Visão geral do suporte a recursos do mecanismo de risco

Nesta página, descrevemos os serviços e as descobertas compatíveis com o recurso do mecanismo de risco do Security Command Center e os limites de compatibilidade sujeitos a ele.

O mecanismo de risco gera pontuações de exposição a ataques e simulações de caminho de ataque para o seguinte:

O Security Command Center pode fornecer pontuações de exposição a ataques e visualizações de caminho de ataque para várias plataformas de provedores de serviços em nuvem. O suporte do detector varia de acordo com o provedor de serviços de nuvem. O Risk Engine depende de detectores de vulnerabilidade e erros de configuração específicos para cada provedor de serviços de nuvem. As seções a seguir descrevem os recursos compatíveis para cada provedor de serviços de nuvem.

Suporte apenas no nível da organização

As simulações de caminho de ataque que o Risk Engine usa para gerar as pontuações de exposição a ataques e os caminhos de ataque exigem que o Security Command Center esteja ativado no nível da organização. As simulações de caminho de ataque não são compatíveis com as ativações para envolvidos no projeto do Security Command Center.

Para ver os caminhos de ataque, a visualização do console do Google Cloud precisa estar definida para sua organização. Se você selecionar uma visualização de projeto ou pasta no console doGoogle Cloud , verá as pontuações de exposição a ataques, mas não os caminhos de ataque.

Além disso, as permissões do IAM necessárias para os usuários verem os caminhos de ataque precisam ser concedidas no nível da organização. Os usuários precisam ter ao menos a permissão securitycenter.attackpaths.list em um papel concedido no nível da organização. O papel predefinido do IAM menos permissivo que contém essa permissão é o Leitor de caminhos de ataque da Central de segurança (securitycenter.attackPathsViewer).

Para ver outros papéis que contêm essa permissão, consulte Referência de papéis básicos e predefinidos do IAM.

Limites de tamanho para organizações

Para simulações de caminho de ataque, o Risk Engine limita o número de recursos ativos e descobertas ativas que uma organização pode conter.

Se uma organização exceder os limites mostrados na tabela a seguir, as simulações de caminho de ataque não serão executadas.

Tipo de limite Limite de uso
Número máximo de descobertas ativas 250.000.000
Número máximo de recursos ativos 26.000.000

Se os recursos, as descobertas ou ambos na sua organização estiverem se aproximando desses limites ou os exceder, entre em contato com o Cloud Customer Care para solicitar a avaliação de um possível aumento na sua organização.

Limites do conjunto de recursos de alto valor

Um conjunto de recursos de alto valor aceita apenas determinados tipos de recursos e pode conter apenas um determinado número de instâncias de recurso.

  • Um conjunto de recursos de alto valor para uma plataforma de provedor de serviços em nuvem pode conter até 1.000 instâncias de recursos.

  • É possível criar até 100 configurações de valor de recurso por organização no Google Cloud.

Compatibilidade com a interface do usuário

É possível trabalhar com pontuações de exposição a ataques no console Google Cloud , no console do Security Operations ou na API Security Command Center.

É possível trabalhar com pontuações de exposição a ataques e caminhos de ataque para casos de combinação tóxica apenas no console do Security Operations.

Só é possível criar configurações de valor de recursos na guia Simulações de caminho de ataque da página Configurações do Security Command Center no console do Google Cloud .

Suporte aGoogle Cloud

As seções a seguir descrevem o suporte do Risk Engine para Google Cloud.

ServiçosGoogle Cloud compatíveis com o Risk Engine

As simulações executadas pelo Risk Engine podem incluir os seguintes serviços Google Cloud :

  • Artifact Registry
  • BigQuery
  • Funções do Cloud Run
  • Cloud Key Management Service
  • Cloud Load Balancing
  • Cloud NAT
  • Cloud Router
  • Cloud SQL
  • Cloud Storage
  • Compute Engine
  • Identity and Access Management
  • Google Kubernetes Engine
  • Nuvem privada virtual, incluindo configurações de firewall e sub-redes
  • Resource Manager

Google Cloud tipos de recursos compatíveis com conjuntos de recursos de alto valor

Só é possível adicionar os seguintes tipos de Google Cloud recursos a um conjunto de recursos de alto valor:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/TrainingPipeline
  • aiplatform.googleapis.com/Model
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Google Cloud tipos de recursos compatíveis com classificações de sensibilidade de dados

As simulações de caminhos de ataque podem definir automaticamente valores de prioridade com base nas classificações de sensibilidade de dados da descoberta da proteção de dados sensíveis apenas para os seguintes tipos de recursos de dados:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Categorias de descobertas compatíveis

As simulações de caminho de ataque geram pontuações e caminhos de exposição a ataques apenas para as categorias de descobertas do Security Command Center dos serviços de detecção do Security Command Center listados nesta seção.

Descobertas da postura de segurança do GKE

As seguintes categorias de descobertas da postura de segurança do GKE são compatíveis com simulações de caminho de ataque:

  • Vulnerabilidade do SO de execução do GKE

Resultados do Mandiant Attack Surface Management

As seguintes categorias de descobertas do Mandiant Attack Surface Management são compatíveis com simulações de caminho de ataque:

  • Vulnerabilidade de software

Descobertas do mecanismo de risco

A categoria de descoberta Toxic combination gerada pelo Risk Engine é compatível com pontuações de exposição a ataques.

Descobertas do VM Manager

A categoria de descoberta OS Vulnerability gerada pelo VM Manager é compatível com pontuações de exposição a ataques.

Suporte a notificações do Pub/Sub

As alterações nas pontuações de exposição a ataques não podem ser usadas como gatilho para notificações no Pub/Sub.

Além disso, as descobertas enviadas ao Pub/Sub quando elas são criadas não incluem uma pontuação de exposição a ataques porque o envio ocorre antes de uma pontuação ser calculada.

Suporte da AWS

O Security Command Center pode calcular pontuações de exposição a ataques e visualizações de caminho de ataque para seus recursos na AWS.

Serviços da AWS compatíveis com o Risk Engine

As simulações podem incluir os seguintes serviços da AWS:

  • Identity and Access Management (IAM)
  • Serviço de token de segurança (STS)
  • Simple Storage Service (S3)
  • Web Application Firewall (WAFv2)
  • Elastic Compute Cloud (EC2)
  • Elastic Load Balancing (ELB e ELBv2)
  • Relational Database Service (RDS)
  • Key Management Service (KMS)
  • Elastic Container Registry (ECR)
  • Elastic Container Service (ECS)
  • ApiGateway e ApiGatewayv2
  • Organizações (serviço de gerenciamento de contas)
  • CloudFront
  • AutoScaling
  • Lambda
  • DynamoDB

Tipos de recursos da AWS compatíveis com conjuntos de recursos de alto valor

Só é possível adicionar os seguintes tipos de recursos da AWS a um conjunto de recursos de alto valor:

  • Tabela do DynamoDB
  • Instância do EC2
  • Função Lambda
  • DBCluster do RDS
  • DBInstance do RDS
  • Bucket do S3

Tipos de recursos da AWS compatíveis com classificações de sensibilidade de dados

As simulações de caminhos de ataque podem definir automaticamente valores de prioridade com base nas classificações de sensibilidade de dados da descoberta da Proteção de Dados Sensíveis apenas para os seguintes tipos de recursos de dados da AWS:

  • Bucket do Amazon S3

Como encontrar suporte para descobertas no Security Health Analytics para AWS

O Risk Engine fornece pontuações e visualizações de caminhos de ataque para as seguintes categorias de descobertas da Análise de integridade da segurança:

  • Chaves de acesso alternadas a cada 90 dias ou menos
  • Credenciais não usadas por 45 dias ou mais desativadas
  • A VPC do grupo de segurança padrão restringe todo o tráfego
  • Instância do EC2 sem IP público
  • Política de senha do IAM
  • A política de senha do IAM impede a reutilização de senhas
  • A política de senha do IAM requer o tamanho mínimo de 14 ou mais
  • Verificação de credenciais não utilizadas de usuários do IAM
  • Os usuários do IAM recebem grupos de permissões
  • CMK do KMS não programada para exclusão
  • Buckets do S3 ativados para exclusão da MFA
  • Conta de usuário raiz com MFA ativada
  • Autenticação multifator (MFA) ativada para o acesso ao console de todos os usuários do IAM
  • Não existe chave de acesso à conta de usuário raiz
  • Nenhum grupo de segurança permite a entrada de 0 para administração remota de servidor
  • Nenhum grupo de segurança permite a entrada de 0 0 0 0 para administração remota de servidor
  • Uma chave de acesso ativa disponível para qualquer usuário único do IAM
  • Acesso público a instâncias do RDS concedido
  • Portas comuns restritas
  • SSH restrito
  • Rotação de CMKs criadas pelo cliente ativada
  • Rotação de CMKs simétricas criadas por cliente ativada
  • Configurações de bloqueio de acesso público em buckets do S3
  • Política de bucket do S3 definida para negar solicitações HTTP
  • KMS de criptografia padrão do S3
  • Grupo de segurança padrão da VPC fechado

Resultados da avaliação de vulnerabilidades para Amazon Web Services

A categoria de descoberta Software vulnerability gerada pela Avaliação de vulnerabilidades do EC2 é compatível com pontuações de exposição a ataques.

Suporte do Azure

O Risk Engine pode gerar pontuações de exposição a ataques e visualizações de caminhos de ataque para seus recursos no Microsoft Azure.

Depois de estabelecer uma conexão com o Azure, é possível designar recursos de alto valor do Azure criando configurações de valor de recurso, assim como faria para recursos no Google Cloud e AWS. Para instruções, consulte a seção Definir e gerenciar seu conjunto de recursos de alto valor.

Antes de criar a primeira configuração de valor de recursos para o Azure, o Security Command Center usa um conjunto padrão de recursos de alto valor específico para o provedor de serviços de nuvem.

O Security Command Center executa simulações para uma plataforma de nuvem que são independentes das simulações executadas para outras plataformas de nuvem.

Serviços do Azure compatíveis com o mecanismo de risco

As simulações de caminho de ataque podem incluir os seguintes serviços do Azure:

  • App Service
  • Azure Kubernetes Service (AKS)
  • Rede virtual
  • Container Registry
  • Cosmos DB
  • Funções
  • Key Vault
  • Banco de dados MySQL
  • Grupos de segurança de rede
  • Banco de dados PostgreSQL
  • Controle de acesso baseado em papéis (RBAC)
  • Service Bus
  • Banco de dados SQL
  • Storage Account
  • Conjuntos de escalonamento de máquinas virtuais
  • Máquinas virtuais

Tipos de recursos do Azure que podem ser especificados em conjuntos de recursos de alto valor

Só é possível adicionar os seguintes tipos de recursos do Azure a um conjunto de recursos de alto valor:

  • Microsoft.Compute/virtualMachines
    • VM do Linux
    • VM do Windows
  • Microsoft.ContainerService/managedClusters
    • Cluster do Kubernetes
  • Microsoft.DBforMySQL/flexibleServers/databases
    • Banco de dados MySQL
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • Banco de dados PostgreSQL
  • Microsoft.DocumentDB/databaseAccounts
    • Conta do Cosmos DB
  • Microsoft.Sql/servers/databases
    • Banco de dados SQL
  • Microsoft.Storage/storageAccounts
    • Storage Account
  • Microsoft.Web/sites
    • App Service
    • App de funções

Recursos do Azure incluídos no conjunto de recursos de alto valor padrão

Estes são os recursos incluídos no conjunto de recursos padrão de alto valor:

  • Microsoft.Compute/virtualMachines
    • VM do Linux
    • VM do Windows
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • Banco de dados PostgreSQL
  • Microsoft.DBforMySQL/flexibleServers/databases
    • Banco de dados MySQL
  • Microsoft.DocumentDB/databaseAccounts
    • Conta do Cosmos DB
  • Microsoft.Sql/servers/databases
    • Banco de dados SQL
  • Microsoft.Storage/storageAccounts
    • Storage Account
  • Microsoft.Web/sites
    • App Service
    • App de funções