problème, nous vous recommandons d'ajouter l'organisation google.com, en utilisant l'ID d'organisation 433637338589, aux règles de liste d'autorisation. Voici un exemple d'ajout de l'organisation à la liste d'autorisation :

  name: organizations/Org-A/policies/compute.storageResourceUseRestrictions
  spec:
    rules:
    – values:
      allowedValues:
      - under:organizations/433637338589

  Pour en savoir plus, consultez la présentation des règles d'administration.

• Lorsque vous analysez des instances de VM avec des disques persistants chiffrés à l'aide de clés de chiffrement gérées par le client (CMEK), la clé doit être stockée dans la même région que le disque. Il s'agit de l'emplacement global ou du même emplacement géographique que le disque lorsque vous utilisez des clés multirégionales.

• L'évaluation des failles pour Google Cloud ne permet pas d'analyser les disques chiffrés avec des CMEK et situés dans des périmètres VPC Service Controls.

• L'évaluation des failles pour Google Cloud ne prend pas en charge les instances de VM avec des disques persistants chiffrés à l'aide de clés de chiffrement fournies par le client (CSEK).

• L'évaluation des failles pour Google Cloud analyse uniquement les partitions de disque VFAT, EXT2, EXT4, XFS et NTFS.

• L'évaluation des failles pour Google Cloud n'analyse pas les machines virtuelles informatique confidentielle.

Google Kubernetes Engine

Vulnerability Assessment pour Google Cloud ne permet pas d'effectuer les opérations suivantes :

• Prise en charge de l'analyse des conteneurs sur les nœuds GKE configurés pour utiliser des disques SSD locaux pour le stockage éphémère. L'analyseur s'appuie sur le clonage des disques persistants. Étant donné que Compute Engine ne peut pas créer d'instantanés des disques SSD locaux rattachés physiquement, les images de conteneurs stockées sur des disques SSD locaux ne sont pas analysées.

• Incluez les étiquettes de cluster dans les résultats lors de l'analyse des clusters GKE.

• Analyser les nœuds Google Kubernetes Engine confidentiels.

Cloud Run

Aperçu

Cette fonctionnalité est soumise aux "Conditions des offres de pré-DG" de la section "Conditions générales du service" des Conditions spécifiques du service. Les fonctionnalités pré-DG sont disponibles "en l'état" et peuvent avoir une prise en charge limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

• Pour les charges de travail Cloud Run, l'évaluation des failles pour Google Cloud évalue les résultats d'analyse des images de conteneurs plutôt que d'analyser directement les charges de travail. L'évaluation des failles pour Google Cloud ne génère des résultats que si l'image de conteneur est stockée dans un dépôt Artifact Registry appartenant à la même organisationGoogle Cloud que le service, le job ou le pool de nœuds de calcul Cloud Run, à l'exception des miroirs de conteneurs publics Google validés.

• Pour les jobs Cloud Run, l'évaluation des failles pour Google Cloud n'évalue que les images des exécutions qui ont démarré avec succès au cours des 14 derniers jours. Les exécutions non effectuées ou ayant échoué sont ignorées.

• Si un service ou un pool de nœuds de calcul Cloud Run s'exécute pendant plus de 30 jours sans déploiement, extraction d'image ou démarrage à froid, l'analyse continue des failles et expositions courantes (CVE) est suspendue jusqu'à ce qu'une nouvelle extraction ou un nouveau déploiement ait lieu. Après un nouveau déploiement ou une nouvelle extraction d'image, il peut s'écouler jusqu'à 24 heures avant que les résultats reflètent les CVE récemment publiées. Les résultats existants restent actifs dans Security Command Center et sont soumis aux règles de conservation des données pour les résultats.

• Les résultats n'apparaissent que lorsqu'Artifact Analysis analyse ou réanalyse l'image. Le déploiement d'une image précédemment transférée ne déclenche pas d'analyse. Les résultats s'affichent donc après la nouvelle analyse suivante. Si vous déployez un service, un job ou un pool de nœuds de calcul Cloud Run avec une image qui a été transférée vers Artifact Registry précédemment, les résultats pour cette charge de travail s'affichent généralement dans un délai d'environ quatre heures.

Éléments à prendre en compte lors du passage à un niveau de service supérieur ou inférieur

Lorsque vous changez de niveau de service, les fonctionnalités de l'évaluation des failles pour Google Cloud sont remplacées par celles compatibles avec le niveau de service actif.

Les résultats générés par l'activation précédente resteront actifs pendant la durée définie par le niveau de service précédent. Par exemple, lorsque vous passez du niveau Premium au niveau Standard, les résultats générés au niveau Premium restent actifs pendant 72 heures (trois jours). Les nouveaux résultats générés au niveau Standard restent actifs pendant 195 heures.

Avant de commencer

Si vous avez configuré des périmètres VPC Service Controls, créez les règles d'entrée et de sortie requises.

Autorisations pour activer l'évaluation des failles pour Google Cloud

Les autorisations requises dépendent du niveau d'activation de Security Command Center. Pour en savoir plus sur les autorisations requises pour les activations du niveau Premium, consultez Activer le niveau Premium de Security Command Center pour une organisation.

Activations du niveau Standard au niveau de l'organisation

Pour activer l'évaluation des failles pour Google Cloud avec une activation du niveau Standard au niveau de l'organisation, vous devez disposer des rôles IAM suivants :

• Administrateur du centre de sécurité (roles/securitycenter.admin)

• L'un des rôles suivants :

  • Administrateur de sécurité (roles/iam.securityAdmin)
  • Administrateur de l'organisation (roles/resourcemanager.organizationAdmin)

Activations au niveau du projet du niveau Premium ou Standard

Pour activer l'évaluation des failles pour Google Cloud sur un projet lorsque Security Command Center est activé au niveau du projet uniquement, vous devez disposer des rôles IAM suivants :

• Administrateur du centre de sécurité (roles/securitycenter.admin)
• Administrateur de sécurité (roles/iam.securityAdmin)

Agents de service pour analyser les disques

Le service d'évaluation des failles pour Google Cloud utilise des agents de service Security Command Center pour l'identité et l'autorisation d'accéder aux ressources Google Cloud .

Pour les activations de Security Command Center au niveau de l'organisation, l'évaluation des failles pour Google Cloud utilise l'agent de service suivant :

service-org-ORGANIZATION_ID@security-center-api.

Pour les activations de Security Command Center au niveau du projet, Vulnerability Assessment for Google Cloud utilise l'agent de service suivant :

service-project-PROJECT_NUMBER@security-center-api.

Activer ou désactiver l'évaluation des failles pour Google Cloud

Dans les niveaux Premium et Enterprise, l'évaluation des failles pour Google Cloud est automatiquement activée pour toutes les instances de VM, dans la mesure du possible.

Au niveau Standard, vous devez activer manuellement l'évaluation des failles pour Google Cloud au niveau de l'organisation, du dossier ou du projet.

Pour modifier les paramètres de l'évaluation des failles pour Google Cloud , procédez comme suit :

1. Dans la console Google Cloud , accédez à la page Présentation des risques :

   Accéder à l'aperçu des risques

2. Sélectionnez une organisation dans laquelle activer l'évaluation des failles pour Google Cloud.

3. Cliquez sur Paramètres.

4. Dans la section Évaluation des failles, cliquez sur Gérer les paramètres.

5. Dans l'onglet Google Cloud, activez ou désactivez l'évaluation des failles pour Google Cloud au niveau de l'organisation, du dossier ou du projet dans la colonne Évaluation des failles sans agent. Les niveaux inférieurs peuvent hériter de la valeur des niveaux supérieurs.

Analyser des disques chiffrés avec une clé CMEK

Pour autoriser l'évaluation des failles pour Google Cloud à analyser les disques chiffrés avec une CMEK, vous devez attribuer le rôle Chiffreur/Déchiffreur de CryptoKeys Cloud KMS (roles/cloudkms.cryptoKeyEncrypterDecrypter) aux agents de service suivants :

service-org-ORGANIZATION_ID@security-center-api.

service-PROJECT_ID@compute-system.

Si vous disposez de l'agent de service suivant, vous devez également lui attribuer le rôle :

service-org-ORGANIZATION_ID@ctd-ia-org-sa-prod.

Configurer les autorisations au niveau de la clé

1. Accédez à la page Sécurité > Gestion des clés.
2. Sélectionnez le trousseau de clés contenant la clé.
3. Sélectionnez la clé.
4. Dans le panneau d'informations, cliquez sur Autorisations.
5. Saisissez le nom de l'agent de service que vous avez saisi dans le champ Nouveaux comptes principaux.
6. Dans le menu Sélectionner un rôle, sélectionnez Chiffreur/Déchiffreur de CryptoKeys Cloud KMS.
7. Cliquez sur Enregistrer.

Configurer les autorisations de clé au niveau du projet

1. Accédez à IAM et administration > IAM.
2. Cliquez sur Accorder l'accès.
3. Saisissez le nom de l'agent de service que vous avez saisi dans le champ Nouveaux comptes principaux.
4. Dans le menu Sélectionner un rôle, sélectionnez Chiffreur/Déchiffreur de CryptoKeys Cloud KMS.

Remarque : L'évaluation des failles pour Google Cloud pour les disques chiffrés à l'aide de CMEK ne fonctionne qu'avec les projets situés en dehors des périmètres VPC Service Controls.

Pour que les analyses s'exécutent correctement, la clé doit se trouver dans la même région que le disque. L'évaluation des failles pour Google Cloud tente d'analyser les disques chiffrés à l'aide de CMEK. Si vous n'accordez pas les autorisations requises, Google Cloud génère l'erreur suivante dans le journal d'audit : Cloud KMS error when using key.

Résultats générés par l'évaluation des failles pour Google Cloud

Le service d'évaluation des failles pour Google Cloud génère un résultat dans Security Command Center lorsqu'il détecte les éléments suivants :

• Failles logicielles sur une instance de VM Compute Engine.
• Vulnérabilités logicielles sur les nœuds d'un cluster GKE ou sur les conteneurs exécutés sur GKE.
• Vulnérabilités logicielles et secrets exposés sur les services, révisions, jobs et pools de nœuds de calcul Cloud Run (preview).

• Failles liées aux images de conteneurs sur les ressources suivantes :

  • Pods GKE
  • Services App Engine
  • Services et jobs Cloud Run

Fréquence d'analyse

La fréquence des analyses varie selon le niveau de service :

Niveau standard	Niveaux Premium et Enterprise
Une fois par semaine	Environ toutes les 12 heures

Gravité des résultats créés

Vulnerability Assessment pour Google Cloud publie des résultats avec les niveaux de gravité suivants, qui varient selon le niveau de service :

Niveau standard	Niveaux Premium et Enterprise
Critical résultats de gravité	Critical résultats de gravité High

Cycle de vie des résultats

Lorsque l'évaluation des failles pour Google Cloud crée un résultat, celui-ci reste à l'état ACTIVE pendant la période d'état actif suivante, qui varie selon le niveau de service :

Niveau standard	Niveaux Premium et Enterprise
195 heures	72 heures (3 jours)

Si l'évaluation des failles pour Google Cloud détecte à nouveau le résultat pendant la période d'état actif (en fonction du niveau de service), le compteur est réinitialisé et le résultat reste à l'état ACTIVE pendant une autre période d'état actif. Pour en savoir plus sur la durée de conservation des résultats, consultez Conservation des données pour les résultats.

Si l'évaluation des failles pour Google Cloud ne détecte pas à nouveau le résultat pendant la période d'état actif (en fonction du niveau de service), l'évaluation des failles pour Google Cloud définit le résultat surINACTIVE. L'évaluation des failles pour Google Cloud ne détectera pas le résultat dans les conditions suivantes :

• La condition à l'origine du résultat est corrigée.
• L'instance de VM est arrêtée.
• L'instance de VM ou le projet est supprimé.

Pour en savoir plus sur les mises à jour des résultats lorsqu'une ressource est supprimée, consultez Présentation du cycle de vie des résultats.

Informations disponibles dans les résultats

Les résultats contiennent les informations communes suivantes :

• Une description de la faille, y compris les informations suivantes :
  • Le package logiciel contenant la faille et son emplacement
  • Informations issues de l'enregistrement CVE associé
  • Évaluation de la gravité de la faille par Security Command Center
• Si possible, les étapes à suivre pour résoudre le problème, y compris le correctif ou la mise à niveau de version pour résoudre la faille

• Les valeurs de propriété suivantes :

  • Classe : Vulnerability ou Secret
  • Fournisseur de services cloud : Google Cloud
  • Source : Vulnerability Assessment
  • Catégorie : l'une des valeurs suivantes :
    • Container Image Vulnerability
    • OS vulnerability
    • Software vulnerability
    • Secrets in Cloud Run

Certains résultats, qui varient selon le niveau de service, sont enrichis d'informations sur l'impact et l'exploitabilité d'une CVE à l'aide des évaluations de CVE Mandiant.

Niveau standard	Niveaux Premium et Enterprise
Les CVE de gravité critique incluent des informations d'évaluation Mandiant	Les CVE de gravité critique ou élevée incluent des informations d'évaluation Mandiant.

Les résultats générés sur les niveaux de service Premium et Enterprise incluent les informations suivantes :

• Un score d'exposition aux attaques qui vous aide à hiérarchiser les mesures correctives.
• Représentation visuelle du chemin qu'un pirate informatique pourrait emprunter pour accéder aux ressources de forte valeur exposées par la faille.

Résultats pour les failles logicielles détectées

Les résultats des failles logicielles détectées contiennent les informations supplémentaires suivantes :

• Nom complet de la ressource de l'instance de VM ou du cluster GKE concerné.

• Informations sur l'objet concerné lorsque le résultat est lié à une charge de travail GKE, par exemple :

  • CronJob
  • DaemonSet
  • Deployment
  • Job
  • Pod
  • ReplicationController
  • ReplicaSet
  • StatefulSet

Étant donné que l'évaluation des failles pour Google Cloud peut identifier la même faille dans plusieurs conteneurs, l'évaluation des failles pour Google Cloud agrège les failles au niveau de la charge de travail GKE ou du pod. Dans un résultat, vous pouvez voir plusieurs valeurs dans un même champ, par exemple dans le champ files.elem.path.

Résultats pour les failles d'images de conteneurs détectées

Les résultats des failles détectées dans les images de conteneurs contiennent les informations supplémentaires suivantes :

• Nom complet de la ressource de l'image de conteneur.
• Si l'image vulnérable s'exécute sur l'un des services suivants, le résultat inclut le nombre de ressources d'exécution concernées :
  • Pod GKE
  • App Engine
  • Service et révision Cloud Run
  • Job et exécution Cloud Run

Résultats pour les failles et les secrets Cloud Run détectés

Aperçu

Cette fonctionnalité est soumise aux "Conditions des offres de pré-DG" de la section "Conditions générales du service" des Conditions spécifiques du service. Les fonctionnalités pré-DG sont disponibles "en l'état" et peuvent avoir une prise en charge limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

Les résultats pour les services, les jobs et les pools de nœuds de calcul Cloud Run contiennent les informations supplémentaires suivantes :

• Nom de la ressource : nom complet de la ressource du service Cloud Run (//run.googleapis.com/projects/.../locations/.../services/...), du job (//run.googleapis.com/projects/.../locations/.../jobs/...) ou du pool de nœuds de calcul (//run.googleapis.com/projects/.../locations/.../workerPools/...) concerné.
• Révisions actives : pour les services Cloud Run, le résultat liste les noms de ressources d'un maximum de cinq révisions actives qui installent l'image de conteneur vulnérable et diffusent du trafic. Pour les pools de nœuds de calcul, le résultat liste les noms de ressources des révisions actives qui exécutent des instances.
• Side-cars de conteneur : dans les services, jobs et pools de nœuds de calcul multiconteneurs, le résultat spécifie le nom exact du conteneur et le condensé d'image de conteneur résolu contenant la faille du package ou le secret exposé.

Cycle de vie et conservation des résultats pour Cloud Run

Pour les charges de travail Cloud Run, un résultat reste ACTIVE tant qu'une révision active ou un job exécuté fait référence à l'image de conteneur vulnérable. Lorsqu'une nouvelle révision avec une image propre remplace la révision vulnérable, ou lorsque l'allocation de trafic ou d'instances à la révision vulnérable passe à 0 %, le résultat passe automatiquement à INACTIVE.

Pour en savoir plus sur la durée de conservation des résultats, consultez Conservation des données pour les résultats.

Emplacement du package

L'emplacement du fichier d'une faille dans un résultat fait référence aux fichiers de métadonnées binaires ou de package. Ces informations dépendent de l'extracteur SCALIBR utilisé par l'évaluation des failles pour Google Cloud . Pour les failles détectées par l'évaluation des failles pour Google Clouddans un conteneur, il s'agit du chemin d'accès à l'intérieur du conteneur.

Le tableau suivant présente des exemples d'emplacements de failles pour différents extracteurs SCALIBR.

Extracteur SCALIBR	Emplacement du package
Package Debian (dpkg)	/var/lib/dpkg/status
Binaire Go	/usr/bin/google_osconfig_agent
archive Java	/opt/datadog-agent/embedded/lib/python3.9/site-packages/org.jpype.jar
PHP	/var/www/html/vkumark/backend_api/composer.lock
Python	/usr/lib/google-cloud-sdk/platform/bundledpythonunix/lib/python3.11/site-packages/cryptography-42.0.5.dist-info/METADATA
Ruby	/usr/lib/ruby/gems/2.7.0/specifications/default/benchmark-0.1.0.gemspec

Examiner les résultats dans la console

Vous pouvez afficher les résultats de l'évaluation des failles pour Google Cloud dans la console Google Cloud . Avant de le faire, assurez-vous de disposer des rôles appropriés.

Pour examiner les résultats de l'évaluation des failles pour Google Cloud dans la console Google Cloud , procédez comme suit :

1. Dans la console Google Cloud , accédez à la page Résultats de Security Command Center.

   Accéder aux résultats

2. Sélectionnez votre projet ou votre organisation Google Cloud .
3. Dans la sous-section Nom à afficher pour la source de la section Filtres rapides, sélectionnez Évaluation des failles. Les résultats de la requête sont mis à jour pour n'afficher que les résultats de cette source.
4. Pour afficher les détails d'un résultat spécifique, cliquez sur le nom du résultat dans la colonne Catégorie. Le panneau de détails du résultat s'ouvre et affiche l'onglet Résumé.
5. Dans l'onglet Résumé, examinez les détails du résultat, y compris les informations sur ce qui a été détecté, la ressource concernée et, le cas échéant, les étapes à suivre pour corriger le résultat.
6. Facultatif : Pour afficher la définition JSON complète du résultat, cliquez sur l'onglet JSON.