Attivare e utilizzare la valutazione delle vulnerabilità per Google Cloud

Livelli di servizio Standard, Premium ed Enterprise (deprecato)

Il livello di servizio Security Command Center Enterprise verrà disattivato il 21 maggio 2027. Se la tua organizzazione utilizza il livello di servizio Enterprise, passerà automaticamente al livello di servizio Premium a partire dal 21 maggio 2027. In caso di domande, contatta il tuo rappresentante dell'account o uno specialista di vendita diGoogle Cloud .

La valutazione delle vulnerabilità per Google Cloud ti consente di scoprire vulnerabilità software e secret esposti nelle risorse Google Cloud senza installare agenti. Valutazione delle vulnerabilità per le scansioni di Google Cloud che eseguono istanze VM di Compute Engine, nodi nei cluster GKE Standard, container in esecuzione nei cluster GKE Standard e GKE Autopilot e container in esecuzione nei workload Cloud Run (anteprima).

Come funziona Vulnerability Assessment per Google Cloud

I tipi di risorse scansionate dipendono dal livello di servizio di Security Command Center e includono:

• Istanze VM di Compute Engine in esecuzione
• Nodi nei cluster GKE Standard
• Container in esecuzione nei cluster GKE Standard e GKE Autopilot.
• Container in esecuzione nei servizi Cloud Run, nelle revisioni attive, nei job e nei pool di worker (anteprima).

Per le istanze VM e i cluster GKE, Vulnerability Assessment for Google Cloud funziona clonando i dischi delle istanze VM, montandoli in un'altra istanza VM sicura ed eseguendo la scansione con SCALIBR. Il clone dell'istanza VM ha le seguenti proprietà:

• Viene creata nella stessa regione dell'istanza VM di origine.
• Viene creato in un progetto di proprietà di Google, quindi non comporta costi aggiuntivi.

Per aiutarti a identificare le vulnerabilità nelle risorse Cloud Run, Vulnerability Assessment for Google Cloud correla i dati delle seguenti origini per i workload Cloud Run (anteprima):

• Occorrenze di scansione per vulnerabilità e secret dei container da Artifact Analysis.
• Informazioni sulle risorse Cloud Run attive da Cloud Asset Inventory.

I risultati generati sono collegati direttamente al servizio, al job o al pool di worker Cloud Run attivo.

Differenze di funzionalità tra i livelli di servizio

Le seguenti funzionalità di Vulnerability Assessment per Google Cloud variano in base al livello di servizio:

• La frequenza di scansione
• La gravità dei risultati creati
• Quali risultati sono arricchiti con i dati di valutazione delle CVE di Mandiant
• Il tempo che intercorre prima che un risultato venga contrassegnato come INACTIVE

Per ulteriori informazioni su queste differenze, consulta Risultati generati da Vulnerability Assessment per Google Cloud.

Limitazioni

Tieni presenti le seguenti limitazioni quando identifichi le risorse che vuoi analizzare:

Compute Engine e i dischi

• Gli agenti di servizio di Security Command Center devono essere in grado di elencare le istanze VM del progetto e clonare i relativi dischi in progetti di proprietà di Google. Assicurati che le configurazioni di sicurezza e delle policy, come i vincoli delle policy dell'organizzazione, non interferiscano con la capacità dell'agente di servizio di accedere a queste risorse ed eseguirne la scansione.

  Come soluzione, ti consigliamo di aggiungere l'organizzazione google.com, utilizzando l'ID organizzazione 433637338589, alle policy della lista consentita. Di seguito è riportato un esempio di come inserire l'organizzazione nella lista consentita:

  name: organizations/Org-A/policies/compute.storageResourceUseRestrictions
  spec:
    rules:
    – values:
      allowedValues:
      - under:organizations/433637338589

  Per saperne di più, consulta la panoramica delle policy dell'organizzazione.

• Quando esegui la scansione di istanze VM con Persistent Disk criptati con chiavi di crittografia gestite dal cliente (CMEK), la chiave deve essere archiviata nella stessa regione del disco. Si tratta della posizione globale o della stessa posizione geografica del disco quando utilizzi chiavi multiregionali.

• La valutazione delle vulnerabilità per Google Cloud non supporta la scansione dei dischi criptati con CMEK e che si trovano all'interno dei perimetri dei Controlli di servizio VPC.

• Vulnerability Assessment per Google Cloud non supporta le istanze VM con Persistent Disk criptati con chiavi di crittografia fornite dal cliente (CSEK).

• Vulnerability Assessment per Google Cloud esegue la scansione solo delle partizioni dei dischi VFAT, EXT2, EXT4, XFS e NTFS.

• La valutazione delle vulnerabilità per Google Cloud non esegue la scansione delle macchine virtuali di Confidential Computing.

Google Kubernetes Engine

Vulnerability Assessment per Google Cloud non esegue le seguenti operazioni:

• Supporto della scansione dei container sui nodi GKE configurati per l'utilizzo di dischi SSD locali per l'archiviazione temporanea. Lo scanner si basa sulla clonazione dei Persistent Disk. Poiché Compute Engine non può creare snapshot delle unità SSD locali collegate fisicamente, le immagini container archiviate sulle unità SSD locali non vengono analizzate.

• Includi le etichette dei cluster nei risultati durante l'analisi dei cluster GKE.

• Scansiona i nodi Confidential Google Kubernetes Engine.

Cloud Run

Anteprima

Questa funzionalità è soggetta ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

• Per i workload di Cloud Run, Vulnerability Assessment for Google Cloud valuta i risultati della scansione per le immagini container anziché scansionare direttamente i workload. Vulnerability Assessment for Google Cloud genera risultati solo se l'immagine container è archiviata in un repository Artifact Registry che appartiene alla stessa organizzazioneGoogle Cloud del servizio, del job o del pool di worker Cloud Run, con eccezioni per i mirror dei container pubblici di Google verificati.

• Per i job Cloud Run, Vulnerability Assessment per Google Cloud valuta le immagini solo dalle esecuzioni avviate correttamente negli ultimi 14 giorni. Le esecuzioni non eseguite o non riuscite vengono ignorate.

• Se un servizio o un pool di worker Cloud Run viene eseguito per più di 30 giorni senza un deployment, un pull di immagini o un cold start, la scansione continua delle vulnerabilità ed esposizioni comuni (CVE) viene messa in pausa fino a quando non si verifica un nuovo pull o deployment. Dopo un nuovo pull o deployment di immagini, i risultati possono richiedere fino a 24 ore per riflettere le CVE appena pubblicate. I risultati esistenti rimangono attivi in Security Command Center e sono soggetti alle policy sulla conservazione dei dati per i risultati.

• I risultati vengono visualizzati solo quando Artifact Analysis esegue la scansione o la nuova analisi dell'immagine. Il deployment di un'immagine di cui è stato eseguito il push in precedenza non attiva una scansione, quindi i risultati vengono visualizzati dopo la nuova analisi successiva. Se esegui il deployment di un servizio, un job o un pool di worker Cloud Run con un'immagine di cui è stato eseguito il push ad Artifact Registry in precedenza, i risultati per quel workload vengono visualizzati in genere entro circa 4 ore.

Considerazioni sull'upgrade e sul downgrade dei livelli di servizio

Quando cambi livello di servizio, le funzionalità di Vulnerability Assessment per Google Cloud cambiano in quelle supportate nel livello di servizio attivo.

I risultati generati dall'attivazione precedente rimarranno attivi per il periodo di tempo definito dal livello di servizio precedente. Ad esempio, quando esegui il downgrade dal livello Premium al livello Standard, i risultati generati nel livello Premium rimangono attivi per 72 ore (3 giorni). I nuovi risultati generati nel livello Standard rimangono attivi per 195 ore.

Prima di iniziare

Se hai configurato i perimetri dei Controlli di servizio VPC, crea le regole in entrata e in uscita richieste.

Autorizzazioni per attivare Vulnerability Assessment per Google Cloud

Le autorizzazioni richieste dipendono dal livello di attivazione di Security Command Center. Per informazioni sulle autorizzazioni richieste per le attivazioni del livello Premium, consulta Attiva il livello Premium di Security Command Center per un'organizzazione.

Attivazioni a livello di organizzazione del livello Standard

Per attivare Vulnerability Assessment per Google Cloud con un'attivazione di livello Standard a livello di organizzazione, devi disporre dei seguenti ruoli IAM:

• Security Center Admin (roles/securitycenter.admin)

• Uno dei seguenti ruoli:

  • Amministratore sicurezza (roles/iam.securityAdmin)
  • Amministratore dell'organizzazione (roles/resourcemanager.organizationAdmin)

Attivazioni a livello di progetto del livello Premium o Standard

Per abilitare Vulnerability Assessment per Google Cloud su un progetto quando Security Command Center è attivato solo a livello di progetto, devi disporre dei seguenti ruoli IAM:

• Security Center Admin (roles/securitycenter.admin)
• Amministratore sicurezza (roles/iam.securityAdmin)

Agenti di servizio per la scansione dei dischi

Il servizio Vulnerability Assessment for Google Cloud utilizza gli agenti di servizio di Security Command Center per l'identità e l'autorizzazione di accesso alle risorse Google Cloud .

Per le attivazioni di Security Command Center a livello di organizzazione, Vulnerability Assessment for Google Cloud utilizza il seguente agente di servizio:

service-org-ORGANIZATION_ID@security-center-api.

Per le attivazioni di Security Command Center a livello di progetto, Vulnerability Assessment per Google Cloud utilizza il seguente agente di servizio:

service-project-PROJECT_NUMBER@security-center-api.

Abilita o disabilita la valutazione delle vulnerabilità per Google Cloud

Nei livelli Premium ed Enterprise, la valutazione delle vulnerabilità per Google Cloud viene attivata automaticamente per tutte le istanze VM, ove possibile.

Nel livello Standard, devi attivare manualmente Vulnerability Assessment for Google Cloud a livello di organizzazione, cartella o progetto.

Per modificare le impostazioni di Vulnerability Assessment per Google Cloud , segui questi passaggi:

1. Nella console Google Cloud , vai alla pagina Panoramica dei rischi:

   Vai alla pagina Panoramica dei rischi

2. Seleziona un'organizzazione in cui attivare Vulnerability Assessment per Google Cloud.

3. Fai clic su Impostazioni.

4. Nella sezione Valutazione delle vulnerabilità, fai clic su Gestisci impostazioni.

5. Nella scheda Google Cloud, attiva o disattiva la valutazione delle vulnerabilità per Google Cloud a livello di organizzazione, cartella o progetto dalla colonna Valutazione delle vulnerabilità senza agenti. I livelli inferiori possono ereditare il valore dai livelli superiori.

Scansiona i dischi criptati con CMEK

Per consentire a Vulnerability Assessment per Google Cloud di scansionare i dischi criptati con CMEK, devi concedere il ruolo Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) ai seguenti agenti di servizio:

service-org-ORGANIZATION_ID@security-center-api.

service-PROJECT_ID@compute-system.

Se hai il seguente agente di servizio, devi concedere il ruolo anche a questo agente di servizio:

service-org-ORGANIZATION_ID@ctd-ia-org-sa-prod.

Configura le autorizzazioni a livello di chiave

1. Vai alla pagina Sicurezza > Gestione delle chiavi.
2. Seleziona il keyring contenente la chiave.
3. Seleziona la chiave.
4. Nel riquadro informazioni, fai clic su Autorizzazioni.
5. Inserisci il nome dell'agente di servizio che hai inserito nel campo Nuove entità.
6. Nel menu Seleziona un ruolo, seleziona Cloud KMS CryptoKey Encrypter/Decrypter.
7. Fai clic su Salva.

Configura le autorizzazioni per le chiavi a livello di progetto

1. Vai a IAM e amministrazione > IAM.
2. Fai clic su Concedi l'accesso.
3. Inserisci il nome dell'agente di servizio che hai inserito nel campo Nuove entità.
4. Nel menu Seleziona un ruolo, seleziona Cloud KMS CryptoKey Encrypter/Decrypter.

Nota: Vulnerability Assessment for Google Cloud per i dischi criptati utilizzando CMEK funziona solo con i progetti che si trovano al di fuori dei perimetri dei Controlli di servizio VPC.

Affinché le scansioni vengano eseguite correttamente, la chiave deve trovarsi nella stessa regione del disco. Vulnerability Assessment for Google Cloud tenta di scansionare i dischi criptati utilizzando CMEK. Se non concedi le autorizzazioni richieste, Google Cloud genera il seguente errore nell'audit log: Cloud KMS error when using key.

Risultati generati da Vulnerability Assessment per Google Cloud

Il servizio Vulnerability Assessment for Google Cloud genera un risultato in Security Command Center quando rileva quanto segue:

• Vulnerabilità del software in un'istanza VM di Compute Engine.
• Vulnerabilità del software sui nodi di un cluster GKE o sui container in esecuzione su GKE.
• Vulnerabilità del software e secret esposti su servizi, revisioni, job e pool di worker Cloud Run (anteprima).

• Vulnerabilità delle immagini container nelle seguenti risorse:

  • Pod GKE
  • Servizi App Engine
  • Servizi e job Cloud Run

Frequenza di scansione

La frequenza delle scansioni varia in base al livello di servizio:

Livello Standard	Livelli Premium ed Enterprise
Una volta alla settimana	Circa ogni 12 ore

Gravità dei risultati creati

Vulnerability Assessment per Google Cloud pubblica i risultati con le seguenti gravità, che variano in base al livello di servizio:

Livello Standard	Livelli Premium ed Enterprise
Risultati con gravità Critical	Risultati con gravità Critical e High

Ciclo di vita dei risultati

Quando Vulnerability Assessment for Google Cloud crea un risultato, questo rimane nello stato ACTIVE per il seguente periodo di stato attivo, che varia in base al livello di servizio:

Livello Standard	Livelli Premium ed Enterprise
195 ore	72 ore (3 giorni)

Se Vulnerability Assessment for Google Cloud rileva nuovamente il risultato entro il periodo di stato attivo (in base al livello di servizio), il contatore viene reimpostato e il risultato rimane nello stato ACTIVE per un altro periodo di stato attivo. Per saperne di più sul periodo di conservazione dei risultati, consulta Conservazione dei dati per i risultati.

Se Vulnerability Assessment for Google Cloud non rileva nuovamente il risultato entro il periodo di stato attivo (in base al livello di servizio), Vulnerability Assessment for Google Cloud imposta il risultato su INACTIVE. Vulnerability Assessment per Google Cloud non rileverà il risultato nelle seguenti condizioni:

• La condizione che ha causato il risultato è stata corretta.
• L'istanza VM è stata arrestata.
• L'istanza VM o il progetto viene eliminato.

Per ulteriori informazioni sugli aggiornamenti dei risultati quando una risorsa viene eliminata, consulta Panoramica del ciclo di vita dei risultati.

Informazioni disponibili nei risultati

I risultati contengono le seguenti informazioni comuni:

• Una descrizione della vulnerabilità, incluse le seguenti informazioni:
  • Il pacchetto software contenente la vulnerabilità e la sua posizione
  • Informazioni dal record CVE associato
  • Una valutazione della gravità della vulnerabilità da parte di Security Command Center
• Se disponibili, i passaggi per risolvere il problema, tra cui la patch o l'upgrade della versione per risolvere la vulnerabilità

• I seguenti valori delle proprietà:

  • Classe: Vulnerability o Secret
  • Provider di servizi cloud: Google Cloud
  • Origine: Vulnerability Assessment
  • Categoria: uno dei seguenti valori:
    • Container Image Vulnerability
    • OS vulnerability
    • Software vulnerability
    • Secrets in Cloud Run

Alcuni risultati, che variano in base al livello di servizio, vengono arricchiti con informazioni sull'impatto e sulla sfruttabilità di una CVE utilizzando le valutazioni delle CVE di Mandiant.

Livello Standard	Livelli Premium ed Enterprise
Le CVE con gravità critica includono informazioni sulla valutazione di Mandiant	Le CVE con gravità critica o alta includono informazioni sulla valutazione di Mandiant

I risultati generati nei livelli di servizio Premium ed Enterprise includono le seguenti informazioni:

• Un punteggio di esposizione agli attacchi che ti aiuta a dare la priorità alle correzioni.
• Una rappresentazione visiva del percorso che un utente malintenzionato potrebbe seguire per raggiungere risorse di alto valore esposte dalla vulnerabilità.

Risultati per le vulnerabilità software rilevate

I risultati relativi alle vulnerabilità software rilevate contengono le seguenti informazioni aggiuntive:

• Il nome completo della risorsa dell'istanza VM o del cluster GKE interessato.

• Informazioni sull'oggetto interessato quando il risultato si riferisce a un workload GKE, ad esempio:

  • CronJob
  • DaemonSet
  • Deployment
  • Job
  • Pod
  • ReplicationController
  • ReplicaSet
  • StatefulSet

Poiché Vulnerability Assessment for Google Cloud può identificare la stessa vulnerabilità in più container, Vulnerability Assessment for Google Cloud aggrega le vulnerabilità a livello di workload o pod GKE. In un risultato, potresti vedere più valori in un singolo campo, ad esempio nel campo files.elem.path.

Risultati per le vulnerabilità delle immagini container rilevate

I risultati relativi alle vulnerabilità delle immagini container rilevate contengono le seguenti informazioni aggiuntive:

• Il nome completo della risorsa dell'immagine container
• Se l'immagine vulnerabile è in esecuzione su uno dei seguenti servizi, il risultato include un conteggio delle risorse di runtime interessate:
  • Pod GKE
  • App Engine
  • Servizio e revisione Cloud Run
  • Job ed esecuzione Cloud Run

Risultati relativi a vulnerabilità e secret di Cloud Run rilevati

Anteprima

Questa funzionalità è soggetta ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

I risultati per i servizi, i job e i pool di worker Cloud Run contengono le seguenti informazioni aggiuntive:

• Nome risorsa: il nome completo della risorsa del servizio Cloud Run (//run.googleapis.com/projects/.../locations/.../services/...), del job (//run.googleapis.com/projects/.../locations/.../jobs/...) o del pool di worker (//run.googleapis.com/projects/.../locations/.../workerPools/...) interessato.
• Revisioni attive: per i servizi Cloud Run, il risultato elenca i nomi delle risorse di un massimo di cinque revisioni attive che montano l'immagine container vulnerabile e gestiscono il traffico. Per i pool di worker, il risultato elenca i nomi delle risorse delle revisioni attive che eseguono istanze.
• Sidecar dei container: nei servizi, nei job e nei pool di worker multi-container, il risultato specifica il nome esatto del container e il digest dell'immagine container risolto contenente la vulnerabilità del pacchetto o il secret esposto.

Ciclo di vita e conservazione dei risultati per Cloud Run

Per i workload Cloud Run, un risultato rimane ACTIVE finché una revisione attiva o un job eseguito fa riferimento all'immagine container vulnerabile. Quando una nuova revisione con un'immagine pulita sostituisce la revisione vulnerabile o quando l'allocazione del traffico o delle istanze alla revisione vulnerabile scende allo 0%, il risultato passa automaticamente a INACTIVE.

Per informazioni sulla durata della conservazione dei risultati, consulta Conservazione dei dati per i risultati.

Località pacchetto

La posizione del file di una vulnerabilità in un risultato si riferisce ai file di metadati del file binario o del pacchetto. Queste informazioni dipendono dall'estrattore SCALIBR utilizzato da Vulnerability Assessment per Google Cloud . Per le vulnerabilità rilevate da Vulnerability Assessment for Google Cloud in un container, questo è il percorso all'interno del container.

La seguente tabella mostra esempi di posizioni delle vulnerabilità per vari estrattori SCALIBR.

Estrattore SCALIBR	Località pacchetto
Pacchetto Debian (dpkg)	/var/lib/dpkg/status
Binario Go	/usr/bin/google_osconfig_agent
archivio Java	/opt/datadog-agent/embedded/lib/python3.9/site-packages/org.jpype.jar
PHP	/var/www/html/vkumark/backend_api/composer.lock
Python	/usr/lib/google-cloud-sdk/platform/bundledpythonunix/lib/python3.11/site-packages/cryptography-42.0.5.dist-info/METADATA
Ruby	/usr/lib/ruby/gems/2.7.0/specifications/default/benchmark-0.1.0.gemspec

Esamina i risultati nella console

Puoi visualizzare i risultati di Vulnerability Assessment for Google Cloud nella console Google Cloud . Prima di farlo, assicurati di disporre dei ruoli appropriati.

Per esaminare i risultati della valutazione delle vulnerabilità per Google Cloud nella console Google Cloud , segui questi passaggi:

1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

   Vai ai risultati

2. Seleziona il tuo progetto o la tua organizzazione Google Cloud .
3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Vulnerability Assessment. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per correggere il risultato.
6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.