Mejorar la estrategia de seguridad con estadísticas de recursos

gcloud

gcloud recommender insights list \
    --SCOPE \
    --location=global \
    --insight-type=google.cloudasset.asset.Insight \
    --filter="insightSubtype:SUBTYPE" \

Proporciona los siguientes valores:

• SCOPE: usa uno de los siguientes valores:

  • project=PROJECT_ID, donde PROJECT_ID es el ID del proyecto del que quieres obtener estadísticas.

  • folder=FOLDER_ID, donde FOLDER_ID es el ID de la carpeta de la que quieres obtener estadísticas.

    Cómo encontrar el ID de una Google Cloud carpeta

    Google Cloud consola

    Para encontrar el ID de una carpeta de Google Cloud , sigue estos pasos:

    1. Ve a la Google Cloud consola.

       Ve a la Google Cloud consola

    2. En la barra de menús, haz clic en el cuadro de lista del selector.
    3. Selecciona tu organización en el cuadro de lista.
    4. Busca el nombre de la carpeta. El ID de la carpeta se muestra junto al nombre de la carpeta.

    CLI de gcloud

    Puedes obtener el ID de una Google Cloud carpeta que se encuentre a nivel de organización con el siguiente comando:

    gcloud resource-manager folders list \
        --organization=$(gcloud organizations describe ORGANIZATION_NAME \
          --format="value(name.segment(1))") \
        --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \
        --format="value(ID)"

    Donde TOP_LEVEL_FOLDER_NAME es una coincidencia parcial o completa de la cadena del nombre de la carpeta. Quita la marca --format para ver más información sobre las carpetas encontradas.

    El comando anterior no devuelve los IDs de las subcarpetas de las carpetas. Para ello, ejecuta el siguiente comando con el ID de una carpeta de nivel superior:

    gcloud resource-manager folders list --folder=FOLDER_ID

  • organization=ORGANIZATION_ID, donde ORGANIZATION_ID es el ID de la organización de la que quieres obtener estadísticas.

    Cómo encontrar el ID de una Google Cloud organización

    Google Cloud consola

    Para encontrar el ID de una organización de Google Cloud , sigue estos pasos:

    1. Ve a la Google Cloud consola.

       Ve a la Google Cloud consola

    2. En la barra de menús, haz clic en el cuadro de lista del selector.
    3. Selecciona tu organización en el cuadro de lista.
    4. Haz clic en la pestaña Todas. El ID de la organización se muestra junto al nombre de la organización.

    CLI de gcloud

    Puedes obtener el ID de una Google Cloud organización con el siguiente comando:

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

• BILLING_PROJECT_ID: opcional. El ID del proyecto en el que se encuentra el agente de servicio predeterminado de Cloud Asset Inventory, que tiene permisos para gestionar tu facturación y tu cuota. Consulta más información sobre cómo definir el proyecto de facturación.

• SUBTYPE: el subtipo de estadística del recurso. Uno de los siguientes valores:

  • EXTERNAL_MEMBER: detecta políticas de IAM que contienen usuarios o grupos que pertenecen a un dominio ajeno a los dominios de tu organización.
  • EXTERNAL_POLICY_EDITOR: detecta políticas de gestión de identidades y accesos que contienen usuarios o grupos ajenos a los dominios de tu organización a los que se les ha concedido permiso para modificar políticas de gestión de identidades y accesos.
  • EXTERNAL_CLOUD_STORAGE_OBJECT_VIEWER: detecta políticas de gestión de identidades y accesos que contienen usuarios o grupos ajenos a los dominios de tu organización a los que se les ha concedido permiso para obtener o enumerar objetos de almacenamiento (permiso storage.objects.list o storage.objects.get).
  • EXTERNAL_SERVICE_ACCOUNT_IMPERSONATOR: detecta políticas de IAM que contienen usuarios o grupos ajenos a los dominios de tu organización a los que se les ha concedido permiso para suplantar cuentas de servicio.
  • TERMINATED_MEMBER: detecta políticas de gestión de identidades y accesos que contengan usuarios o grupos con cuentas desactivadas, eliminadas o purgadas.
  • PUBLIC_IAM_POLICY: detecta las políticas de gestión de identidades y accesos que contienen todos los usuarios o todos los usuarios autenticados.
  • OWNER_TERMINATED_PROJECT: detecta proyectos que no contienen ningún usuario ni grupo activo en la política de gestión de identidades y accesos del proyecto.

Si no se especifica, se devuelven todos los subtipos.

Consulta la referencia de la CLI de gcloud para ver todas las opciones.

Ejemplo

Ejecuta el siguiente comando para enumerar las estadísticas del proyecto my-project.

gcloud recommender insights list \
    --project=my-project \
    --location=global \
    --insight-type=google.cloudasset.asset.Insight

Respuesta de ejemplo

INSIGHT_ID: 00000000-0000-0000-0000-000000000000
CATEGORY: SECURITY
INSIGHT_STATE: ACTIVE
LAST_REFRESH_TIME: 2024-01-30T00:00:00Z
SEVERITY: LOW
INSIGHT_SUBTYPE: EXTERNAL_MEMBER
DESCRIPTION: Domain example.com detected in 1 IAM policies

REST

Método HTTP y URL:

GET https://recommender.googleapis.com/v1/SCOPE_PATH/locations/global/insightTypes/google.cloudasset.asset.Insight/insights

Encabezados:

X-Goog-User-Project: BILLING_PROJECT_ID

Proporciona los siguientes valores:

• SCOPE_PATH: usa uno de los siguientes valores:

  Los valores permitidos son:

  • projects/PROJECT_ID, donde PROJECT_ID es el ID del proyecto del que quieres obtener estadísticas.

  • projects/PROJECT_NUMBER, donde PROJECT_NUMBER es el número del proyecto del que quieres obtener estadísticas.

    Cómo encontrar el Google Cloud número de proyecto

    Google Cloud consola

    Para encontrar un número de proyecto de Google Cloud , sigue estos pasos:

    1. Ve a la página Bienvenida de la Google Cloud consola.

       Ir a Bienvenida

    2. En la barra de menús, haz clic en el cuadro de lista del selector.

    3. Selecciona tu organización en el cuadro de lista y, a continuación, busca el nombre de tu proyecto. El nombre, el número y el ID del proyecto se muestran cerca del encabezado Bienvenido.

       Se muestran hasta 4000 recursos. Si no ves el proyecto que buscas, ve a la página Gestionar recursos y filtra la lista por el nombre de ese proyecto.

    CLI de gcloud

    Puedes obtener un Google Cloud número de proyecto con el siguiente comando:

    gcloud projects describe PROJECT_ID --format="value(projectNumber)"

  • folders/FOLDER_ID, donde FOLDER_ID es el ID de la carpeta de la que quieres obtener estadísticas.

    Cómo encontrar el ID de una Google Cloud carpeta

    Google Cloud consola

    Para encontrar el ID de una carpeta de Google Cloud , sigue estos pasos:

    1. Ve a la Google Cloud consola.

       Ve a la Google Cloud consola

    2. En la barra de menús, haz clic en el cuadro de lista del selector.
    3. Selecciona tu organización en el cuadro de lista.
    4. Busca el nombre de la carpeta. El ID de la carpeta se muestra junto al nombre de la carpeta.

    CLI de gcloud

    Puedes obtener el ID de una Google Cloud carpeta que se encuentre a nivel de organización con el siguiente comando:

    gcloud resource-manager folders list \
        --organization=$(gcloud organizations describe ORGANIZATION_NAME \
          --format="value(name.segment(1))") \
        --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \
        --format="value(ID)"

    Donde TOP_LEVEL_FOLDER_NAME es una coincidencia parcial o completa de la cadena del nombre de la carpeta. Quita la marca --format para ver más información sobre las carpetas encontradas.

    El comando anterior no devuelve los IDs de las subcarpetas de las carpetas. Para ello, ejecuta el siguiente comando con el ID de una carpeta de nivel superior:

    gcloud resource-manager folders list --folder=FOLDER_ID

  • organizations/ORGANIZATION_ID, donde ORGANIZATION_ID es el ID de la organización de la que quieres obtener estadísticas.

    Cómo encontrar el ID de una Google Cloud organización

    Google Cloud consola

    Para encontrar el ID de una organización de Google Cloud , sigue estos pasos:

    1. Ve a la Google Cloud consola.

       Ve a la Google Cloud consola

    2. En la barra de menús, haz clic en el cuadro de lista del selector.
    3. Selecciona tu organización en el cuadro de lista.
    4. Haz clic en la pestaña Todas. El ID de la organización se muestra junto al nombre de la organización.

    CLI de gcloud

    Puedes obtener el ID de una Google Cloud organización con el siguiente comando:

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

• BILLING_PROJECT_ID: ID del proyecto en el que se encuentra el agente de servicio predeterminado de Inventario de recursos de Cloud, que tiene permisos para gestionar tu facturación y tu cuota. Consulta más información sobre cómo definir el proyecto de facturación.

Ejemplos de comandos

Ejecuta uno de los siguientes comandos para enumerar las estadísticas del proyecto my-project.

curl -X GET \
     -H "X-Goog-User-Project: BILLING_PROJECT_ID" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     https://recommender.googleapis.com/v1/projects/my-project/locations/global/insightTypes/google.cloudasset.asset.Insight/insights

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-Goog-User-Project" = "BILLING_PROJECT_ID";
  "Authorization" = "Bearer $cred"
}


Invoke-WebRequest `
  -Method GET `
  -Headers $headers `
  -Uri "https://recommender.googleapis.com/v1/projects/my-project/locations/global/insightTypes/google.cloudasset.asset.Insight/insights" | Select-Object -Expand Content

Respuesta de ejemplo

{
   "name": "organizations/000000000000/locations/global/insightTypes/google.cloudasset.asset.Insight/insights/00000000-0000-0000-0000-000000000000",
   "description": "Domain example.com detected in 1 IAM policies",
   "content": {
      "domain": "example.com",
      "policyCount": 1,
      "policySearchQuery": "policy: example.com",
      "matchedPolicies" :[
         {
            "resource" :"//cloudresourcemanager.googleapis.com/projects/000000000000",
            "project" :"projects/000000000000",
            "matchedBindings" :[
               {
                  "role" :"roles/viewer",
                  "matchedMembers" :[
                     "user:example@example.com"
                  ]
               }
            ]
         }
      ]
   },
   "lastRefreshTime": "2024-01-30T00:00:00Z",
   "observationPeriod": "0s",
   "stateInfo": {
      "state": "ACTIVE"
   },
   "category": "SECURITY",
   "targetResources": [
      "//cloudresourcemanager.googleapis.com/organizations/000000000000"
   ],
   "insightSubtype": "EXTERNAL_MEMBER",
   "etag": "\"00000000000\"",
   "initialRefreshTime": "2024-01-30T00:00:00Z"
}