Mengaktifkan dan menggunakan Penilaian Kerentanan untuk Google Cloud

Paket layanan Standard, Premium, dan Enterprise (Tidak digunakan lagi)

Paket layanan Security Command Center Enterprise akan dihentikan pada 21 Mei 2027. Jika organisasi Anda menggunakan paket layanan Enterprise, organisasi tersebut akan otomatis beralih ke paket layanan Premium pada atau setelah 21 Mei 2027. Hubungi Account Representative atau spesialis penjualanGoogle Cloud jika ada pertanyaan.

Penilaian Kerentanan untuk Google Cloud memungkinkan Anda menemukan kerentanan software dan rahasia yang terekspos di resource Google Cloud tanpa menginstal agen. Penilaian Kerentanan untuk Google Cloud memindai instance VM Compute Engine yang sedang berjalan, node dalam cluster GKE Standard, container yang berjalan di cluster GKE Standard dan GKE Autopilot, serta container yang berjalan di workload Cloud Run (Pratinjau).

Cara kerja Vulnerability Assessment untuk Google Cloud

Jenis resource yang dipindai bergantung pada paket layanan Security Command Center, dan mencakup hal berikut:

• Menjalankan instance VM Compute Engine
• Node dalam cluster GKE Standard
• Container yang berjalan di cluster GKE Standard dan GKE Autopilot.
• Container yang berjalan di layanan Cloud Run, revisi aktif, tugas, dan worker pool (Pratinjau).

Untuk instance VM dan cluster GKE, Penilaian Kerentanan untuk Google Cloud berfungsi dengan meng-clone disk instance VM Anda, memasangnya di instance VM aman lainnya, dan memindainya dengan SCALIBR. Clone instance VM memiliki properti berikut:

• Instance ini dibuat di region yang sama dengan instance VM sumber.
• Akun ini dibuat di project milik Google, sehingga tidak menambah biaya Anda.

Untuk membantu Anda mengidentifikasi kerentanan di resource Cloud Run, Penilaian Kerentanan untuk Google Cloud menghubungkan data dari sumber berikut untuk workload Cloud Run (Pratinjau):

• Memindai kemunculan kerentanan dan rahasia container dari Artifact Analysis.
• Informasi tentang resource Cloud Run yang aktif dari Inventaris Aset Cloud.

Temuan yang dihasilkan dilampirkan langsung ke layanan, tugas, atau worker pool Cloud Run yang aktif.

Perbedaan kemampuan antar-tingkat layanan

Kemampuan Penilaian Kerentanan untuk Google Cloud berikut bervariasi bergantung pada tingkat layanan:

• Frekuensi pemindaian
• Tingkat keparahan temuan yang dibuat
• Temuan yang diperkaya dengan data penilaian CVE Mandiant
• Waktu hingga temuan ditandai INACTIVE

Lihat Temuan yang dihasilkan oleh Penilaian Kerentanan untuk Google Cloud untuk mengetahui informasi selengkapnya tentang perbedaan ini.

Batasan

Pertimbangkan batasan berikut saat Anda mengidentifikasi resource yang ingin dipindai:

Compute Engine dan disk

• Agen layanan Security Command Center harus dapat mencantumkan instance VM project dan meng-clone disk-nya ke project milik Google. Pastikan konfigurasi keamanan dan kebijakan, seperti batasan kebijakan organisasi, tidak mengganggu kemampuan agen layanan untuk mengakses dan memindai resource ini.

  Sebagai solusi, sebaiknya tambahkan organisasi google.com, menggunakan ID organisasi 433637338589, ke kebijakan daftar yang diizinkan. Berikut adalah contoh cara mengizinkan organisasi:

  name: organizations/Org-A/policies/compute.storageResourceUseRestrictions
  spec:
    rules:
    – values:
      allowedValues:
      - under:organizations/433637338589

  Untuk mengetahui informasi selengkapnya, lihat Ringkasan Kebijakan Organisasi.

• Saat memindai instance VM dengan persistent disk yang dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK), kunci tersebut harus disimpan di region yang sama dengan disk. Lokasi ini dapat berupa lokasi global atau lokasi geografis yang sama dengan disk saat menggunakan kunci multi-regional.

• Penilaian Kerentanan untuk Google Cloud tidak mendukung pemindaian disk yang dienkripsi dengan CMEK dan yang berada dalam perimeter Kontrol Layanan VPC.

• Penilaian Kerentanan untuk Google Cloud tidak mendukung instance VM dengan persistent disk yang dienkripsi dengan kunci enkripsi yang disediakan pelanggan (CSEK).

• Vulnerability Assessment for Google Cloud hanya memindai partisi disk VFAT, EXT2, EXT4, XFS, dan NTFS.

• Penilaian Kerentanan untuk Google Cloud tidak memindai virtual machine Confidential Computing.

Google Kubernetes Engine

Vulnerability Assessment untuk Google Cloud tidak melakukan hal berikut:

• Mendukung pemindaian container pada node GKE yang dikonfigurasi untuk menggunakan disk SSD Lokal untuk penyimpanan efemeral. Pemindai mengandalkan cloning persistent disk. Karena Compute Engine tidak dapat membuat snapshot SSD Lokal yang terpasang secara fisik, image container yang disimpan di SSD Lokal tidak akan dipindai.

• Sertakan label cluster dalam temuan saat memindai cluster GKE.

• Memindai Confidential Google Kubernetes Engine Nodes.

Cloud Run

Pratinjau

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

• Untuk workload Cloud Run, Penilaian Kerentanan untuk Google Cloud mengevaluasi hasil pemindaian untuk image container, bukan memindai workload secara langsung. Penilaian Kerentanan untuk Google Cloud hanya menghasilkan temuan jika image container disimpan di repositori Artifact Registry yang termasuk dalam organisasi Google Cloud yang sama dengan layanan, tugas, atau worker pool Cloud Run, dengan pengecualian untuk mirror container publik Google yang terverifikasi.

• Untuk tugas Cloud Run, Penilaian Kerentanan untuk Google Cloud hanya mengevaluasi image dari eksekusi yang berhasil dimulai dalam 14 hari terakhir. Operasi yang tidak dijalankan atau gagal akan dilewati.

• Jika layanan atau kumpulan worker Cloud Run berjalan selama lebih dari 30 hari tanpa deployment, pengambilan image, atau cold start, pemindaian Common Vulnerabilities and Exposures (CVE) berkelanjutan akan dijeda hingga pengambilan atau deployment baru terjadi. Setelah pull atau deployment image baru, temuan dapat memerlukan waktu hingga 24 jam untuk mencerminkan CVE yang baru dipublikasikan. Temuan yang ada tetap aktif di Security Command Center dan tunduk pada kebijakan retensi data untuk temuan.

• Temuan hanya muncul saat Artifact Analysis memindai atau menganalisis ulang image. Men-deploy image yang sebelumnya dikirim tidak akan memicu pemindaian, sehingga temuan akan muncul setelah analisis ulang berikutnya. Jika Anda men-deploy layanan, tugas, atau kumpulan worker Cloud Run dengan image yang telah dikirim ke Artifact Registry sebelumnya, temuan untuk workload tersebut biasanya akan muncul dalam waktu sekitar 4 jam.

Pertimbangan saat mengupgrade dan mendowngrade paket layanan

Saat Anda beralih tingkat layanan, kemampuan Penilaian Kerentanan untuk Google Cloud akan berubah menjadi kemampuan yang didukung di tingkat layanan aktif.

Temuan yang dihasilkan oleh aktivasi sebelumnya akan tetap aktif selama waktu yang ditentukan oleh tingkat layanan sebelumnya. Saat melakukan downgrade dari paket Premium ke Standard, misalnya, temuan yang dihasilkan di paket Premium tetap aktif selama 72 jam (3 hari). Temuan baru yang dihasilkan di paket Standard tetap aktif selama 195 jam.

Sebelum memulai

Jika Anda telah menyiapkan perimeter Kontrol Layanan VPC, buat aturan egress dan ingress yang diperlukan.

Izin untuk mengaktifkan Penilaian Kerentanan untuk Google Cloud

Izin yang diperlukan bergantung pada tingkat aktivasi Security Command Center. Untuk mengetahui informasi tentang izin yang diperlukan untuk aktivasi Security Command Center Premium, lihat Mengaktifkan Security Command Center Premium untuk organisasi.

Aktivasi paket Standar di level organisasi

Untuk mengaktifkan Penilaian Kerentanan untuk Google Cloud dengan aktivasi paket Standard di tingkat organisasi, Anda memerlukan peran IAM berikut:

• Security Center Admin (roles/securitycenter.admin)

• Salah satu dari peran berikut:

  • (roles/iam.securityAdmin) Security Admin
  • Organization Admin (roles/resourcemanager.organizationAdmin)

Aktivasi level project untuk paket Premium atau Standard

Untuk mengaktifkan Penilaian Kerentanan untuk Google Cloud di project saat Security Command Center diaktifkan hanya di level project, Anda memerlukan peran IAM berikut:

• Security Center Admin (roles/securitycenter.admin)
• (roles/iam.securityAdmin) Security Admin

Agen layanan untuk memindai disk

Layanan Penilaian Kerentanan untuk Google Cloud menggunakan agen layanan Security Command Center untuk identitas dan izin guna mengakses resource Google Cloud .

Untuk aktivasi level organisasi pada Security Command Center, Penilaian Kerentanan untuk Google Cloud menggunakan agen layanan berikut:

service-org-ORGANIZATION_ID@security-center-api.

Untuk aktivasi level project pada Security Command Center, Penilaian Kerentanan untuk Google Cloud menggunakan agen layanan berikut:

service-project-PROJECT_NUMBER@security-center-api.

Mengaktifkan atau menonaktifkan Penilaian Kerentanan untuk Google Cloud

Pada paket Premium dan Enterprise, Penilaian Kerentanan untuk Google Cloud otomatis diaktifkan untuk semua instance VM jika memungkinkan.

Pada paket Standard, Anda harus mengaktifkan Penilaian Kerentanan secara manual untuk Google Cloud di level organisasi, folder, atau project.

Untuk mengubah setelan Penilaian Kerentanan untuk Google Cloud , lakukan hal berikut:

1. Di konsol Google Cloud , buka halaman Risk Overview:

   Buka Ringkasan Risiko

2. Pilih organisasi untuk mengaktifkan Penilaian Kerentanan untuk Google Cloud.

3. Klik Setelan.

4. Di bagian Vulnerability Assessment, klik Manage settings.

5. Di tab Google Cloud, aktifkan atau nonaktifkan Penilaian Kerentanan untuk Google Cloud di tingkat organisasi, folder, atau project dari kolom Penilaian Kerentanan Tanpa Agen. Tingkat yang lebih rendah dapat mewarisi nilai dari tingkat yang lebih tinggi.

Memindai disk yang dienkripsi dengan CMEK

Agar Penilaian Kerentanan untuk Google Cloud dapat memindai disk yang dienkripsi dengan CMEK, Anda harus memberikan peran Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) kepada agen layanan berikut:

service-org-ORGANIZATION_ID@security-center-api.

service-PROJECT_ID@compute-system.

Jika Anda memiliki agen layanan berikut, Anda juga harus memberikan peran tersebut kepada agen layanan tersebut:

service-org-ORGANIZATION_ID@ctd-ia-org-sa-prod.

Mengonfigurasi izin tingkat kunci

1. Buka halaman Security > Key Management.
2. Pilih key ring yang berisi kunci.
3. Pilih kunci.
4. Di panel info, klik Permissions.
5. Masukkan nama agen layanan yang Anda masukkan di kolom New principals.
6. Di menu Select a role, pilih Cloud KMS CryptoKey Encrypter/Decrypter.
7. Klik Simpan.

Mengonfigurasi izin kunci level project

1. Buka IAM & Admin > IAM.
2. Klik Grant access.
3. Masukkan nama agen layanan yang Anda masukkan di kolom New principals.
4. Di menu Select a role, pilih Cloud KMS CryptoKey Encrypter/Decrypter.

Catatan: Penilaian Kerentanan untuk Google Cloud untuk disk yang dienkripsi menggunakan CMEK hanya berfungsi dengan project yang berada di luar perimeter Kontrol Layanan VPC.

Agar pemindaian berjalan dengan benar, kunci harus berada di region yang sama dengan disk. Vulnerability Assessment for Google Cloud mencoba memindai disk yang dienkripsi menggunakan CMEK. Jika Anda tidak memberikan izin yang diperlukan, Google Cloud akan menghasilkan error berikut di log audit: Cloud KMS error when using key.

Temuan yang dihasilkan oleh Vulnerability Assessment untuk Google Cloud

Layanan Penilaian Kerentanan untuk Google Cloud menghasilkan temuan di Security Command Center saat mendeteksi hal berikut:

• Kerentanan software pada instance VM Compute Engine.
• Kerentanan software pada node di cluster GKE atau container yang berjalan di GKE.
• Kerentanan software dan rahasia yang terekspos pada layanan, revisi, tugas, dan worker pool Cloud Run (Pratinjau).

• Kerentanan image container pada resource berikut:

  • Pod GKE
  • Layanan App Engine
  • Layanan dan tugas Cloud Run

Frekuensi pemindaian

Frekuensi pemindaian bervariasi menurut paket layanan:

Paket Standar	Paket Premium dan Enterprise
Seminggu sekali	Sekitar setiap 12 jam

Tingkat keparahan temuan yang dibuat

Penilaian Kerentanan untuk Google Cloud memublikasikan temuan dengan tingkat keparahan berikut, yang bervariasi berdasarkan paket layanan:

Paket Standar	Paket Premium dan Enterprise
Temuan dengan tingkat keparahan Critical	Temuan dengan tingkat keparahan Critical dan High

Siklus proses temuan

Saat Penilaian Kerentanan untuk Google Cloud membuat temuan, temuan tersebut akan tetap dalam status ACTIVE selama periode status aktif berikut, yang bervariasi menurut paket layanan:

Paket Standar	Paket Premium dan Enterprise
195 jam	72 jam (3 hari)

Jika Penilaian Kerentanan untuk Google Cloud mendeteksi temuan lagi dalam periode status aktif (berdasarkan paket layanan), penghitung akan direset, dan temuan akan tetap dalam status ACTIVE selama periode status aktif lainnya. Untuk mengetahui informasi selengkapnya tentang durasi penyimpanan temuan, lihat Retensi data untuk temuan.

Jika Penilaian Kerentanan untuk Google Cloud tidak mendeteksi temuan lagi dalam periode status aktif (berdasarkan paket layanan), Penilaian Kerentanan untuk Google Cloud akan menetapkan temuan ke INACTIVE. Penilaian Kerentanan untuk Google Cloud tidak akan mendeteksi temuan dalam kondisi berikut:

• Kondisi yang menyebabkan temuan telah diperbaiki.
• Instance VM dihentikan.
• Instance VM atau project dihapus.

Untuk mengetahui informasi selengkapnya tentang update pada temuan saat resource dihapus, lihat Ringkasan siklus proses temuan.

Informasi yang tersedia dalam temuan

Temuan berisi informasi umum berikut:

• Deskripsi kerentanan, termasuk informasi berikut:
  • Paket software yang berisi kerentanan dan lokasinya
  • Informasi dari data CVE terkait
  • Penilaian dari Security Command Center terkait tingkat keparahan kerentanan
• Jika tersedia, langkah-langkah untuk memperbaiki masalah, termasuk patch atau upgrade versi untuk mengatasi kerentanan

• Nilai properti berikut:

  • Kelas: Vulnerability atau Secret
  • Penyedia layanan cloud: Google Cloud
  • Sumber: Vulnerability Assessment
  • Category: Salah satu dari nilai berikut:
    • Container Image Vulnerability
    • OS vulnerability
    • Software vulnerability
    • Secrets in Cloud Run

Temuan tertentu, yang bervariasi menurut paket layanan, diperkaya dengan informasi tentang dampak dan eksploitabilitas CVE menggunakan penilaian CVE Mandiant.

Paket Standar	Paket Premium dan Enterprise
CVE yang memiliki tingkat keparahan Kritis menyertakan informasi penilaian Mandiant	CVE yang memiliki tingkat keparahan Kritis atau Tinggi menyertakan informasi penilaian Mandiant

Temuan yang dihasilkan pada paket layanan Premium dan Enterprise mencakup informasi berikut:

• Skor eksposur serangan yang membantu Anda memprioritaskan perbaikan.
• Representasi visual jalur yang mungkin diambil penyerang ke resource bernilai tinggi yang terekspos oleh kerentanan.

Temuan untuk kerentanan software yang terdeteksi

Temuan untuk kerentanan software yang terdeteksi berisi informasi tambahan berikut:

• Nama resource lengkap dari instance VM atau cluster GKE yang terpengaruh.

• Informasi tentang objek yang terpengaruh saat temuan terkait dengan workload GKE, misalnya:

  • CronJob
  • DaemonSet
  • Deployment
  • Job
  • Pod
  • ReplicationController
  • ReplicaSet
  • StatefulSet

Karena Penilaian Kerentanan untuk Google Cloud dapat mengidentifikasi kerentanan yang sama di beberapa container, Penilaian Kerentanan untuk Google Cloud menggabungkan kerentanan di tingkat workload GKE atau tingkat Pod. Dalam temuan, Anda mungkin melihat beberapa nilai dalam satu kolom, misalnya di kolom files.elem.path.

Temuan untuk kerentanan image container yang terdeteksi

Temuan untuk kerentanan image container yang terdeteksi berisi informasi tambahan berikut:

• Nama lengkap resource image container
• Jika image yang rentan berjalan di salah satu layanan berikut, temuan akan menyertakan jumlah resource runtime yang terpengaruh:
  • Pod GKE
  • App Engine
  • Layanan dan Revisi Cloud Run
  • Tugas dan Eksekusi Cloud Run

Temuan untuk kerentanan dan secret Cloud Run yang terdeteksi

Pratinjau

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Temuan untuk layanan, tugas, dan worker pool Cloud Run berisi informasi tambahan berikut:

• : Nama resource: Nama resource lengkap dari layanan Cloud Run (//run.googleapis.com/projects/.../locations/.../services/...), tugas (//run.googleapis.com/projects/.../locations/.../jobs/...), atau worker pool (//run.googleapis.com/projects/.../locations/.../workerPools/...) yang terpengaruh.
• Revisi aktif: Untuk layanan Cloud Run, temuan ini mencantumkan nama resource hingga lima revisi aktif yang memasang image container yang rentan dan menyalurkan traffic. Untuk worker pool, temuan ini mencantumkan nama resource revisi aktif yang menjalankan instance.
• Sidecar container: Dalam layanan multi-container, tugas, dan worker pool, temuan ini menentukan nama container yang tepat dan ringkasan image container yang di-resolve yang berisi kerentanan paket atau secret yang terekspos.

Siklus proses dan retensi temuan untuk Cloud Run

Untuk workload Cloud Run, temuan akan tetap ACTIVE selama revisi aktif atau tugas yang dijalankan mereferensikan image container yang rentan. Saat revisi baru dengan image yang bersih menggantikan revisi yang rentan atau saat traffic atau alokasi instance ke revisi yang rentan turun menjadi 0%, temuan akan otomatis beralih ke INACTIVE.

Untuk mengetahui informasi tentang durasi penyimpanan temuan, lihat Retensi data untuk temuan.

Lokasi paket

Lokasi file kerentanan dalam temuan mengacu pada file metadata biner atau paket. Informasi ini bergantung pada ekstraktor SCALIBR yang digunakan oleh Penilaian Kerentanan untuk Google Cloud . Untuk kerentanan yang ditemukan oleh Penilaian Kerentanan untuk Google Cloud dalam container, ini adalah jalur di dalam container.

Tabel berikut menunjukkan contoh lokasi kerentanan untuk berbagai ekstraktor SCALIBR.

Ekstraktor SCALIBR	Lokasi paket
Paket Debian (dpkg)	/var/lib/dpkg/status
Biner Go	/usr/bin/google_osconfig_agent
Arsip Java	/opt/datadog-agent/embedded/lib/python3.9/site-packages/org.jpype.jar
PHP	/var/www/html/vkumark/backend_api/composer.lock
Python	/usr/lib/google-cloud-sdk/platform/bundledpythonunix/lib/python3.11/site-packages/cryptography-42.0.5.dist-info/METADATA
Ruby	/usr/lib/ruby/gems/2.7.0/specifications/default/benchmark-0.1.0.gemspec

Meninjau temuan di konsol

Anda dapat melihat temuan Penilaian Kerentanan untuk Google Cloud di konsol Google Cloud . Sebelum melakukannya, pastikan Anda memiliki peran yang sesuai.

Untuk meninjau temuan Penilaian Kerentanan untuk Google Cloud di konsol Google Cloud , ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka halaman Findings di Security Command Center.

   Buka Findings

2. Pilih project atau organisasi Google Cloud Anda.
3. Di bagian Quick filters, di subbagian Nama tampilan sumber, pilih Vulnerability Assessment. Hasil kueri temuan diperbarui untuk hanya menampilkan temuan dari sumber ini.
4. Untuk melihat detail temuan tertentu, klik nama temuan di kolom Category. Panel detail untuk temuan akan terbuka dan menampilkan tab Summary.
5. Di tab Summary, tinjau detail temuan, termasuk informasi tentang apa yang terdeteksi, resource yang terpengaruh, dan—jika tersedia—langkah-langkah yang dapat Anda lakukan untuk memperbaiki temuan.
6. Opsional: Untuk melihat definisi JSON lengkap temuan, klik tab JSON.