Los detectores de errores generan resultados que apuntan a problemas en la configuración del entorno de Security Command Center. Estos problemas de configuración impiden
servicios de detección (también conocidos como
búsqueda de proveedores) a partir de la generación de resultados. Los resultados de errores son
generado por la fuente de seguridad Security Command Center
y tienen el resultado
la clase SCC errors
.
Esta selección de detectores de errores aborda configuraciones incorrectas comunes de Security Command Center y no es una lista exhaustiva. La ausencia de resultados de errores no garantiza que Security Command Center y sus servicios estén configurados y funcionen de forma correcta según lo previsto. Si sospechas que tienes problemas de configuración incorrecta que no se incluyen en estos detectores de errores, consulta Solución de problemas y Mensajes de error.
Niveles de gravedad
Un resultado de error puede tener uno de los siguientes niveles de gravedad:
- Crítico
Indica que el error está causando uno o más de los siguientes problemas:
- Este error te impide ver todos los hallazgos de un servicio.
- El error impide que Security Command Center genere valores nuevos hallazgos de cualquier gravedad.
- El error impide que las simulaciones de rutas de ataque generen las puntuaciones de exposición a ataques y las rutas de ataque.
- Alta
Indica que el error está causando uno o más de los siguientes problemas:
- No puedes ver ni exportar algunos de los hallazgos de un servicio.
- Para las simulaciones de rutas de ataque, las puntuaciones de exposición a ataques y las rutas de ataque podrían estar incompletas o ser imprecisas.
Silenciar comportamiento
Los resultados que pertenecen a la clase de resultado SCC errors
informan los problemas que impiden que Security Command Center funcione como se espera. Por este motivo, no se pueden silenciar los resultados de los errores.
Detectores de errores
En la siguiente tabla, se describen los detectores de errores y los elementos que admiten. Puedes filtrar los resultados por nombre de categoría o clase de resultado en la pestaña Resultados de Security Command Center en la consola de Google Cloud.
Para solucionar estos problemas, consulta Soluciona los errores de Security Command Center.
Las siguientes categorías de resultados representan errores posiblemente causados por acciones no intencionales.
Nombre de categoría | Nombre de la API | Resumen | Gravedad |
---|---|---|---|
API disabled |
API_DISABLED |
Descripción de los resultados: La API requerida está inhabilitada para el proyecto. El servicio inhabilitado no puede enviar resultados a Security Command Center. Nivel de precios: Premium o Estándar Elementos admitidos Análisis por lotes: Cada 60 horas |
Crítico |
Attack path simulation: no resource value configs match any resources |
APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES |
Descripción del hallazgo: Parámetros de configuración de los valores de recursos se definen para las simulaciones de rutas de ataque, pero no coinciden con ninguna instancia de recursos de tu entorno. Las simulaciones usan el de alto valor predeterminado. Este error puede tener cualquiera de las siguientes causas:
Nivel de precios: Premium
Recursos admitidos Análisis por lotes: Antes de cada simulación de ruta de ataque. |
Crítico |
Attack path simulation: resource value assignment limit exceeded |
APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED |
Descripción del hallazgo: En los últimos simulación de rutas de ataque, la cantidad de instancias de recursos de alto valor identificadas por el configuraciones de valores de recursos superó el límite de 1,000 instancias de recursos en una cuenta conjunto de recursos. Como resultado, Security Command Center excluyó el número excesivo de del conjunto de recursos de alto valor. La cantidad total de instancias coincidentes y la cantidad total de instancias excluidas
del conjunto se identifican en el hallazgo Las puntuaciones de exposición a ataques de cualquier hallazgo que afecte a un recurso excluido no reflejan la designación de alto valor de las instancias de recursos. Nivel de precios: Premium
Recursos admitidos Análisis por lotes: Antes de cada simulación de ruta de ataque. |
Alta |
Container Threat Detection
Image Pull Failure |
KTD_IMAGE_PULL_FAILURE |
Descripción del hallazgo:
No se puede habilitar Container Threat Detection en el clúster porque se requiere un contenedor
imagen no se puede extraer (descargar) desde El intento de implementar el DaemonSet de detección de amenazas de contenedores dio como resultado el siguiente error:
Nivel de precios: Premium
Elementos compatibles Análisis por lotes: cada 30 minutos |
Crítico |
Container Threat Detection
Blocked By Admission Controller |
KTD_BLOCKED_BY_ADMISSION_CONTROLLER |
Descripción del hallazgo: La detección de amenazas a contenedores no se puede habilitar en un clúster de Kubernetes. Una admisión de terceros impide la implementación de un objeto DaemonSet de Kubernetes Container Threat Detection requiere. Cuando se ven en la consola de Google Cloud, los detalles del hallazgo incluyen lo siguiente: mensaje de error que mostró Google Kubernetes Engine cuando la detección de amenazas a contenedores intentó implementar un objeto DaemonSet de detección de amenazas a contenedores. Nivel de precios: Premium
Elementos compatibles Análisis por lotes: cada 30 minutos |
Alta |
Container Threat
Detection service account missing permissions |
KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS |
Descripción del resultado: A una cuenta de servicio le faltan los permisos necesarios para la detección de amenazas a contenedores. La detección de amenazas a contenedores podría dejar de funcionar de forma correcta porque no se puede habilitar, actualizar ni inhabilitar la instrumentación de detección. Nivel de precios: Premium Elementos admitidos Análisis por lotes: cada 30 minutos |
Crítica |
GKE service account missing
permissions |
GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS |
Descripción de los resultados: La detección de amenazas a contenedores no puede generar resultados para un clúster de Google Kubernetes Engine, ya que a la cuenta de servicio predeterminada de GKE en el clúster le faltan permisos. Esto impide que la detección de amenazas a contenedores se habilite de forma correcta en el clúster. Nivel de precios: Premium
Elementos compatibles Análisis por lotes: todas las semanas |
Alta |
Misconfigured Cloud Logging Export |
MISCONFIGURED_CLOUD_LOGGING_EXPORT |
Descripción de los resultados: El proyecto configurado para la exportación continua a Cloud Logging no está disponible. Security Command Center no puede enviar resultados a Logging. Nivel de precios: Premium
Elementos admitidos Análisis por lotes: cada 30 minutos |
Alta |
VPC Service Controls Restriction |
VPC_SC_RESTRICTION |
Descripción del resultado: Las estadísticas del estado de la seguridad no pueden producir ciertos resultados para un proyecto. El proyecto está protegido por un perímetro de servicio, y la cuenta de servicio de Security Command Center no tiene acceso al perímetro. Nivel de precios: Premium o Estándar Elementos admitidos Análisis por lotes: Cada 6 horas |
Alta |
Security Command
Center service account missing permissions |
SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS |
Descripción del resultado: A la cuenta de servicio de Security Command Center le faltan los permisos necesarios para funcionar de forma correcta. No se producen resultados. Nivel de precios: Premium o Estándar
Recursos admitidos Análisis por lotes: cada 30 minutos |
Crítica |
¿Qué sigue?
- Obtén información para corregir errores de Security Command Center.
- Consulta Solución de problemas.
- Consulta Mensajes de error.