Skor eksposur serangan dan jalur serangan

Halaman ini menjelaskan konsep, prinsip, dan batasan utama untuk membantu Anda mempelajari, menyempurnakan, dan menggunakan skor eksposur serangan dan jalur serangan yang dihasilkan oleh Mesin Risiko Security Command Center.

Skor jalur serangan dan jalur serangan dibuat untuk keduanya berikut ini:

  • Temuan kerentanan dan kesalahan konfigurasi (temuan kerentanan, secara bersamaan) yang mengekspos instance resource dalam set resource bernilai tinggi efektif Anda.
  • Resource dalam set resource bernilai tinggi efektif Anda.
  • Masalah di Security Command Center Enterprise, yang berisi kombinasi berbahaya dan hambatan.

Untuk menggunakan skor eksposur serangan dan jalur serangan, Anda harus mengaktifkan paket Premium atau Enterprise Security Command Center di tingkat organisasi. Anda tidak dapat menggunakan skor eksposur serangan dan jalur serangan dengan aktivasi tingkat project.

Jalur serangan merepresentasikan kemungkinan

Anda tidak akan melihat bukti serangan sebenarnya di jalur serangan.

Mesin Risiko menghasilkan jalur serangan dan skor eksposur serangan dengan menyimulasikan apa yang dapat dilakukan penyerang hipotetis jika mereka mendapatkan akses ke lingkungan Google Cloud Anda dan menemukan jalur serangan dan kerentanan yang telah ditemukan Security Command Center.

Setiap jalur serangan menunjukkan satu atau beberapa metode serangan yang dapat digunakan penyerang jika mereka mendapatkan akses ke resource tertentu. Jangan mencampuradukkan metode serangan ini dengan serangan sebenarnya.

Demikian pula, skor eksposur serangan yang tinggi pada salah satu hal berikut tidak berarti bahwa serangan sedang berlangsung:

  • Temuan atau resource Security Command Center
  • Masalah Security Command Center Enterprise

Untuk memantau serangan sebenarnya, pantau temuan kelas THREAT yang dihasilkan oleh layanan deteksi ancaman, seperti Event Threat Detection dan Container Threat Detection.

Untuk mengetahui informasi selengkapnya, lihat bagian berikut di halaman ini:

Skor eksposur serangan

Skor eksposur serangan muncul untuk hal berikut:

  • Temuan atau resource Security Command Center
  • Masalah Security Command Center Enterprise

Skor eksposur serangan adalah ukuran seberapa terekspos resource terhadap potensi serangan jika pelaku kejahatan mendapatkan akses ke lingkungan Google Cloud Anda.

Skor eksposur serangan pada temuan kombinasi toksik atau hambatan disebut sebagai skor kombinasi toksik dalam beberapa konteks, seperti halaman Temuan di konsol Google Cloud .

Dalam deskripsi cara penghitungan skor, dalam panduan umum tentang memprioritaskan penemuan perbaikan, dan dalam konteks tertentu lainnya, istilah skor eksposur serangan juga berlaku untuk skor kombinasi toksik.

Pada temuan, skor adalah ukuran seberapa besar masalah keamanan yang terdeteksi mengekspos satu atau beberapa resource bernilai tinggi terhadap potensi serangan siber. Pada resource bernilai tinggi, skor ini adalah ukuran seberapa besar eksposur resource terhadap potensi serangan siber.

Gunakan skor pada kerentanan software, kesalahan konfigurasi, dan kombinasi kerentanan atau titik hambatanPratinjau untuk memprioritaskan perbaikan temuan tersebut.

Gunakan skor eksposur serangan pada resource untuk secara proaktif mengamankan resource yang paling berharga bagi bisnis Anda.

Dalam simulasi jalur serangan, Risk Engine selalu memulai serangan yang disimulasikan dari internet publik. Akibatnya, skor eksposur serangan tidak memperhitungkan kemungkinan eksposur terhadap aktor internal yang berbahaya atau lalai.

Temuan yang menerima skor eksposur serangan

Skor eksposur serangan diterapkan ke kelas temuan aktif yang tercantum dalam Kategori temuan yang didukung.

Simulasi jalur serangan hanya menyertakan temuan yang aktif dan tidak dibisukan dalam penghitungannya. Temuan yang memiliki status INACTIVE atau MUTED tidak disertakan dalam simulasi, tidak menerima skor, dan tidak disertakan dalam jalur serangan.

Resource yang menerima skor eksposur serangan

Simulasi jalur serangan menghitung skor eksposur serangan untuk jenis resource yang didukung dalam kumpulan resource bernilai tinggi Anda. Anda menentukan resource mana yang termasuk dalam set resource bernilai tinggi dengan membuat konfigurasi nilai resource.

Jika resource dalam kumpulan resource bernilai tinggi memiliki skor eksposur serangan 0, simulasi jalur serangan tidak mengidentifikasi jalur apa pun ke resource yang dapat dimanfaatkan oleh calon penyerang.

Simulasi jalur serangan mendukung jenis resource berikut:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/TrainingPipeline
  • aiplatform.googleapis.com/Model
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Penghitungan skor

Setiap kali simulasi jalur serangan dijalankan, simulasi tersebut akan menghitung ulang skor eksposur serangan. Setiap simulasi jalur serangan sebenarnya menjalankan beberapa simulasi di mana penyerang simulasi mencoba metode dan teknik serangan yang diketahui untuk menjangkau dan menyusupi resource berharga.

Simulasi jalur serangan dijalankan kira-kira setiap enam jam. Seiring berkembangnya organisasi Anda, simulasi akan membutuhkan waktu lebih lama, tetapi akan selalu berjalan setidaknya sekali sehari. Eksekusi simulasi tidak dipicu oleh pembuatan, modifikasi, atau penghapusan konfigurasi nilai resource atau resource.

Simulasi menghitung skor menggunakan berbagai metrik, termasuk berikut ini:

  • Nilai prioritas yang ditetapkan ke resource bernilai tinggi yang diekspos. Nilai prioritas yang dapat Anda tetapkan memiliki nilai berikut:
    • TINGGI = 10
    • MED = 5
    • RENDAH = 1
  • Jumlah kemungkinan jalur yang dapat diambil penyerang untuk mencapai resource tertentu.
  • Jumlah waktu saat penyerang simulasi dapat menjangkau dan menyusupi resource bernilai tinggi di akhir jalur serangan tertentu, yang dinyatakan sebagai persentase dari total jumlah simulasi.
  • Untuk temuan saja, jumlah resource bernilai tinggi yang terekspos oleh kerentanan atau kesalahan konfigurasi yang terdeteksi.

Untuk resource, skor eksposur serangan dapat berada dalam rentang 0 hingga 10.

Secara umum, simulasi menghitung skor resource dengan mengalikan persentase serangan yang berhasil dengan nilai prioritas numerik resource.

Untuk temuan, skor tidak memiliki batas atas tetap. Makin sering temuan terjadi pada jalur serangan ke resource yang terekspos dalam set resource bernilai tinggi, dan makin tinggi nilai prioritas resource tersebut, makin tinggi skornya.

Secara umum, simulasi menghitung skor temuan dengan menggunakan penghitungan yang sama seperti yang dilakukan untuk skor resource, tetapi untuk skor temuan, simulasi kemudian mengalikan hasil penghitungan dengan jumlah resource bernilai tinggi yang diekspos oleh temuan.

Mengubah skor

Skor dapat berubah setiap kali simulasi jalur serangan dijalankan. Temuan atau resource yang memiliki skor nol hari ini mungkin memiliki skor bukan nol besok.

Skor berubah karena berbagai alasan, termasuk yang berikut:

  • Deteksi atau perbaikan kerentanan yang secara langsung atau tidak langsung mengekspos resource bernilai tinggi.
  • Penambahan atau penghapusan resource di lingkungan Anda.

Perubahan pada temuan atau resource setelah simulasi dijalankan tidak ditampilkan dalam skor hingga simulasi berikutnya dijalankan.

Menggunakan skor untuk memprioritaskan penemuan perbaikan

Untuk memprioritaskan perbaikan temuan secara efektif berdasarkan skor kombinasi toksik atau eksposur serangan, pertimbangkan poin-poin berikut:

  • Setiap temuan yang memiliki skor lebih besar dari nol mengekspos resource bernilai tinggi terhadap potensi serangan dengan cara tertentu, sehingga perbaikan harus diprioritaskan daripada temuan yang memiliki skor nol.
  • Makin tinggi skor temuan, makin banyak temuan tersebut mengekspos resource bernilai tinggi Anda dan makin tinggi prioritas perbaikannya.

Secara umum, prioritaskan perbaikan temuan yang memiliki skor tertinggi dan yang paling efektif memblokir jalur serangan ke aset bernilai tinggi Anda.

Jika skor kombinasi berbahaya dan titik hambatan serta temuan dalam class temuan lain hampir sama, prioritaskan perbaikan kombinasi berbahaya dan titik hambatan, karena kombinasi tersebut mewakili jalur lengkap dari internet publik ke satu atau beberapa resource bernilai tinggi yang berpotensi diikuti penyerang jika mereka mendapatkan akses ke lingkungan cloud Anda.

Di halaman Temuan Security Command Center di Google Cloud konsol, Anda dapat mengurutkan temuan di panel halaman menurut skor dengan mengklik judul kolom.

Di konsol Google Cloud , Anda juga dapat melihat temuan dengan skor tertinggi dengan menambahkan filter ke kueri temuan yang hanya menampilkan temuan dengan skor eksposur serangan lebih besar dari jumlah yang Anda tentukan.

Di halaman Kasus di Security Command Center Enterprise, Anda juga dapat mengurutkan kasus kombinasi toksik dan titik hambatan berdasarkan skor eksposur serangan.

Temuan yang tidak dapat diperbaiki.

Dalam beberapa kasus, Anda mungkin tidak dapat memperbaiki temuan dengan skor eksposur serangan yang tinggi, baik karena temuan tersebut mewakili risiko yang diketahui dan dapat diterima, atau karena temuan tersebut tidak dapat segera diperbaiki. Dalam kasus ini, Anda mungkin perlu memitigasi risiko dengan cara lain. Meninjau jalur serangan terkait dapat memberi Anda ide untuk mitigasi lain yang mungkin dilakukan.

Mengamankan resource menggunakan skor eksposur serangan

Skor eksposur serangan yang bukan nol pada suatu resource berarti simulasi jalur serangan mengidentifikasi satu atau beberapa jalur serangan dari internet publik ke resource tersebut.

Untuk melihat skor eksposur serangan untuk resource bernilai tinggi Anda, ikuti langkah-langkah berikut:

  1. Di konsol Google Cloud , buka halaman Aset di Security Command Center.

    Buka Aset

  2. Pilih organisasi tempat Anda mengaktifkan Security Command Center.

  3. Pilih tab Set resource bernilai tinggi. Resource dalam set resource bernilai tinggi Anda ditampilkan dalam urutan menurun berdasarkan skor eksposur serangan.

  4. Tampilkan jalur serangan untuk resource dengan mengklik angka di barisnya pada kolom Skor eksposur serangan. Jalur serangan dari internet publik ke resource ditampilkan.

  5. Tinjau jalur serangan. Untuk mengetahui informasi tentang cara menafsirkan jalur serangan, lihat Jalur serangan.

  6. Untuk menampilkan jendela detail dengan link untuk melihat temuan terkait, klik sebuah node.

  7. Klik link temuan terkait. Jendela Temuan akan terbuka dengan detail tentang temuan dan cara memperbaikinya.

Anda juga dapat melihat skor eksposur serangan resource bernilai tinggi di tab Simulasi jalur serangan di Setelan > tab Simulasi Jalur Serangan. Klik Lihat resource bernilai yang digunakan dalam simulasi terakhir.

Tab Kumpulan resource bernilai tinggi juga tersedia di halaman Aset di konsol Security Operations.

Skor eksposur serangan 0

Skor eksposur serangan 0 pada resource berarti bahwa, dalam simulasi jalur serangan terbaru, Security Command Center tidak mengidentifikasi potensi jalur yang dapat diambil penyerang untuk mencapai resource tersebut.

Skor eksposur serangan 0 pada temuan berarti bahwa, dalam simulasi serangan terbaru, penyerang yang disimulasikan tidak dapat menjangkau resource bernilai tinggi melalui temuan tersebut.

Namun, skor eksposur serangan 0 tidak berarti tidak ada risiko. Skor eksposur serangan mencerminkan eksposur layanan, resource, dan temuan Security Command Center yang didukung terhadap potensi ancaman yang berasal dari internet publik. Google Cloud Misalnya, skor tidak memperhitungkan ancaman dari aktor internal, kerentanan zero-day, atau infrastruktur pihak ketiga.

Tidak ada skor eksposur serangan

Jika temuan atau resource tidak memiliki skor, hal ini dapat disebabkan oleh alasan berikut:

  • Temuan ini dihasilkan setelah simulasi jalur serangan terbaru.
  • Resource ditambahkan ke kumpulan resource bernilai tinggi Anda setelah simulasi jalur serangan terbaru.
  • Fitur eksposur serangan tidak mendukung kategori temuan atau jenis resource.

Untuk mengetahui daftar kategori temuan yang didukung, lihat Dukungan fitur Risk Engine.

Untuk daftar jenis resource yang didukung, lihat Resource yang menerima skor eksposur serangan.

Nilai resource

Meskipun semua resource Anda di Google Cloud memiliki nilai, Security Command Center mengidentifikasi jalur serangan dan menghitung skor eksposur serangan hanya untuk resource yang Anda tetapkan sebagai resource bernilai tinggi (terkadang disebut sebagai resource berharga).

Resource bernilai tinggi

Resource bernilai tinggi di Google Cloud adalah resource yang sangat penting bagi bisnis Anda untuk dilindungi dari potensi serangan. Misalnya, resource bernilai tinggi Anda mungkin berupa resource yang menyimpan data sensitif atau berharga atau yang menghosting workload penting bisnis Anda.

Anda menetapkan resource sebagai resource bernilai tinggi dengan menentukan atribut resource dalam konfigurasi nilai resource. Hingga batas 1.000 instance resource, Security Command Center memperlakukan setiap instance resource yang cocok dengan atribut yang Anda tentukan dalam konfigurasi sebagai resource bernilai tinggi.

Nilai prioritas

Di antara resource yang Anda tetapkan sebagai bernilai tinggi, Anda mungkin perlu memprioritaskan keamanan beberapa resource lebih dari yang lain. Misalnya, sekumpulan resource data mungkin berisi data bernilai tinggi, tetapi resource data tertentu mungkin berisi data yang lebih sensitif daripada yang lain.

Agar skor Anda mencerminkan kebutuhan Anda untuk memprioritaskan keamanan resource dalam set resource bernilai tinggi Anda, Anda menetapkan nilai prioritas dalam konfigurasi nilai resource yang menetapkan resource sebagai bernilai tinggi.

Jika menggunakan Sensitive Data Protection, Anda juga dapat memprioritaskan resource secara otomatis berdasarkan sensitivitas data yang ada di dalamnya.

Menetapkan nilai prioritas resource secara manual

Dalam konfigurasi nilai resource, Anda menetapkan prioritas ke resource bernilai tinggi yang cocok dengan menentukan salah satu nilai prioritas berikut:

  • LOW = 1
  • MEDIUM = 5
  • HIGH = 10
  • NONE = 0

Jika Anda menentukan nilai prioritas LOW dalam konfigurasi nilai resource, resource yang cocok tetap merupakan resource bernilai tinggi; simulasi jalur serangan hanya memperlakukannya dengan prioritas yang lebih rendah dan menetapkan skor eksposur serangan yang lebih rendah daripada resource bernilai tinggi yang memiliki nilai prioritas MEDIUM atau HIGH.

Jika beberapa konfigurasi menetapkan nilai yang berbeda untuk resource yang sama, nilai tertinggi akan diterapkan, kecuali jika konfigurasi menetapkan nilai NONE.

Nilai resource NONE mengecualikan resource yang cocok agar tidak dianggap sebagai resource bernilai tinggi dan menggantikan konfigurasi nilai resource lainnya untuk resource yang sama. Oleh karena itu, pastikan bahwa konfigurasi apa pun yang menentukan NONE hanya berlaku untuk sejumlah kecil resource.

Menetapkan nilai prioritas resource secara otomatis berdasarkan sensitivitas data

Jika Anda menggunakan penemuan Perlindungan Data Sensitif dan memublikasikan profil data ke Security Command Center, Anda dapat mengonfigurasi Security Command Center untuk otomatis menetapkan nilai prioritas resource bernilai tinggi tertentu berdasarkan sensitivitas data yang terkandung dalam resource tersebut.

Anda mengaktifkan prioritas sensitivitas data saat menentukan resource dalam konfigurasi nilai resource.

Jika diaktifkan, jika penemuan Sensitive Data Protection mengklasifikasikan data dalam resource sebagai sensitivitas MEDIUM atau HIGH, simulasi jalur serangan secara default menetapkan nilai prioritas resource ke nilai yang sama.

Tingkat sensitivitas data ditentukan oleh Sensitive Data Protection, tetapi Anda dapat menafsirkannya sebagai berikut:

Data sensitivitas tinggi
Penemuan Sensitive Data Protection menemukan setidaknya satu instance data sensitivitas tinggi dalam resource.
Data sensitivitas sedang
Penemuan Sensitive Data Protection menemukan setidaknya satu instance data sensitivitas sedang di resource dan tidak ada instance data sensitivitas tinggi.
Data sensitivitas rendah
Penemuan Sensitive Data Protection tidak mendeteksi data sensitif atau teks bentuk bebas atau data tidak terstruktur dalam resource.

Jika penemuan Sensitive Data Protection hanya mengidentifikasi data sensitivitas rendah dalam resource data yang cocok, resource tersebut tidak ditetapkan sebagai resource bernilai tinggi.

Jika Anda ingin sumber data yang hanya berisi data sensitivitas rendah ditetapkan sebagai sumber data bernilai tinggi dengan prioritas rendah, buat konfigurasi nilai sumber data duplikat, tetapi tentukan nilai prioritas LOW, bukan mengaktifkan penetapan prioritas sensitivitas data. Konfigurasi yang menggunakan Sensitive Data Protection menggantikan konfigurasi yang menetapkan nilai prioritas LOW, tetapi hanya untuk resource yang berisi data sensitif HIGH atau MEDIUM.

Anda dapat mengubah nilai prioritas default yang digunakan Security Command Center saat data sensitif terdeteksi dalam konfigurasi nilai resource.

Untuk mengetahui informasi selengkapnya tentang Sensitive Data Protection, lihat Ringkasan Sensitive Data Protection.

Prioritas sensitivitas data dan set resource bernilai tinggi default

Sebelum Anda membuat set resource bernilai tinggi sendiri, Security Command Center menggunakan set resource bernilai tinggi default untuk menghitung skor eksposur serangan dan jalur serangan.

Jika Anda menggunakan penemuan Perlindungan Data Sensitif, Security Command Center akan otomatis menambahkan instance jenis resource data yang didukung yang berisi data sensitivitas HIGH atau MEDIUM ke set resource bernilai tinggi default.

Jenis resource Google Cloud yang didukung untuk nilai prioritas sensitivitas data otomatis

Simulasi jalur serangan dapat otomatis menetapkan nilai prioritas berdasarkan klasifikasi sensitivitas data dari penemuan Sensitive Data Protection hanya untuk jenis resource data berikut:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Jenis resource AWS yang didukung untuk nilai prioritas sensitivitas data otomatis

Simulasi jalur serangan dapat menetapkan nilai prioritas secara otomatis berdasarkan klasifikasi sensitivitas data dari penemuan Sensitive Data Protection hanya untuk jenis resource data AWS berikut:

  • Bucket Amazon S3

Set resource bernilai tinggi

Set resource bernilai tinggi adalah kumpulan resource yang ditentukan di lingkungan Google Cloud Anda yang paling penting untuk diamankan dan dilindungi.

Untuk menentukan set resource bernilai tinggi, Anda perlu menentukan resource mana di lingkungan Google Cloud Anda yang termasuk dalam set resource bernilai tinggi. Sebelum Anda menentukan set resource bernilai tinggi, skor eksposur serangan, jalur serangan, dan temuan kombinasi negatif tidak mencerminkan prioritas keamanan Anda secara akurat.

Anda menentukan resource dalam set resource bernilai tinggi dengan membuat konfigurasi nilai resource. Kombinasi semua konfigurasi nilai resource Anda menentukan set resource bernilai tinggi Anda. Untuk mengetahui informasi selengkapnya, lihat Konfigurasi nilai resource.

Hingga Anda menentukan konfigurasi nilai resource pertama, Security Command Center menggunakan kumpulan resource bernilai tinggi default. Set default berlaku di seluruh organisasi Anda untuk semua jenis resource yang didukung simulasi jalur serangan. Untuk mengetahui informasi selengkapnya, lihat Set resource bernilai tinggi default.

Untuk melihat kumpulan resource bernilai tinggi yang digunakan dalam simulasi jalur serangan terakhir, termasuk skor eksposur serangan dan konfigurasi yang cocok, lihat Melihat kumpulan resource bernilai tinggi.

Konfigurasi nilai resource

Anda mengelola resource dalam set resource bernilai tinggi dengan konfigurasi nilai resource.

Anda membuat konfigurasi nilai resource di tab Simulasi jalur serangan di halaman Setelan Security Command Center di konsol Google Cloud .

Dalam konfigurasi nilai resource, Anda menentukan atribut yang harus dimiliki resource agar Security Command Center dapat menambahkannya ke kumpulan resource bernilai tinggi Anda.

Atribut yang dapat Anda tentukan mencakup jenis resource, tag resource, label resource, dan project, folder, atau organisasi induk.

Anda juga menetapkan nilai resource ke resource dalam konfigurasi. Nilai resource memprioritaskan resource dalam konfigurasi relatif terhadap resource lain dalam set resource bernilai tinggi. Untuk mengetahui informasi selengkapnya, lihat Nilai resource.

Anda dapat membuat hingga 100 konfigurasi nilai resource di Google Cloud organisasi.

Bersama-sama, semua konfigurasi nilai resource yang Anda buat menentukan kumpulan resource bernilai tinggi yang digunakan Security Command Center untuk simulasi jalur serangan.

Atribut resource

Agar resource disertakan dalam set resource bernilai tinggi, atributnya harus cocok dengan atribut yang Anda tentukan dalam konfigurasi nilai resource.

Atribut yang dapat Anda tentukan meliputi:

  • Jenis resource atau Any. Jika Any ditentukan, konfigurasi berlaku untuk semua jenis resource yang didukung dalam cakupan yang ditentukan. Any adalah nilai default.
  • Cakupan (organisasi, folder, atau project induk) tempat resource harus berada. Cakupan defaultnya adalah organisasi Anda. Jika Anda menentukan organisasi atau folder, konfigurasi juga berlaku untuk resource di folder atau project turunan.
  • Secara opsional, satu atau beberapa tag atau label yang harus ada di setiap resource.

Jika Anda menentukan satu atau beberapa konfigurasi nilai resource, tetapi tidak ada resource di lingkungan Google Cloud Anda yang cocok dengan atribut yang ditentukan dalam salah satu konfigurasi, Security Command Center akan menghasilkan temuan SCC Error dan kembali ke set resource bernilai tinggi default.

Set resource bernilai tinggi default

Security Command Center menggunakan set resource bernilai tinggi default untuk menghitung skor eksposur serangan jika tidak ada konfigurasi nilai resource yang ditentukan atau jika tidak ada konfigurasi yang ditentukan yang cocok dengan resource apa pun.

Security Command Center menetapkan nilai prioritas LOW untuk resource di kumpulan resource bernilai tinggi default, kecuali jika Anda menggunakan penemuan Sensitive Data Protection. Dalam hal ini, Security Command Center menetapkan nilai prioritas HIGH atau MEDIUM yang sesuai untuk resource yang berisi data dengan sensitivitas tinggi atau sedang.

Jika Anda memiliki minimal satu konfigurasi nilai resource yang cocok dengan minimal satu resource di lingkungan Anda, Security Command Center akan berhenti menggunakan set resource bernilai tinggi default.

Untuk menerima skor eksposur serangan dan kombinasi berbahaya yang secara akurat mencerminkan prioritas keamanan Anda, ganti kumpulan resource bernilai tinggi default dengan kumpulan resource bernilai tinggi Anda sendiri. Untuk mengetahui informasi selengkapnya, lihat Menentukan dan mengelola set resource bernilai tinggi.

Daftar berikut menunjukkan jenis resource yang disertakan dalam kumpulan resource bernilai tinggi default:

  • aiplatform.googleapis.com/Model
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Batas resource dalam set resource bernilai tinggi

Security Command Center membatasi jumlah resource dalam set resource bernilai tinggi hingga 1.000 per penyedia layanan cloud.

Jika spesifikasi atribut dalam satu atau beberapa konfigurasi nilai resource sangat luas, jumlah resource yang cocok dengan spesifikasi atribut dapat melebihi 1.000.

Jika jumlah resource yang cocok melebihi batas, Security Command Center akan mengecualikan resource dari set hingga jumlah resource berada dalam batas. Security Command Center mengecualikan resource dengan nilai yang ditetapkan paling rendah terlebih dahulu. Di antara resource dengan nilai yang sama, Security Command Center mengecualikan instance resource dengan algoritma yang mendistribusikan resource yang dikecualikan di seluruh jenis resource.

Resource yang dikecualikan dari set resource bernilai tinggi tidak dipertimbangkan dalam penghitungan skor eksposur serangan.

Untuk memberi tahu Anda saat batas instance untuk penghitungan skor terlampaui, Security Command Center membuat temuan SCC error dan menampilkan pesan di tab setelan Simulasi jalur serangan di konsol Google Cloud . Security Command Center tidak membuat temuan SCC error jika set nilai tinggi default melebihi batas instance.

Agar tidak melebihi batas, sesuaikan konfigurasi nilai resource Anda untuk memperbaiki instance dalam set resource bernilai tinggi Anda.

Beberapa hal yang dapat Anda lakukan untuk menyempurnakan set resource bernilai tinggi meliputi opsi berikut:

  • Gunakan tag atau label untuk mengurangi jumlah kecocokan untuk jenis resource tertentu atau dalam cakupan yang ditentukan.
  • Buat konfigurasi nilai resource yang menetapkan nilai NONE ke subset resource yang ditentukan dalam konfigurasi lain. Menentukan nilai NONE akan menggantikan konfigurasi lainnya dan mengecualikan instance resource dari set resource bernilai tinggi Anda.
  • Kurangi spesifikasi cakupan dalam konfigurasi nilai resource.
  • Menghapus konfigurasi nilai resource yang menetapkan nilai LOW.

Resource bernilai tinggi

Untuk mengisi set resource bernilai tinggi, Anda perlu memutuskan instance resource mana di lingkungan Anda yang benar-benar bernilai tinggi.

Umumnya, resource bernilai tinggi Anda yang sebenarnya adalah resource yang memproses dan menyimpan data sensitif Anda. Misalnya, pada Google Cloud, resource ini dapat berupa instance Compute Engine, set data BigQuery, atau bucket Cloud Storage.

Anda tidak perlu menetapkan resource yang berdekatan dengan resource bernilai tinggi, seperti server jump, sebagai bernilai tinggi. Simulasi jalur serangan sudah memperhitungkan resource yang berdekatan ini, dan jika Anda juga menetapkannya sebagai resource bernilai tinggi, hal ini dapat membuat skor eksposur serangan Anda menjadi kurang andal.

Jalur serangan

Jalur serangan adalah penggambaran visual interaktif dari satu atau beberapa jalur potensial yang dapat diambil oleh penyerang hipotetis untuk berpindah dari internet publik ke salah satu instance resource bernilai tinggi Anda.

Simulasi jalur serangan mengidentifikasi potensi jalur serangan dengan memodelkan apa yang akan terjadi jika penyerang menerapkan metode serangan yang diketahui pada kerentanan dan kesalahan konfigurasi yang telah dideteksi Security Command Center di lingkungan Anda untuk mencoba mengakses resource bernilai tinggi Anda.

Anda dapat melihat jalur serangan dengan mengklik skor eksposur serangan pada temuan atau resource di konsol Google Cloud .

Pada tingkat Enterprise, saat melihat kasus kombinasi toksik, Anda dapat melihat jalur serangan yang disederhanakan untuk kombinasi toksik di tab Ringkasan kasus. Jalur serangan yang disederhanakan mencakup link ke jalur serangan lengkap. Untuk mengetahui informasi selengkapnya tentang jalur serangan untuk temuan kombinasi toksik, lihat Jalur serangan kombinasi toksik.

Saat melihat jalur serangan yang lebih besar, Anda dapat mengubah tampilan jalur serangan dengan menyeret pemilih area fokus persegi merah di sekitar tampilan miniatur jalur serangan di sisi kanan layar.

Dalam jalur serangan, resource di jalur serangan ditampilkan sebagai kotak atau node. Garis mewakili potensi aksesibilitas antar-resource. Bersama-sama, node dan garis tersebut merepresentasikan jalur serangan.

Node jalur serangan

Node dalam jalur serangan mewakili resource pada jalur serangan.

Menampilkan informasi node

Anda dapat menampilkan informasi selengkapnya tentang setiap node dalam jalur serangan dengan mengkliknya.

Mengklik nama resource di sebuah node akan menampilkan informasi selengkapnya tentang resource, serta temuan apa pun yang memengaruhi resource tersebut.

Mengklik Perluas node akan menampilkan kemungkinan metode serangan yang dapat digunakan jika penyerang mendapatkan akses ke resource.

Jenis node

Ada tiga jenis node yang berbeda:

  • Titik awal atau titik entri serangan simulasi, yaitu internet publik. Mengklik node titik entri, akan menampilkan deskripsi titik entri beserta metode serangan yang dapat digunakan penyerang untuk mendapatkan akses ke lingkungan Anda.
  • Resource yang terpengaruh yang dapat digunakan penyerang untuk melanjutkan jalur.
  • Resource yang terekspos di akhir jalur, yang merupakan salah satu resource dalam kumpulan resource bernilai tinggi Anda. Hanya resource dalam set resource bernilai tinggi yang ditentukan atau default yang dapat menjadi resource yang ditampilkan. Anda menentukan set resource bernilai tinggi dengan membuat konfigurasi nilai resource.

Node upstream dan downstream

Dalam jalur serangan, sebuah node dapat berada di hulu atau hilir dari node lainnya. Node upstream lebih dekat ke titik entri dan bagian atas jalur serangan. Node hilir lebih dekat dengan resource bernilai tinggi yang terekspos di bagian bawah jalur serangan.

Node yang merepresentasikan beberapa instance resource container

Node dapat merepresentasikan beberapa instance dari jenis resource container tertentu jika instance tersebut memiliki karakteristik yang sama.

Beberapa instance jenis resource container berikut dapat diwakili oleh satu node:

  • Pengontrol ReplicaSet
  • Pengontrol Deployment
  • Job Controller
  • Pengontrol CronJob
  • Pengontrol DaemonSet

Garis jalur serangan

Dalam jalur serangan, garis di antara kotak merepresentasikan potensi aksesibilitas antar-resource yang dapat dimanfaatkan penyerang untuk mengakses resource bernilai tinggi.

Garis tidak merepresentasikan hubungan antar-resource yang ditentukan dalam Google Cloud.

Jika ada beberapa jalur yang mengarah ke node hilir dari beberapa node hulu, node hulu dapat memiliki hubungan AND satu sama lain atau hubungan OR satu sama lain.

Hubungan AND berarti penyerang memerlukan akses ke kedua node upstream untuk mengakses node downstream di jalur tersebut.

Misalnya, jalur langsung dari internet publik ke resource bernilai tinggi di akhir jalur serangan memiliki hubungan AND dengan setidaknya satu jalur lain dalam jalur serangan. Penyerang tidak dapat menjangkau resource bernilai tinggi kecuali jika mereka mendapatkan akses ke lingkungan Google Cloud Anda dan setidaknya satu resource lain yang ditampilkan di jalur serangan.

Hubungan OR berarti penyerang hanya memerlukan akses ke salah satu node upstream untuk mengakses node downstream.

Simulasi jalur serangan

Untuk menentukan semua kemungkinan jalur serangan dan menghitung skor eksposur serangan, Security Command Center melakukan simulasi jalur serangan lanjutan.

Jadwal simulasi

Simulasi jalur serangan dijalankan kira-kira setiap enam jam. Seiring berkembangnya organisasi Anda, simulasi akan membutuhkan waktu lebih lama, tetapi akan selalu berjalan setidaknya sekali sehari. Eksekusi simulasi tidak dipicu oleh pembuatan, modifikasi, atau penghapusan konfigurasi nilai resource atau resource.

Langkah-langkah simulasi jalur serangan

Simulasi ini terdiri dari tiga langkah:

  1. Pembuatan model: Model lingkungan Anda dibuat secara otomatis berdasarkan data lingkungan. Google Cloud Model ini adalah representasi grafik lingkungan Anda, yang disesuaikan untuk analisis jalur serangan.
  2. Simulasi jalur serangan: Simulasi jalur serangan dilakukan pada model grafik. Simulasi ini membuat penyerang virtual mencoba menjangkau dan menyusupi resource dalam kumpulan resource bernilai tinggi Anda. Simulasi memanfaatkan insight pada setiap resource dan hubungan tertentu, termasuk jaringan, IAM, konfigurasi, kesalahan konfigurasi, dan kerentanan.
  3. Pelaporan insight: Berdasarkan simulasi, Security Command Center menetapkan skor eksposur serangan ke resource bernilai tinggi Anda dan ke temuan yang mengeksposnya serta memvisualisasikan potensi jalur yang dapat diambil penyerang untuk mengakses resource tersebut.

Karakteristik eksekusi simulasi

Selain memberikan skor eksposur serangan, insight jalur serangan, dan jalur serangan, simulasi jalur serangan memiliki karakteristik berikut:

  • Simulasi ini tidak memengaruhi lingkungan aktif Anda: Semua simulasi dilakukan pada model virtual dan hanya menggunakan akses baca untuk pembuatan model.
  • Model ini bersifat dinamis: Model dibuat tanpa agen hanya melalui akses baca API, yang memungkinkan simulasi secara dinamis mengikuti perubahan pada lingkungan Anda dari waktu ke waktu.
  • Mereka membuat penyerang virtual mencoba sebanyak mungkin metode dan kerentanan untuk mengakses dan menyusupi resource bernilai tinggi Anda. Hal ini tidak hanya mencakup "hal-hal yang diketahui", seperti kerentanan, konfigurasi, kesalahan konfigurasi, dan hubungan jaringan, tetapi juga "hal-hal yang tidak diketahui" dengan probabilitas lebih rendah—risiko yang kita ketahui ada, seperti kemungkinan phishing atau kredensial yang bocor.
  • Otomatis: Logika serangan dibuat ke dalam alat. Anda tidak perlu membuat atau mengelola kumpulan kueri yang ekstensif atau set data yang besar.

Skenario dan kemampuan penyerang

Dalam simulasi, Security Command Center memiliki representasi logis dari upaya penyerang untuk mengeksploitasi resource bernilai tinggi Anda dengan mendapatkan akses ke lingkungan Google Cloud Anda dan mengikuti jalur akses potensial melalui resource dan kerentanan yang terdeteksi.

Penyerang virtual

Penyerang virtual yang digunakan simulasi memiliki karakteristik berikut:

  • Penyerang berasal dari luar: Penyerang bukan pengguna yang sah di lingkunganGoogle Cloud Anda. Simulasi tidak memodelkan atau menyertakan serangan dari pengguna berbahaya atau lalai yang memiliki akses sah ke lingkungan Anda.
  • Penyerang memulai dari internet publik. Untuk memulai serangan, penyerang harus mendapatkan akses ke lingkungan Anda dari internet publik terlebih dahulu.
  • Penyerang sangat persisten. Penyerang tidak akan berkecil hati atau kehilangan minat karena sulitnya metode serangan tertentu.
  • Penyerang terampil dan berpengetahuan luas. Penyerang mencoba metode dan teknik yang diketahui untuk mengakses resource bernilai tinggi Anda.

Akses awal

Setiap simulasi memiliki penyerang virtual yang mencoba metode berikut untuk mendapatkan akses dari internet publik ke resource di lingkungan Google Cloud Anda:

  • Menemukan dan menghubungkan ke layanan dan resource yang dapat diakses dari internet publik. Dalam lingkungan Google Cloud , hal ini dapat mencakup hal berikut:
    • Layanan di instance virtual machine (VM) Compute Engine dan node Google Kubernetes Engine
    • Database
    • Container
    • Bucket Cloud Storage
    • Cloud Run Functions
  • Mendapatkan akses ke kunci dan kredensial. Dalam lingkungan Google Cloud , hal ini dapat mencakup hal berikut:
    • Kunci akun layanan
    • Kunci enkripsi yang disediakan pengguna
    • Kunci SSH instance VM
    • Kunci SSH di seluruh project
    • Sistem pengelolaan kunci eksternal
    • Akun pengguna yang tidak menerapkan autentikasi multi-faktor (MFA)
    • Token MFA virtual yang dicegat
  • Mendapatkan akses ke aset cloud yang dapat dijangkau secara publik dengan menggunakan kredensial yang dicuri atau dengan mengeksploitasi kerentanan.

Jika simulasi menemukan kemungkinan titik masuk ke lingkungan, simulasi kemudian akan membuat penyerang virtual mencoba menjangkau dan menyusupi resource bernilai tinggi Anda dari titik masuk dengan terus-menerus menjelajahi dan mengeksploitasi konfigurasi keamanan dan kerentanan dalam lingkungan.

Taktik dan teknik

Simulasi ini menggunakan berbagai taktik dan teknik, termasuk memanfaatkan akses yang sah, pergerakan lateral, eskalasi hak istimewa, kerentanan, kesalahan konfigurasi, dan eksekusi kode.

Penggabungan data CVE

Saat menghitung skor eksposur serangan untuk temuan kerentanan, simulasi jalur serangan mempertimbangkan data dari catatan CVE kerentanan, skor CVSS, serta penilaian kemampuan eksploitasi kerentanan yang diberikan oleh Mandiant.

Informasi CVE berikut dipertimbangkan:

  • Vektor serangan: Penyerang harus memiliki tingkat akses yang ditentukan dalam vektor serangan CVSS untuk menggunakan CVE. Misalnya, CVE dengan vektor serangan jaringan yang ditemukan di aset dengan alamat IP publik dan port terbuka dapat dieksploitasi oleh penyerang dengan akses jaringan. Jika penyerang hanya memiliki akses jaringan dan CVE memerlukan akses fisik, maka penyerang tidak dapat mengeksploitasi CVE.
  • Kompleksitas serangan: Secara umum, temuan kerentanan atau kesalahan konfigurasi dengan kompleksitas serangan rendah lebih cenderung mendapatkan skor eksposur serangan tinggi daripada temuan dengan kompleksitas serangan tinggi.
  • Aktivitas eksploitasi: Secara umum, temuan kerentanan dengan aktivitas eksploitasi yang luas, sebagaimana ditentukan oleh analis intelijen ancaman siber di Mandiant, lebih cenderung mendapatkan skor eksposur serangan yang tinggi daripada temuan dengan hanya aktivitas eksploitasi yang diantisipasi. Kerentanan tanpa aktivitas eksploitasi yang diketahui tidak dipertimbangkan dalam simulasi jalur serangan.

Penilaian risiko multicloud

Selain itu Google Cloud, Security Command Center dapat menjalankan simulasi jalur serangan untuk menilai risiko dalam deployment Anda di beberapa platform penyedia layanan cloud.

Setelah membuat koneksi ke platform lain, Anda dapat menetapkan resource bernilai tinggi di penyedia layanan cloud lain dengan membuat konfigurasi nilai resource, seperti yang Anda lakukan untuk resource di Google Cloud.

Security Command Center menjalankan simulasi untuk platform cloud secara terpisah dari simulasi yang dijalankan untuk platform cloud lainnya.

Sebelum Anda membuat konfigurasi nilai resource pertama untuk penyedia layanan cloud lain, Security Command Center menggunakan set resource bernilai tinggi default yang khusus untuk setiap penyedia layanan cloud.

Untuk informasi selengkapnya, lihat referensi berikut:

AWS

Microsoft Azure