Los detectores Web Security Scanner y de estadísticas del estado de seguridad de la Web generan resultados de vulnerabilidades que están disponibles en Security Command Center. Cuando se habilitan en Security Command Center, los servicios integrados, como VM Manager, también generan resultados de vulnerabilidades.
Tu capacidad para ver y editar resultados se determina mediante las funciones y los permisos de Identity and Access Management (IAM). Para obtener más información sobre los roles de IAM en Security Command Center, consulta Control de acceso.
Detectores y cumplimiento
Security Command Center supervisa tu cumplimiento con detectores que están asignados a los controles de una amplia variedad de estándares de seguridad.
Para cada estándar de seguridad admitido, Security Command Center verifica un subconjunto de los controles. En el caso de los controles que se marcaron, Security Command Center te muestra cuántos son aprobados. En el caso de los controles que no se aprueban, Security Command Center te muestra una lista de hallazgos que describen las fallas de control.
CIS revisa y certifica las asignaciones de los detectores de Security Command Center a cada versión compatible de la comparativa CIS Google Cloud Foundations. Las asignaciones de cumplimiento adicionales se incluyen solo a modo de referencia.
Security Command Center agrega compatibilidad con nuevas versiones y estándares de comparativas de forma periódica. Las versiones anteriores siguen siendo compatibles, pero, con el tiempo, dejan de estarlo. Te recomendamos que uses la comparativa o el estándar compatibles más recientes disponibles.
Con el servicio de posición de seguridad, puedes asignar las políticas de la organización y los detectores de Security Health Analytics a los estándares y controles que se aplican a tu empresa. Después de crear una postura de seguridad, puedes supervisar si hay cambios en el entorno que podrían afectar el cumplimiento de tu empresa.
Para obtener más información sobre la administración del cumplimiento, consulta Evalúa y informa el cumplimiento de los estándares de seguridad.
Estándares de seguridad compatibles
Google Cloud
Security Command Center asigna detectores de Google Cloud a uno o más de los siguientes estándares de cumplimiento:
- Controles 8.0 del Center for Information Security (CIS)
- CIS Google Cloud Computing Foundations Benchmark v2.0.0, v1.3.0, v1.2.0, v1.1.0 y v1.0.0
- Comparativas de CIS en Kubernetes 1.5.1
- Matriz de controles de la nube (CCM) 4
- Ley de Responsabilidad y Portabilidad de Seguros Médicos (HIPAA)
- Organización Internacional de Normalización (ISO) 27001, 2022 y 2013
- National Institute of Standards and Technology (NIST) 800-53 R5 y R4
- NIST CSF 1.0
- Open Web Application Security Project (OWASP) Top Ten, 2021 y 2017
- Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) 4.0 y 3.2.1
- Controles de sistemas y de la organización (SOC) 2 2017 Trust Services Criteria (TSC)
AWS
Security Command Center asigna detectores de Amazon Web Services (AWS) a uno o más de los siguientes estándares de cumplimiento:
Para obtener instrucciones sobre cómo ver y exportar informes de cumplimiento, consulta la sección Cumplimiento en Cómo usar Security Command Center en la consola de Google Cloud.
Cómo encontrar la desactivación después de la solución
Después de corregir una vulnerabilidad o un hallazgo de configuración incorrecta, el servicio de Security Command Center que detectó el hallazgo establece automáticamente el estado del hallazgo en INACTIVE la próxima vez que el servicio de detección lo analice. El tiempo que tarda Security Command Center en establecer un hallazgo solucionado en INACTIVE depende del programa del análisis que detecta el hallazgo.
Los servicios de Security Command Center también establecen el estado de un hallazgo de vulnerabilidad o configuración incorrecta en INACTIVE cuando un análisis detecta que se borró el recurso afectado por el hallazgo.
Para obtener más información sobre los intervalos de análisis, consulta los siguientes temas:
Resultados de las estadísticas de estado de seguridad
Los detectores de estadísticas del estado de la seguridad supervisan un subconjunto de recursos de Cloud Asset Inventory (CAI) y reciben notificaciones de los cambios en las políticas de la administración de identidades y accesos (IAM). Algunos detectores recuperan datos mediante una llamada directa a las API de Google Cloud, como se indica en las tablas que aparecen más adelante en esta página.
Para obtener más información sobre Security Health Analytics, los programas de análisis y la compatibilidad de Security Health Analytics con detectores de módulos integrados y personalizados, consulta Descripción general de Security Health Analytics.
En las siguientes tablas, se describen los detectores de estadísticas del estado de la seguridad, los elementos y los estándares de cumplimiento que admiten, la configuración que usan para los análisis y los tipos de hallazgos que generan. Puedes filtrar los resultados por varios atributos mediante la página Vulnerabilidades de Security Command Center en la consola de Google Cloud.
Para obtener instrucciones para solucionar problemas y proteger tus recursos, consulta Soluciona los problemas de las estadísticas del estado de seguridad.
Resultados de las vulnerabilidades de la clave de API
El detector API_KEY_SCANNER identifica vulnerabilidades relacionadas con las claves de API que se usan en tu implementación en la nube.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
API key APIs unrestricted
Nombre de categoría en la API: |
Hallazgos de la descripción: Hay claves de API que se usan demasiado. Para resolver esto, limita el uso de la clave de API a fin de permitir solo las API que necesita la aplicación. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Recupera la propiedad
|
API key apps unrestricted
Nombre de categoría en la API: |
Descripción del resultado: Hay claves de API que se usan sin restricciones y que permiten cualquier app que no sea de confianza. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Recupera la propiedad
|
API key exists
Nombre de categoría en la API: |
Descripción del resultado: Un proyecto usa claves de API en lugar de la autenticación estándar. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Recupera todas las claves de API que son propiedad de un proyecto.
|
API key not rotated
Nombre de categoría en la API: |
Descripción del resultado: La clave de API no se rotó durante más de 90 días. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Recupera la marca de tiempo incluida en la propiedad
|
Hallazgos de vulnerabilidades de Cloud Asset Inventory
Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de Cloud Asset Inventory y pertenecen al tipo CLOUD_ASSET_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Cloud Asset API disabled
Nombre de categoría en la API: |
Descripción del hallazgo: La captura de recursos de Google Cloud y políticas de IAM por parte de Cloud Asset Inventory permite el análisis de seguridad, el seguimiento de cambios de recursos y la auditoría de cumplimiento. Recomendamos que el servicio de Cloud Asset Inventory esté habilitado para todos los proyectos. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica si el servicio de Cloud Asset Inventory está habilitado.
|
Resultados de las vulnerabilidades de imágenes de Compute
El detector COMPUTE_IMAGE_SCANNER identifica vulnerabilidades relacionadas con las configuraciones de imágenes de Google Cloud.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Public Compute image
Nombre de categoría en la API: |
Descripción del resultado: Una imagen de Compute Engine es de acceso público. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Verifica la política de permisos de IAM en metadatos de recursos para las principales
|
Resultados de las vulnerabilidades de las instancias de Compute
El detector COMPUTE_INSTANCE_SCANNER identifica vulnerabilidades relacionadas con las configuraciones de instancias de Compute Engine.
Los detectores COMPUTE_INSTANCE_SCANNER no informan los resultados en las instancias de Compute Engine que crea GKE. Estas instancias tienen nombres que comienzan con “gke-”, que los usuarios no pueden editar. Para proteger estas instancias, consulta la sección de resultados de vulnerabilidades de contenedores.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Confidential Computing disabled
Nombre de categoría en la API: |
Descripción de resultados: Confidential Computing está inhabilitado en una instancia de Compute Engine. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
Compute project wide SSH keys allowed
Nombre de categoría en la API: |
Descripción del resultado: Se usan claves SSH de todo el proyecto, lo que permite el acceso a todas las instancias del proyecto. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba el objeto
|
Compute Secure Boot disabled
Nombre de categoría en la API: |
Descripción del resultado: Esta VM protegida no tiene habilitado Inicio seguro. El uso de Inicio seguro ayuda a proteger las instancias de máquinas virtuales de las amenazas avanzadas, como rootkits y bootkits. Nivel de precios: Premium Recursos compatibles Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Comprueba la propiedad
|
Compute serial ports enabled
Nombre de categoría en la API: |
Descripción del resultado: Los puertos en serie están habilitados para una instancia, lo que permite conexiones a la consola en serie de la instancia. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba el objeto
|
Default service account used
Nombre de categoría en la API: |
Descripción del resultado: Una instancia está configurada para usar la cuenta de servicio predeterminada. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Disk CMEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Los discos de esta VM no se encriptan con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Comprueba el campo
|
Disk CSEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Los discos de esta VM no se encriptan con claves de encriptación proporcionadas por el cliente (CSEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Detector de casos especiales. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica el campo
|
Full API access
Nombre de categoría en la API: |
Descripción del resultado: Una instancia está configurada para usar la cuenta de servicio predeterminada con acceso completo a todas las API de Google Cloud. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Recupera el campo
|
HTTP load balancer
Nombre de categoría en la API: |
Descripción del resultado: Una instancia usa un balanceador de cargas configurado para usar un proxy HTTP de destino en lugar de un proxy HTTPS de destino. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Determina si la propiedad
|
Instance OS Login disabled
Nombre de categoría en la API: |
Descripción del resultado: El Acceso al SO está inhabilitado en esta instancia. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles
Estándares de cumplimiento:
|
Comprueba si la propiedad
|
IP forwarding enabled
Nombre de categoría en la API: |
Descripción del resultado: El reenvío de IP está habilitado en las instancias. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
OS login disabled
Nombre de categoría en la API: |
Descripción del resultado: El Acceso al SO está inhabilitado en esta instancia. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba el objeto
|
Public IP address
Nombre de categoría en la API: |
Descripción del resultado: Una instancia tiene una dirección IP pública. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Shielded VM disabled
Nombre de categoría en la API: |
Descripción del resultado: La VM protegida está inhabilitada en esta instancia. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Weak SSL policy
Nombre de categoría en la API: |
Descripción del resultado: Una instancia tiene una política de SSL débil. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica si
|
Resultados de las vulnerabilidades de contenedores
Estos tipos de resultados se relacionan con los parámetros de configuración del contenedor de GKE y pertenecen al tipo de detector CONTAINER_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Alpha cluster enabled
Nombre de categoría en la API: |
Descripción de los resultados: Las funciones del clúster Alfa están habilitadas para un clúster de GKE. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Auto repair disabled
Nombre de categoría en la API: |
Descripción del resultado: La función de reparación automática de un clúster de GKE, que mantiene los nodos en buen estado, está inhabilitada. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Auto upgrade disabled
Nombre de categoría en la API: |
Descripción del resultado: La función de actualización automática de un clúster de GKE, que conserva los clústeres y grupos de nodos en la versión estable más reciente de Kubernetes, está inhabilitada. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Binary authorization disabled
Nombre de categoría en la API: |
Descripción del problema: La autorización binaria está inhabilitada en el clúster de GKE o la política de autorización binaria está configurada para permitir que se implementen todas las imágenes. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Verifica lo siguiente:
|
Cluster logging disabled
Nombre de categoría en la API: |
Descripción del resultado: Logging no está habilitado para un clúster de GKE. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Cluster monitoring disabled
Nombre de categoría en la API: |
Descripción del resultado: Monitoring está inhabilitado en los clústeres de GKE. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Cluster private Google access disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: Los hosts de clústeres no están configurados con el fin de usar solo direcciones IP internas privadas para acceder a las API de Google. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Cluster secrets encryption disabled
Nombre de categoría en la API: |
Descripción del resultado: La encriptación de los Secrets de la capa de la aplicación está inhabilitada en un clúster de GKE. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica la propiedad
|
Cluster shielded nodes disabled
Nombre de categoría en la API: |
Descripción de los resultados: Los nodos de GKE protegidos no están habilitados para un clúster. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica la propiedad
|
COS not used
Nombre de categoría en la API: |
Resultado de la descripción: Las VM de Compute Engine no usan Container Optimized OS diseñado para ejecutar contenedores de Docker en Google Cloud de forma segura. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Integrity monitoring disabled
Nombre de categoría en la API: |
Descripción de los resultados: La supervisión de integridad está inhabilitada para un clúster de GKE. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica la propiedad
|
Intranode visibility disabled
Nombre de categoría en la API: |
Descripción de los resultados: La visibilidad dentro de los nodos está inhabilitada para un clúster de GKE. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica la propiedad
|
IP alias disabled
Nombre de categoría en la API: |
Descripción del resultado: Se creó un clúster de GKE con los rangos de alias de IP inhabilitados. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si el campo
|
Legacy authorization enabled
Nombre de categoría en la API: |
Descripción del resultado: La autorización heredada está habilitada en los clústeres de GKE. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Legacy metadata enabled
Nombre de categoría en la API: |
Descripción del resultado: Los metadatos heredados están habilitados en los clústeres de GKE. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Master authorized networks disabled
Nombre de categoría en la API: |
Descripción del resultado: Las redes autorizadas del plano de control no están habilitadas en los clústeres de GKE. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Network policy disabled
Nombre de categoría en la API: |
Descripción del resultado: La política de red está inhabilitada en los clústeres de GKE. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba el campo
|
Nodepool boot CMEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Los discos de arranque de este grupo de nodos no están encriptados con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Comprueba la propiedad
|
Nodepool secure boot disabled
Nombre de categoría en la API: |
Descripción del resultado: El inicio seguro está inhabilitado para un clúster de GKE. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica la propiedad
|
Over privileged account
Nombre de categoría en la API: |
Descripción del resultado: Una cuenta de servicio tiene acceso a proyectos demasiado amplio en un clúster. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Evalúa la propiedad
|
Over privileged scopes
Nombre de categoría en la API: |
Descripción del resultado: Una cuenta de servicio de nodo tiene permisos de acceso amplios. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si el permiso de acceso que aparece en la propiedad config.oauthScopes de un grupo de nodos es un permiso limitado de acceso a la cuenta de servicio: https://www.googleapis.com/auth/devstorage.read_only, https://www.googleapis.com/auth/logging.write. o https://www.googleapis.com/auth/monitoring.
|
Pod security policy disabled
Nombre de categoría en la API: |
Descripción del resultado: PodSecurityPolicy está inhabilitado en un clúster de GKE. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Private cluster disabled
Nombre de categoría en la API: |
Descripción del resultado: Un clúster de GKE tiene un clúster privado inhabilitado. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si el campo
|
Release channel disabled
Nombre de categoría en la API: |
Descripción del resultado: Un clúster de GKE no está suscrito a un canal de versiones. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica la propiedad
|
Web UI enabled
Nombre de categoría en la API: |
Descripción del resultado: La IU web de GKE (panel) está habilitada. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento:
|
Comprueba el campo
|
Workload Identity disabled
Nombre de categoría en la API: |
Descripción del resultado: Workload Identity está inhabilitado en un clúster de GKE. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Resultados de las vulnerabilidades de Dataproc
Las vulnerabilidades de este tipo de detector se relacionan con Dataproc y pertenecen al tipo de detector DATAPROC_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Dataproc CMEK disabled
Nombre de categoría en la API: |
Descripción del hallazgo: Se creó un clúster de Dataproc sin una configuración de encriptación de CMEK. Con CMEK, las claves que creas y administras en Cloud Key Management Service envuelven las claves que usa Google Cloud para encriptar tus datos, lo que te brinda más control sobre el acceso a tus datos. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si el campo
|
Dataproc image outdated
Nombre de categoría en la API: |
Descripción de los resultados: Se creó un clúster de Dataproc con una versión de imagen de Dataproc que se ve afectada por las vulnerabilidades de seguridad en la utilidad Apache Log4j 2 (CVE-2021-44228). y CVE-2021-45046. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Comprueba si el campo
|
Resultados de las vulnerabilidades de los conjuntos de datos
Las vulnerabilidades de este tipo de detector se relacionan con la configuración de conjuntos de datos de BigQuery y pertenecen al tipo de detector DATASET_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
BigQuery table CMEK disabled
Nombre de categoría en la API: |
Descripción de los resultados: Una tabla de BigQuery no está configurada para usar una clave de encriptación administrada por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Dataset CMEK disabled
Nombre de categoría en la API: |
Descripción de los resultados: Un conjunto de datos de BigQuery no está configurado para usar una CMEK predeterminada. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Public dataset
Nombre de categoría en la API: |
Descripción del resultado: Un conjunto de datos está configurado para estar abierto al acceso público. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en metadatos de recursos para las principales
|
Resultados de las vulnerabilidades de DNS
Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de Cloud DNS y pertenecen al tipo de detector DNS_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
DNSSEC disabled
Nombre de categoría en la API: |
Descripción del resultado: DNSSEC está inhabilitada para las zonas de Cloud DNS. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
RSASHA1 for signing
Nombre de categoría en la API: |
Descripción del resultado: RSASHA1 se usa para firmar claves en zonas de Cloud DNS. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el objeto
|
Resultados de las vulnerabilidades de firewall
Las vulnerabilidades de este tipo de detector se relacionan con la configuración del firewall y pertenecen al tipo de detector FIREWALL_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Egress deny rule not set
Nombre de categoría en la API: |
Descripción de resultados: Una regla de denegación de salida no se establece en un firewall. Las reglas de denegación de salida deben configurarse para bloquear el tráfico saliente no deseado. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Firewall rule logging disabled
Nombre de categoría en la API: |
Descripción del resultado: El registro de reglas de firewall está inhabilitado. El registro de las reglas de firewall debe estar habilitado para que puedas auditar el acceso a la red. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open Cassandra port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto Cassandra abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open ciscosecure websm port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto abierto CISCOSECURE_WEBSM que permite el acceso genérico. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open directory services port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto DIRECTORY_SERVICES abierto que permita el acceso genérico. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open DNS port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto DNS abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open elasticsearch port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto ELASTICSEARCH abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open firewall
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para estar abierto al acceso público. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento:
|
Verifica las propiedades
|
Open FTP port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto FTP abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open HTTP port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto HTTP abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open LDAP port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto LDAP abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open Memcached port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto MEMCACHED abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open MongoDB port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto MONGODB abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open MySQL port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto MYSQL abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open NetBIOS port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto NETBIOS abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open OracleDB port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto ORACLEDB abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open pop3 port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto POP3 abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open PostgreSQL port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto PostgreSQL abierto que permite el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open RDP port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto RDP abierto que permita el acceso genérico. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la propiedad
|
Open Redis port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto REDIS abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Open SMTP port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto SMTP abierto que permita el acceso genérico. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Open SSH port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto SSH abierto que permite el acceso genérico. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Open Telnet port
Nombre de categoría en la API: |
Descripción del resultado: Un firewall está configurado para tener un puerto TELNET abierto que permita el acceso genérico. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Resultados de las vulnerabilidades de IAM
Las vulnerabilidades de este tipo de detector se relacionan con la configuración de la administración de identidades y accesos (IAM) y pertenecen al tipo de detector IAM_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Access Transparency disabled
Nombre de categoría en la API: |
Descripción del problema: La Transparencia de acceso de Google Cloud está inhabilitada en tu organización. La Transparencia de acceso registra cuando los empleados de Google Cloud acceden a los proyectos de tu organización para brindar asistencia. Habilita la Transparencia de acceso para registrar quién de Google Cloud accede a tu información, cuándo y por qué. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica si tu organización tiene habilitada la Transparencia de acceso.
|
Admin service account
Nombre de categoría en la API: |
Descripción de hallazgos: Una cuenta de servicio tiene privilegios de administrador, propietario o editor. Estas funciones no se deben asignar a las cuentas de servicio creadas por el usuario. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en los metadatos de recursos para cualquier cuenta de servicio creada por el usuario (indicada por el prefijo iam.gserviceaccount.com), que se les asigna
|
Essential Contacts Not Configured
Nombre de categoría en la API: |
Descripción del problema: Tu organización no designó a una persona o un grupo para que reciba notificaciones de Google Cloud sobre eventos importantes, como ataques, vulnerabilidades y incidentes de datos dentro de tu organización de Google Cloud. Te recomendamos que designes como Contacto esencial a una o más personas o grupos de tu organización comercial. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica que se especifique un contacto para las siguientes categorías de contacto esenciales:
|
KMS role separation
Nombre de categoría en la API: |
Descripción del resultado: No se aplica la separación de obligaciones, y existe un usuario que tiene cualquiera de las siguientes funciones de Cloud Key Management Service (Cloud KMS) al mismo tiempo: Encriptador/desencriptador de CryptoKey, Encriptador o Desencriptador. Este hallazgo no está disponible para las activaciones a nivel del proyecto. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica las políticas de permisos de IAM en metadatos de recursos y recupera los miembros a los que se les asignó alguna de los siguientes roles al mismo tiempo: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter y roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier, roles/cloudkms.publicKeyViewer
|
Non org IAM member
Nombre de categoría en la API: |
Descripción del resultado: Hay un usuario que no usa credenciales de organización. Según CIS para GCP Foundations 1.0, por el momento, solo las identidades con direcciones de correo electrónico @gmail.com activan este detector. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento:
|
Compara las direcciones de correo electrónico @gmail.com en el campo
|
Open group IAM member
Nombre de categoría en la API: |
Descripción de los resultados: Se usa una cuenta de Grupos de Google que se puede unir sin aprobación como principal de la política de permisos de IAM. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Verifica la política de IAM en los metadatos de recursos en busca de vinculaciones que contengan un miembro (principal) con el prefijo group. Si el grupo es abierto, Security Health Analytics genera este resultado.
|
Over privileged service account user
Nombre de categoría en la API: |
Descripción del resultado: Un usuario tiene la función Usuario de cuenta de servicio o Creador de tokens de cuenta de servicio a nivel de proyecto, en lugar de una cuenta de servicio específica. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en los metadatos de recursos para cualquier miembro asignado roles/iam.serviceAccountUser o roles/iam.serviceAccountTokenCreator a nivel de proyecto.
|
Primitive roles used
Nombre de categoría en la API: |
Descripción del resultado: Un usuario tiene uno de los siguientes roles básicos:
Estos roles son demasiado permisivos y no deben usarse. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en los metadatos de recursos para cualquier miembro al que se le asigne un rol
|
Redis role used on org
Nombre de categoría en la API: |
Descripción de los hallazgos: Una función de IAM de Redis se asigna a nivel de organización o carpeta. Este hallazgo no está disponible para las activaciones a nivel del proyecto. Nivel de precios: Premium
Recursos compatibles
Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en metadatos de recursos para miembros asignados
|
Service account role separation
Nombre de categoría en la API: |
Descripción del resultado: Se asignaron a un usuario las funciones de administrador de cuentas de servicio y usuario de cuentas de servicio. Esto infringe el principio de “Separación de obligaciones”. Este hallazgo no está disponible para las activaciones a nivel del proyecto. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba la política de permisos de IAM en los metadatos de recursos para cualquier miembro asignado tanto roles/iam.serviceAccountUser como roles/iam.serviceAccountAdmin.
|
Service account key not rotated
Nombre de categoría en la API: |
Descripción de los hallazgos: La clave de una cuenta de servicio no se rotó por más de 90 días. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Evalúa la marca de tiempo de creación de claves capturada en la propiedad
|
User managed service account key
Nombre de categoría en la API: |
Descripción del resultado: Un usuario administra una clave de cuenta de servicio. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Resultados de las vulnerabilidades de KMS
Las vulnerabilidades de este tipo de detector se relacionan con la configuración de Cloud KMS y pertenecen al tipo de detector KMS_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
KMS key not rotated
Nombre de categoría en la API: |
Descripción de los hallazgos: La rotación no se configura en una clave de encriptación de Cloud KMS. La encriptación de claves se debe rotar en un período de 90 días Nivel de precios: Premium
Elementos admitidos Estándares de cumplimiento:
|
Verifica los metadatos de los recursos para la existencia de propiedades
|
KMS project has owner
Nombre de categoría en la API: |
Descripción de los hallazgos: Un usuario tiene permisos de Propietario en un proyecto que tiene claves criptográficas. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en los metadatos del proyecto para los miembros asignados
|
KMS public key
Nombre de categoría en la API: |
Descripción de los hallazgos: Una clave criptográfica de Cloud KMS es de acceso público. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en metadatos de recursos para las principales
|
Too many KMS users
Nombre de categoría en la API: |
Descripción del resultado: Hay más de tres usuarios de claves criptográficas. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Elementos admitidos Estándares de cumplimiento:
|
Comprueba las políticas de permisos de IAM para llaveros de claves, proyectos y organizaciones, y recupera miembros con roles que les permiten encriptar, desencriptar o firmar datos con claves de Cloud KMS: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer y roles/cloudkms.signerVerifier
|
Resultados de las vulnerabilidades de registros
Las vulnerabilidades de este tipo de detector se relacionan con la configuración del registro y pertenecen al tipo de detector LOGGING_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Audit logging disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: Se inhabilitó el registro de auditoría para este recurso. Este hallazgo no está disponible para las activaciones a nivel del proyecto. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Verifica la política de permisos de IAM en los metadatos de recursos para la existencia de un objeto
|
Bucket logging disabled
Nombre de categoría en la API: |
Descripción del resultado: Hay un bucket de almacenamiento sin el registro habilitado. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Locked retention policy not set
Nombre de categoría en la API: |
Descripción del resultado: Una política de retención bloqueada no se establece para los registros. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Log not exported
Nombre de categoría en la API: |
Descripción de los hallazgos: Hay un recurso que no tiene configurado un receptor de registros adecuado. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles
Estándares de cumplimiento:
|
Recupera un objeto
|
Object versioning disabled
Nombre de categoría en la API: |
Descripción del resultado: El control de versiones de objetos no está habilitado en un bucket de almacenamiento en el que están configurados los receptores. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
Resultados de las vulnerabilidades de Monitoring
Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de supervisión y pertenecen al tipo MONITORING_SCANNER. Todas las propiedades del hallazgo del detector de Monitoring incluyen lo siguiente:
- El
RecommendedLogFilterque se usará para crear las métricas de registro. -
El
QualifiedLogMetricNamesque cubre las condiciones que se enumeran en el filtro de registro recomendado. - El
AlertPolicyFailureReasonsque indica si el proyecto no tiene políticas de alerta creadas para cualquiera de las métricas de registro calificadas o si las políticas de alertas existentes no tienen la configuración recomendada.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Audit config not monitored
Nombre de categoría en la API: |
Descripción del resultado: Las métricas y alertas de registro no están configuradas para supervisar los cambios de la configuración de auditoría. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se establece en protoPayload.methodName="SetIamPolicy" AND
protoPayload.serviceData.policyDelta.auditConfigDeltas:* y, si se especifica resource.type, el valor es global.
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Bucket IAM not monitored
Nombre de categoría en la API: |
Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios de permiso de IAM de Cloud Storage. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como resource.type=gcs_bucket AND
protoPayload.methodName="storage.setIamPermissions".
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Custom role not monitored
Nombre de categoría en la API: |
Descripción de los hallazgos: Las métricas y alertas de registro no están configuradas para supervisar los cambios de funciones personalizadas. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como resource.type="iam_role" AND
(protoPayload.methodName="google.iam.admin.v1.CreateRole"
OR
protoPayload.methodName="google.iam.admin.v1.DeleteRole"
OR
protoPayload.methodName="google.iam.admin.v1.UpdateRole").
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Firewall not monitored
Nombre de categoría en la API: |
Descripción de los resultados: Las métricas y alertas de registros no están configuradas para supervisar los cambios de la regla de firewall de la red de nube privada virtual (VPC). En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como
resource.type="gce_firewall_rule"
AND (protoPayload.methodName:"compute.firewalls.insert"
OR protoPayload.methodName:"compute.firewalls.patch"
OR protoPayload.methodName:"compute.firewalls.delete").
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Network not monitored
Nombre de categoría en la API: |
Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios de la red de VPC En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como
resource.type="gce_network"
AND (protoPayload.methodName:"compute.networks.insert"
OR protoPayload.methodName:"compute.networks.patch"
OR protoPayload.methodName:"compute.networks.delete"
OR protoPayload.methodName:"compute.networks.removePeering"
OR protoPayload.methodName:"compute.networks.addPeering").
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Owner not monitored
Nombre de categoría en la API: |
Descripción del resultado: Las métricas y alertas de registros no están configuradas para supervisar los cambios o las asignaciones de propiedad del proyecto. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se establece en (protoPayload.serviceName="cloudresourcemanager.googleapis.com")
AND (ProjectOwnership OR projectOwnerInvitee) OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner")
OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") y, si se especifica resource.type, el valor es global.
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Route not monitored
Nombre de categoría en la API: |
Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios de ruta de la red de VPC En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como
resource.type="gce_route"
AND (protoPayload.methodName:"compute.routes.delete"
OR protoPayload.methodName:"compute.routes.insert").
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
SQL instance not monitored
|
Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios en la configuración de la instancia de Cloud SQL. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se establece en
protoPayload.methodName="cloudsql.instances.update"
OR protoPayload.methodName="cloudsql.instances.create"
OR protoPayload.methodName="cloudsql.instances.delete" y, si se especifica resource.type, el valor es global.
El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
|
Resultados de autenticación de varios factores
El detector MFA_SCANNER identifica vulnerabilidades relacionadas con la autenticación de varios factores para los usuarios.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
MFA not enforced
Nombre de categoría en la API: |
Hay usuarios que no usan la verificación en 2 pasos. Google Workspace te permite especificar un período de gracia para la inscripción para los usuarios nuevos durante el cual deben inscribirse en la verificación en 2 pasos. Este detector sí crea resultados para los usuarios durante el período de gracia de inscripción. Este hallazgo no está disponible para las activaciones a nivel del proyecto. Nivel de precios: Premium o Estándar
Recursos compatibles Estándares de cumplimiento:
|
Evalúa las políticas de administración de identidades en las organizaciones y la configuración de usuarios para cuentas administradas en Cloud Identity.
|
Resultados de las vulnerabilidades de la red
Las vulnerabilidades de este tipo de detector se relacionan con la configuración de red de una organización y pertenecen al tipo NETWORK_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Default network
Nombre de categoría en la API: |
Descripción del resultado: La red predeterminada existe en un proyecto. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
DNS logging disabled
Nombre de categoría en la API: |
Descripción de búsqueda: El registro DNS en una red de VPC no está habilitado. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba todas las
|
Legacy network
Nombre de categoría en la API: |
Descripción del resultado: Existe una red heredada en un proyecto. En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la existencia de metadatos de red para la existencia de la propiedad
|
Load balancer logging disabled
Nombre de categoría en la API: |
Descripción del resultado: El registro está inhabilitado para el balanceador de cargas. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Hallazgos de las vulnerabilidades de las políticas de la organización
Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de las restricciones de Política de la organización y pertenecen al tipo ORG_POLICY.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Org policy Confidential VM policy
Nombre de categoría en la API: |
Descripción del resultado: Un recurso de Compute Engine no cumple con la política de la organización constraints/compute.restrictNonConfidentialComputing. Para obtener más información sobre esta restricción de la política de la organización, consulta Aplica restricciones de políticas de la organización en Confidential VM.
En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Comprueba si la propiedad
|
Org policy location restriction
Nombre de categoría en la API: |
Descripción de los resultados: Un recurso de Compute Engine no cumple con la restricción constraints/gcp.resourceLocations. Para obtener más información sobre esta restricción de políticas de la organización, consulta Aplica restricciones de políticas de la organización.
En el caso de las activaciones a nivel del proyecto del nivel Premium de Security Command Center, este hallazgo solo está disponible si el nivel Estándar está habilitado en la organización superior. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Comprueba la propiedad
|
|
Elementos admitidos para ORG_POLICY_LOCATION_RESTRICTION
Compute Engine
GKE
Cloud Storage
Cloud KMS
Dataproc
BigQuery
Dataflow
Cloud SQL
Cloud Composer
Registros
Pub/Sub
Vertex AI
Registro de artefactos 1 Debido a que los activos de Cloud KMS no se pueden borrar, el activo no se considera fuera de la región si se destruyeron sus datos. 2 Debido a que los trabajos de importación de Cloud KMS tienen un ciclo de vida controlado y no se pueden finalizar de forma anticipada, un ImportJob no se considera fuera de la región si el trabajo venció y ya no se puede usar para importar claves. 3 Debido a que no se puede administrar el ciclo de vida de los trabajos de Dataflow, un trabajo no se considera fuera de la región una vez que alcanza un estado terminal (detenido o desviado), en el que ya no se pueden usar para procesar datos. |
||
Resultados de vulnerabilidades de Pub/Sub
Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de Pub/Sub y pertenecen al tipo PUBSUB_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Pubsub CMEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Un tema de Pub/Sub no se encripta con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Comprueba el campo
|
Resultados de las vulnerabilidades de SQL
Las vulnerabilidades de este tipo de detector se relacionan con la configuración de Cloud SQL y pertenecen al tipo SQL_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
AlloyDB auto backup disabled
Nombre de categoría en la API: |
Descripción del hallazgo: Un clúster de AlloyDB para PostgreSQL no tiene habilitadas las copias de seguridad automáticas. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
AlloyDB backups disabled
Nombre de categoría en la API: |
Descripción del resultado: Un clúster de AlloyDB para PostgreSQL no tiene habilitadas las copias de seguridad. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si las propiedades
|
AlloyDB CMEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Un clúster de AlloyDB no está encriptado con claves de encriptación administradas por el cliente (CMEK). Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba el campo
|
AlloyDB log min error statement severity
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el campo
|
AlloyDB log min messages
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el campo
|
AlloyDB log error verbosity
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el campo
|
AlloyDB public IP
Nombre de categoría en la API: |
Descripción del hallazgo: Una instancia de base de datos de AlloyDB para PostgreSQL tiene una dirección IP pública. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si el campo
|
AlloyDB SSL not enforced
Nombre de categoría en la API: |
Descripción del resultado: Una instancia de base de datos de AlloyDB para PostgreSQL no requiere que todas las conexiones entrantes usen SSL. Nivel de precios: Premium
Recursos compatibles Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Auto backup disabled
Nombre de categoría en la API: |
Descripción del resultado: Una base de datos de Cloud SQL no tiene habilitadas las copias de seguridad automáticas. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Public SQL instance
Nombre de categoría en la API: |
Descripción de los hallazgos: Una instancia de base de datos de Cloud SQL acepta conexiones de todas las direcciones IP. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SSL not enforced
Nombre de categoría en la API: |
Descripción del resultado: Una instancia de base de datos de Cloud SQL no necesita que todas las conexiones entrantes usen SSL. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL CMEK disabled
Nombre de categoría en la API: |
Descripción del resultado: Una instancia de base de datos SQL no está encriptada con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Comprueba el campo
|
SQL contained database authentication
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba la propiedad
|
SQL cross DB ownership chaining
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL external scripts enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL local infile
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log checkpoints disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log connections disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log disconnections disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log duration disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log error verbosity
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log lock waits disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log min duration statement enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL log min error statement
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
SQL log min error statement severity
Nombre de categoría en la API: |
Descripción de los resultados: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el campo
|
SQL log min messages
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el campo
|
SQL log executor stats enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log hostname enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log parser stats enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log planner stats enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log statement
Nombre de categoría en la API: |
Descripción de los resultados: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log statement stats enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL log temp files
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL no root password
Nombre de categoría en la API: |
Descripción del resultado: Una base de datos de Cloud SQL que tiene una dirección IP pública no tiene una contraseña configurada para la cuenta raíz. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
SQL public IP
Nombre de categoría en la API: |
Descripción de los hallazgos: Una base de datos de Cloud SQL tiene una dirección IP pública. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si el tipo de dirección IP de una base de datos de Cloud SQL está configurada como
|
SQL remote access enabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL skip show database disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL trace flag 3625
Nombre de categoría en la API: |
Descripción de los hallazgos: La marca de la base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL user connections configured
Nombre de categoría en la API: |
Descripción de los resultados: Se configura la marca de base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL user options configured
Nombre de categoría en la API: |
Descripción de los resultados: Se configura la marca de base de datos Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Verifica la propiedad
|
SQL weak root password
Nombre de categoría en la API: |
Descripción del hallazgo: Una base de datos de Cloud SQL que tiene una dirección IP pública también tiene una contraseña poco segura configurada para la cuenta raíz. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Compara la contraseña de la cuenta raíz de tu base de datos de Cloud SQL con una lista de contraseñas comunes.
|
Resultados de las vulnerabilidades de Storage
Las vulnerabilidades de este tipo de detector se relacionan con las opciones de configuración de depósitos de Cloud Storage y pertenecen al tipo STORAGE_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Bucket CMEK disabled
Nombre de categoría en la API: |
Descripción de los hallazgos: Un bucket no está encriptado con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Comprueba el campo
|
Bucket policy only disabled
Nombre de categoría en la API: |
Descripción del resultado: No se configuró el acceso uniforme a nivel de bucket, que antes se denominaba Solo política del bucket. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Public bucket ACL
Nombre de categoría en la API: |
Descripción del resultado:Un bucket de Cloud Storage es de acceso público. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM de un bucket para los roles públicos,
|
Public log bucket
Nombre de categoría en la API: |
Descripción del resultado:: Un bucket de almacenamiento que se usa como receptor de registros es de acceso público. Este hallazgo no está disponible para las activaciones a nivel del proyecto. Nivel de precios: Premium o Estándar
Recursos admitidos Estándares de cumplimiento:
|
Verifica la política de permisos de IAM de un bucket para las principales
|
Resultados de las vulnerabilidades de subred
Las vulnerabilidades de este tipo de detector se relacionan con las opciones de configuración de la subred de una organización y pertenecen al tipo SUBNETWORK_SCANNER.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
Flow logs disabled
Nombre de categoría en la API: |
Descripción del resultado: Hay una subred de VPC que tiene los registros de flujo inhabilitados. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si falta la propiedad
|
Flow logs settings not recommended
Nombre de categoría en la API: |
Descripción del resultado: En una subred de VPC, los registros de flujo de VPC están desactivados o no están configurados según las recomendaciones de CIS Benchmark 1.3. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si falta la propiedad
|
Private Google access disabled
Nombre de categoría en la API: |
Descripción del resultado: Existen subredes privadas sin acceso a las API públicas de Google. Nivel de precios: Premium
Recursos admitidos Estándares de cumplimiento:
|
Comprueba si la propiedad
|
Conclusiones de AWS
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
|
Nombre de categoría en la API: |
Descripción del resultado: AWS CloudShell es una forma conveniente de ejecutar comandos de CLI en los servicios de AWS. Una política de IAM administrada ("AWSCloudShellFullAccess") proporciona acceso completo a CloudShell, lo que permite subir y descargar archivos entre el sistema local de un usuario y el entorno de CloudShell. Dentro del entorno de CloudShell, un usuario tiene permisos de sudo y puede acceder a Internet. Por lo tanto, es posible instalar software de transferencia de archivos (por ejemplo) y mover datos de CloudShell a servidores de Internet externos. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que el acceso a AWSCloudShellFullAccess esté restringido
|
|
Nombre de categoría en la API: |
Descripción del resultado: Las claves de acceso consisten en un ID de clave de acceso y una clave de acceso secreta, que se usan para firmar las solicitudes programáticas que realizas a AWS. Los usuarios de AWS necesitan sus propias claves de acceso para realizar llamadas programáticas a AWS desde la interfaz de línea de comandos de AWS (AWS CLI), las herramientas para Windows PowerShell, los SDK de AWS o llamadas HTTP directas con las APIs de servicios individuales de AWS. Se recomienda que todas las claves de acceso se roten con regularidad. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que las claves de acceso se roten cada 90 días o menos
|
|
Nombre de categoría en la API: |
Descripción del resultado: Para habilitar las conexiones HTTPS a tu sitio web o aplicación en AWS, necesitas un certificado de servidor SSL/TLS. Puedes usar ACM o IAM para almacenar e implementar certificados de servidor. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de quitar todos los certificados SSL o TLS vencidos que estén almacenados en IAM de AWS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Esta opción verifica si tus grupos de ajuste de escala automático asociados con un balanceador de cargas usan las verificaciones de estado del balanceo de cargas elásticas. Esto garantiza que el grupo pueda determinar el estado de una instancia en función de las pruebas adicionales que proporciona el balanceador de cargas. El uso de verificaciones de estado de Elastic Load Balancing puede ayudar a admitir la disponibilidad de las aplicaciones que usan grupos de ajuste de escala automático de EC2. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todos los grupos de ajuste de escala automático asociados con un balanceador de cargas utilicen comprobaciones de estado
|
|
Nombre de categoría en la API: |
Descripción del resultado: Asegúrate de que las instancias de la base de datos de RDS tengan habilitada la marca de actualización automática de versión secundaria para recibir automáticamente actualizaciones menores del motor durante el período de mantenimiento especificado. Por lo tanto, las instancias de RDS pueden obtener las funciones, las correcciones de errores y los parches de seguridad nuevos para sus motores de base de datos. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que la función de actualización de versión secundaria automática esté habilitada para las instancias de RDS
|
|
Nombre de categoría en la API: |
Descripción del resultado: AWS Config es un servicio web que realiza la administración de la configuración de los recursos de AWS admitidos en tu cuenta y te entrega archivos de registro. La información registrada incluye el elemento de configuración (recurso de AWS), las relaciones entre los elementos de configuración (recursos de AWS) y cualquier cambio de configuración entre los recursos. Se recomienda que AWS Config esté habilitado en todas las regiones. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que AWS Config esté habilitado en todas las regiones
|
|
Nombre de categoría en la API: |
Descripción del resultado: Security Hub recopila datos de seguridad de todas las cuentas, los servicios y los productos de socios externos compatibles de AWS, y te ayuda a analizar tus tendencias de seguridad y a identificar los problemas de seguridad de mayor prioridad. Cuando habilitas Security Hub, este comienza a consumir, agregar, organizar y priorizar los resultados de los servicios de AWS que habilitaste, como Amazon GuardDuty, Amazon Inspector y Amazon Macie. También puedes habilitar integraciones con productos de seguridad de socios de AWS. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que el Security Hub de AWS esté habilitado
|
|
Nombre de categoría en la API: |
Descripción del resultado: AWS CloudTrail es un servicio web que registra las llamadas a la API de AWS de una cuenta y pone esos registros a disposición de los usuarios y recursos de acuerdo con las políticas de IAM. AWS Key Management Service (KMS) es un servicio administrado que ayuda a crear y controlar las claves de encriptación que se usan para encriptar los datos de la cuenta y utiliza módulos de seguridad de hardware (HSM) para proteger la seguridad de las claves de encriptación. Los registros de CloudTrail se pueden configurar para aprovechar la encriptación del servidor (SSE) y las claves maestras (CMK) creadas por el cliente de KMS para proteger aún más los registros de CloudTrail. Se recomienda que CloudTrail se configure para usar SSE-KMS. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que los registros de CloudTrail estén encriptados en reposo con CMK de KMS
|
|
Nombre de categoría en la API: |
Descripción del resultado: La validación del archivo de registro de CloudTrail crea un archivo de resumen firmado digitalmente que contiene un hash de cada registro que CloudTrail escribe en S3. Estos archivos de resumen se pueden usar para determinar si un archivo de registro se cambió, borró o no se modificó después de que CloudTrail lo entregó. Se recomienda habilitar la validación de archivos en todos los CloudTrail. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que la validación del archivo de registro de CloudTrail esté habilitada
|
|
Nombre de categoría en la API: |
Descripción del resultado: AWS CloudTrail es un servicio web que registra las llamadas a la API de AWS realizadas en una cuenta de AWS determinada. La información registrada incluye la identidad del llamador de la API, la hora de la llamada a la API, la dirección IP de origen del llamador de la API, los parámetros de solicitud y los elementos de respuesta que muestra el servicio de AWS. CloudTrail usa Amazon S3 para el almacenamiento y la entrega de archivos de registro, por lo que estos se almacenan de forma duradera. Además de capturar registros de CloudTrail en un bucket de S3 especificado para el análisis a largo plazo, se puede realizar un análisis en tiempo real configurando CloudTrail para que envíe registros a los registros de CloudWatch. En el caso de un seguimiento habilitado en todas las regiones de una cuenta, CloudTrail envía los archivos de registro de todas esas regiones a un grupo de registros de CloudWatch Logs. Se recomienda que los registros de CloudTrail se envíen a los registros de CloudWatch. Nota: El objetivo de esta recomendación es garantizar que se capture, supervise y genere una alarma adecuada para la actividad de la cuenta de AWS. CloudWatch Logs es una forma nativa de lograr esto con los servicios de AWS, pero no excluye el uso de una solución alternativa. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que los registros de CloudTrail estén incluidos en los registros de CloudWatch
|
|
Nombre de categoría en la API: |
Descripción del resultado: Esta función verifica si Amazon CloudWatch tiene acciones definidas cuando una alarma realiza la transición entre los estados "OK", "ALARM" e "INSUFFICIENT_DATA". Es muy importante configurar acciones para el estado ALARM en las alarmas de Amazon CloudWatch para activar una respuesta inmediata cuando las métricas supervisadas superen los umbrales. Las alarmas tienen al menos una acción. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si las alarmas de CloudWatch tienen al menos una acción de alarma, una acción INSUFFICIENT_DATA o una acción OK habilitadas.
|
|
Nombre de categoría en la API: |
Descripción del resultado: Esta verificación garantiza que los registros de CloudWatch estén configurados con KMS. Los datos de los grupos de registros siempre se encriptan en los registros de CloudWatch. De forma predeterminada, CloudWatch Logs usa la encriptación del servidor para los datos de registro en reposo. Como alternativa, puedes usar el servicio de administración de claves de AWS para esta encriptación. Si lo haces, la encriptación se realiza con una clave de AWS KMS. La encriptación con AWS KMS se habilita a nivel del grupo de registros. Para ello, se asocia una clave de KMS con un grupo de registros, ya sea cuando lo creas o después de que exista. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todos los grupos de registros en Amazon CloudWatch Logs estén encriptados con KMS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Este control verifica si los registros de CloudTrail están configurados para enviar registros a los registros de CloudWatch. El control falla si la propiedad CloudWatchLogsLogGroupArn del seguimiento está vacía. CloudTrail registra las llamadas a la API de AWS que se realizan en una cuenta determinada. La información registrada incluye lo siguiente:
CloudTrail usa Amazon S3 para el almacenamiento y la entrega de archivos de registro. Puedes capturar registros de CloudTrail en un bucket de S3 especificado para el análisis a largo plazo. Para realizar análisis en tiempo real, puedes configurar CloudTrail para que envíe registros a CloudWatch Logs. En el caso de un registro habilitado en todas las regiones de una cuenta, CloudTrail envía los archivos de registro de todas esas regiones a un grupo de registros de CloudWatch Logs. Security Hub recomienda que envíes los registros de CloudTrail a los registros de CloudWatch. Ten en cuenta que esta recomendación tiene como objetivo garantizar que se capture, supervise y active correctamente la actividad de la cuenta. Puedes usar CloudWatch Logs para configurar esto con tus servicios de AWS. Esta recomendación no excluye el uso de una solución diferente. El envío de registros de CloudTrail a los registros de CloudWatch facilita el registro de actividades históricas y en tiempo real según el usuario, la API, el recurso y la dirección IP. Puedes usar este enfoque para establecer alarmas y notificaciones para la actividad anómala o sensible de la cuenta. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Comprueba que todos los registros de CloudTrail estén configurados para enviar registros a CloudWatch de AWS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Esto verifica si el proyecto contiene las variables de entorno Las credenciales de autenticación Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que ningún proyecto con variables de entorno AWS_ACCESS_KEY_ID y AWS_SECRET_ACCESS_KEY esté en texto simple
|
|
Nombre de categoría en la API: |
Descripción del resultado: Esta función verifica si la URL del repositorio de origen de Bitbucket de un proyecto de AWS CodeBuild contiene tokens de acceso personal o un nombre de usuario y una contraseña. El control falla si la URL del repositorio de origen de Bitbucket contiene tokens de acceso personales o un nombre de usuario y una contraseña. Las credenciales de acceso no deben almacenarse ni transmitirse en texto simple ni aparecer en la URL del repositorio de origen. En lugar de tokens de acceso personal o credenciales de acceso, debes acceder a tu proveedor de origen en CodeBuild y cambiar la URL del repositorio de origen para que contenga solo la ruta de acceso a la ubicación del repositorio de Bitbucket. El uso de tokens de acceso personales o credenciales de acceso podría generar una exposición de datos no deseada o un acceso no autorizado. Nivel de precios: Empresarial Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Verifica que todos los proyectos que usen GitHub o Bitbucket como fuente utilicen OAuth
|
|
Nombre de categoría en la API: |
Descripción del resultado: Los usuarios de IAM de AWS pueden acceder a los recursos de AWS con diferentes tipos de credenciales, como contraseñas o claves de acceso. Se recomienda que se desactiven o quiten todas las credenciales que no se hayan usado durante 45 días o más. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que las credenciales que no se usen durante 45 días o más estén inhabilitadas
|
|
Nombre de categoría en la API: |
Descripción del resultado: Una VPC incluye un grupo de seguridad predeterminado cuya configuración inicial rechaza todo el tráfico entrante, permite todo el tráfico saliente y permite todo el tráfico entre las instancias asignadas al grupo de seguridad. Si no especificas un grupo de seguridad cuando inicias una instancia, esta se asigna automáticamente a este grupo de seguridad predeterminado. Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que el grupo de seguridad predeterminado restrinja todo el tráfico. El grupo de seguridad predeterminado de la VPC predeterminada de cada región debe estar actualizado para cumplir con la política. Todas las VPC nuevas contendrán automáticamente un grupo de seguridad predeterminado que deberá corregirse para cumplir con esta recomendación. NOTA: Cuando se implementa esta recomendación, el registro de flujos de VPC es invaluable para determinar el acceso de puerto con privilegio mínimo que requieren los sistemas para funcionar correctamente, ya que puede registrar todas las aceptaciones y rechazos de paquetes que se producen en los grupos de seguridad actuales. Esto reduce de forma significativa la barrera principal para la ingeniería de privilegio mínimo: descubrir los puertos mínimos que requieren los sistemas en el entorno. Incluso si no se adopta la recomendación de registro de flujo de VPC en esta comparativa como una medida de seguridad permanente, se debe usar durante cualquier período de descubrimiento y de ingeniería para los grupos de seguridad con menos privilegios. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que el grupo de seguridad predeterminado de cada VPC restrinja todo el tráfico
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si las instancias de replicación de AWS DMS son públicas. Para ello, examina el valor del campo Una instancia de replicación privada tiene una dirección IP privada a la que no puedes acceder fuera de la red de replicación. Una instancia de replicación debe tener una dirección IP privada cuando las bases de datos de origen y de destino están en la misma red. La red también debe estar conectada a la VPC de la instancia de replicación mediante una VPN, AWS Direct Connect o el intercambio de tráfico entre VPC. Para obtener más información sobre las instancias de replicación públicas y privadas, consulta Instancias de replicación públicas y privadas en la Guía del usuario de AWS Database Migration Service. También debes asegurarte de que el acceso a la configuración de tu instancia de AWS DMS se limite solo a los usuarios autorizados. Para ello, restringe los permisos de IAM de los usuarios para modificar la configuración y los recursos de AWS DMS. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si las instancias de replicación de AWS Database Migration Service son públicas
|
|
Nombre de categoría en la API: |
Descripción del resultado: De forma predeterminada, AWS Console no selecciona ninguna casilla de verificación cuando se crea un usuario de IAM nuevo. Cuando crees las credenciales de usuario de IAM, debes determinar qué tipo de acceso requieren. Acceso programático: Es posible que el usuario de IAM deba realizar llamadas a la API, usar AWS CLI o usar las herramientas para Windows PowerShell. En ese caso, crea una clave de acceso (ID de clave de acceso y clave de acceso secreta) para ese usuario. Acceso a la consola de administración de AWS: Si el usuario necesita acceder a la consola de administración de AWS, créale una contraseña. Nivel de precios: Empresarial Estándares de cumplimiento:
|
No establezcas claves de acceso durante la configuración inicial de ningún usuario de IAM que tenga una contraseña de la consola
|
|
Nombre de categoría en la API: |
Descripción del resultado: Esta función verifica si una tabla de Amazon DynamoDB puede escalar su capacidad de lectura y escritura según sea necesario. Este control se pasa si la tabla usa el modo de capacidad on demand o el modo aprovisionado con el ajuste de escala automático configurado. La escalabilidad de la capacidad con la demanda evita las excepciones de limitación, lo que ayuda a mantener la disponibilidad de tus aplicaciones. Las tablas de DynamoDB en el modo de capacidad a pedido solo se limitan por las cuotas de tabla predeterminadas de capacidad de procesamiento de DynamoDB. Para aumentar estas cuotas, puedes enviar un ticket de asistencia a través de la Asistencia de AWS. Las tablas de DynamoDB en el modo aprovisionado con el ajuste de escala automático ajustan la capacidad de rendimiento aprovisionada de forma dinámica en respuesta a los patrones de tráfico. Para obtener información adicional sobre la limitación de solicitudes de DynamoDB, consulta la sección Limitación de solicitudes y capacidad de ráfaga en la Guía para desarrolladores de Amazon DynamoDB. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Las tablas de DynamoDB deben ajustar la escala de la capacidad automáticamente según la demanda
|
|
Nombre de categoría en la API: |
Descripción del resultado: Este control evalúa si una tabla de DynamoDB está cubierta por un plan de copias de seguridad. El control falla si una tabla de DynamoDB no está cubierta por un plan de copias de seguridad. Este control solo evalúa las tablas de DynamoDB que están en el estado ACTIVE. Las copias de seguridad te ayudan a recuperarte más rápido de un incidente de seguridad. También fortalecen la resiliencia de tus sistemas. Si incluyes tablas de DynamoDB en un plan de copia de seguridad, podrás proteger tus datos contra pérdidas o eliminaciones no deseadas. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Las tablas de DynamoDB deben estar protegidas por un plan de copias de seguridad
|
|
Nombre de categoría en la API: |
Descripción del resultado: La recuperación de un momento determinado (PITR) es uno de los mecanismos disponibles para crear copias de seguridad de tablas de DynamoDB. Una copia de seguridad de un momento determinado se conserva durante 35 días. Si necesitas una retención más larga, consulta Cómo configurar copias de seguridad programadas para Amazon DynamoDB con AWS Backup en la documentación de AWS. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que la recuperación de un momento determinado (PITR) esté habilitada para todas las tablas de AWS DynamoDB
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si todas las tablas de DynamoDB están encriptadas con una clave de KMS administrada por el cliente (no predeterminada). Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todas las tablas de DynamoDB estén encriptadas con el servicio de administración de claves (KMS) de AWS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Comprueba si la optimización de EBS está habilitada para tus instancias de EC2 que pueden optimizarse para EBS Nivel de precios: Empresarial Estándares de cumplimiento:
|
Comprueba que la optimización de EBS esté habilitada para todas las instancias que admiten la optimización de EBS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si las instantáneas de Amazon Elastic Block Store no son públicas. El control falla si cualquier persona puede restablecer las instantáneas de Amazon EBS. Las instantáneas de EBS se usan para crear copias de seguridad de los datos de tus volúmenes de EBS en Amazon S3 en un momento específico. Puedes usar las instantáneas para restablecer estados anteriores de los volúmenes de EBS. Rara vez se acepta compartir una instantánea con el público. Por lo general, la decisión de compartir una instantánea de forma pública se tomó por error o sin comprender completamente las implicaciones. Esta verificación ayuda a garantizar que todo este tipo de uso compartido se haya planificado y realizado de forma intencional. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Las instantáneas de Amazon EBS no deben poder restablecerse públicamente
|
|
Nombre de categoría en la API: |
Descripción del resultado: Elastic Compute Cloud (EC2) admite la encriptación en reposo cuando se usa el servicio Elastic Block Store (EBS). Si bien está inhabilitada de forma predeterminada, se admite la aplicación forzosa de la encriptación en la creación de volúmenes de EBS. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que la encriptación de volumen de EBS esté habilitada en todas las regiones
|
|
Nombre de categoría en la API: |
Descripción del resultado: Amazon VPC proporciona más funciones de seguridad que EC2 Classic. Se recomienda que todos los nodos pertenezcan a una VPC de Amazon. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Garantiza que todas las instancias pertenezcan a una VPC
|
|
Nombre de categoría en la API: |
Descripción del resultado: Las instancias de EC2 que tienen una dirección IP pública tienen un mayor riesgo de vulneración. Se recomienda que las instancias de EC2 no se configuren con una dirección IP pública. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Garantiza que ninguna instancia tenga una IP pública
|
|
Nombre de categoría en la API: |
Descripción del resultado: Una asociación de State Manager es una configuración que se asigna a tus instancias administradas. La configuración define el estado que deseas mantener en tus instancias. Por ejemplo, una asociación puede especificar que el software antivirus debe estar instalado y en ejecución en tus instancias, o que se deben cerrar ciertos puertos. Las instancias de EC2 que tienen una asociación con AWS Systems Manager están bajo la administración de Systems Manager, lo que facilita la aplicación de parches, la corrección de parámetros de configuración incorrectos y la respuesta a eventos de seguridad. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica el estado de cumplimiento de la asociación de AWS Systems Manager
|
|
Nombre de categoría en la API: |
Descripción del resultado: Este control verifica si el estado de cumplimiento de la asociación de AWS Systems Manager es COMPLIANT o NON_COMPLIANT después de que se ejecuta la asociación en una instancia. El control falla si el estado de cumplimiento de la asociación es NON_COMPLIANT. Una asociación de State Manager es una configuración que se asigna a tus instancias administradas. La configuración define el estado que deseas mantener en tus instancias. Por ejemplo, una asociación puede especificar que el software antivirus debe estar instalado y en ejecución en tus instancias, o que se deben cerrar ciertos puertos. Después de crear una o más asociaciones con el Administrador de estados, la información del estado de cumplimiento estará disponible de inmediato. Puedes ver el estado de cumplimiento en la consola o en respuesta a los comandos de AWS CLI o las acciones de la API de Systems Manager correspondientes. En el caso de las asociaciones, el cumplimiento de la configuración muestra el estado de cumplimiento (Cumple o No cumple). También muestra el nivel de gravedad asignado a la asociación, como Crítico o Medio. Para obtener más información sobre el cumplimiento de la asociación de State Manager, consulta Acerca del cumplimiento de la asociación de State Manager en la Guía del usuario de AWS Systems Manager. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica el estado de cumplimiento de parches de AWS Systems Manager
|
|
Nombre de categoría en la API: |
Descripción del resultado: Cuando se habilita el servicio de metadatos en las instancias de AWS EC2, los usuarios tienen la opción de usar la versión 1 del servicio de metadatos de instancias (IMDSv1; un método de solicitud/respuesta) o la versión 2 del servicio de metadatos de instancias (IMDSv2; un método orientado a la sesión). Nivel de precios: Empresarial Estándares de cumplimiento:
|
Garantiza que el servicio de metadatos de EC2 solo permita IMDSv2
|
|
Nombre de categoría en la API: |
Descripción del resultado: Identificar y quitar los volúmenes de Elastic Block Store (EBS) sin conectar (sin usar) de tu cuenta de AWS para reducir el costo de tu factura mensual de AWS Si borras los volúmenes de EBS que no se usan, también se reduce el riesgo de que los datos confidenciales o sensibles salgan de tus instalaciones. Además, este control también verifica si las instancias de EC2 archivadas están configuradas para borrar volúmenes al finalizar. De forma predeterminada, las instancias de EC2 están configuradas para borrar los datos de cualquier volumen de EBS asociado con la instancia y el volumen raíz de EBS de la instancia. Sin embargo, cualquier volumen de EBS que no sea raíz conectado a la instancia, en el inicio o durante la ejecución, se conserva después de la finalización de forma predeterminada. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si los volúmenes de EBS están adjuntos a instancias de EC2 y configurados para la eliminación en cuanto finalice la instancia
|
|
Nombre de categoría en la API: |
Descripción del resultado: Amazon EFS admite dos formas de encriptación para sistemas de archivos: la encriptación de datos en tránsito y la encriptación en reposo. De esta manera, se verifica que todos los sistemas de archivos EFS estén configurados con encriptación en reposo en todas las regiones habilitadas de la cuenta. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si EFS está configurado para encriptar datos de archivos con KMS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Las prácticas recomendadas de Amazon recomiendan configurar copias de seguridad para tus sistemas de archivos Elastic File System (EFS). De esta manera, se verifican todos los EFS de todas las regiones habilitadas de tu cuenta de AWS en busca de copias de seguridad habilitadas. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si los sistemas de archivos EFS están incluidos en los planes de copias de seguridad de AWS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si el balanceador de cargas clásico usa certificados HTTPS/SSL proporcionados por AWS Certificate Manager (ACM). El control falla si el balanceador de cargas clásico configurado con el objeto de escucha HTTPS/SSL no usa un certificado proporcionado por ACM. Para crear un certificado, puedes usar ACM o una herramienta que admita los protocolos SSL y TLS, como OpenSSL. Security Hub recomienda que uses ACM para crear o importar certificados para tu balanceador de cargas. ACM se integra en los balanceadores de cargas clásicos para que puedas implementar el certificado en tu balanceador de cargas. También debes renovar estos certificados automáticamente. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todos los balanceadores de cargas clásicos utilicen los certificados SSL proporcionados por AWS Certificate Manager
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si un balanceador de cargas de aplicaciones tiene habilitada la protección contra la eliminación. El control falla si no se configura la protección contra la eliminación. Habilita la protección contra la eliminación para proteger tu balanceador de cargas de aplicaciones de la eliminación. Nivel de precios: Empresarial Estándares de cumplimiento:
|
La protección contra eliminaciones del balanceador de cargas de aplicaciones debería estar habilitada
|
|
Nombre de categoría en la API: |
Descripción del resultado: Esto verifica si el balanceador de cargas de aplicaciones y el balanceador de cargas clásico tienen habilitado el registro. El control falla si access_logs.s3.enabled es falso. El balanceo de cargas de Elastic proporciona registros de acceso que capturan información detallada sobre las solicitudes que se envían a tu balanceador de cargas. Cada registro contiene información como la hora en que se recibió la solicitud, la dirección IP del cliente, las latencias, las rutas de solicitud y las respuestas del servidor. Puedes usar estos registros de acceso para analizar los patrones de tráfico y solucionar problemas. Para obtener más información, consulta Registros de acceso de tu balanceador de cargas clásico en la Guía del usuario de los balanceadores de cargas clásicos. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si los balanceadores de cargas clásicos y de aplicaciones tienen el registro habilitado
|
|
Nombre de categoría en la API: |
Descripción del resultado: Esta verificación garantiza que todos los balanceadores de cargas clásicos estén configurados para usar una comunicación segura. Un objeto de escucha es un proceso que verifica las solicitudes de conexión. Se configura con un protocolo y un puerto para las conexiones de frontend (cliente a balanceador de cargas) y un protocolo y un puerto para las conexiones de backend (balanceador de cargas a instancia). Para obtener información sobre los puertos, los protocolos y las configuraciones de los objetos de escucha que admite Elastic Load Balancing, consulta Objetos de escucha para tu balanceador de cargas clásico. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todos los balanceadores de cargas clásicos estén configurados con objetos de escucha SSL o HTTPS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si los volúmenes de EBS que están en un estado adjunto están encriptados. Para que se apruebe esta verificación, los volúmenes de EBS deben estar en uso y encriptados. Si el volumen de EBS no está adjunto, no está sujeto a esta verificación. Para obtener una capa adicional de seguridad de tus datos sensibles en los volúmenes de EBS, debes habilitar la encriptación de EBS en reposo. La encriptación de Amazon EBS ofrece una solución de encriptación sencilla para tus recursos de EBS que no requiere que crees, mantengas ni protejas tu propia infraestructura de administración de claves. Usa claves de KMS cuando crea instantáneas y volúmenes encriptados. Para obtener más información sobre la encriptación de Amazon EBS, consulta la sección Encriptación de Amazon EBS en la Guía del usuario de Amazon EC2 para instancias de Linux. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Los volúmenes de Amazon EBS adjuntos deben estar encriptados en reposo
|
|
Nombre de categoría en la API: |
Descripción del resultado: Las instancias de bases de datos encriptadas de Amazon RDS usan el algoritmo de encriptación AES-256 estándar de la industria para encriptar tus datos en el servidor que aloja tus instancias de bases de datos de Amazon RDS. Después de que se encriptan tus datos, Amazon RDS controla la autenticación de acceso y la desencriptación de tus datos de forma transparente con un impacto mínimo en el rendimiento. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Garantiza que la encriptación en reposo esté habilitada para las instancias de RDS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Los datos de EFS deben encriptarse en reposo con AWS KMS (servicio de administración de claves). Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que la encriptación esté habilitada para los sistemas de archivos EFS
|
|
Nombre de categoría en la API: |
Descripción del resultado: AWS permite políticas de contraseñas personalizadas en tu cuenta de AWS para especificar requisitos de complejidad y períodos de rotación obligatorios para las contraseñas de tus usuarios de IAM. Si no configuras una política de contraseñas personalizada, las contraseñas de los usuarios de IAM deben cumplir con la política de contraseñas predeterminada de AWS. Las prácticas recomendadas de seguridad de AWS recomiendan los siguientes requisitos de complejidad de contraseñas:
De esta manera, se controlan todos los requisitos de la política de contraseñas especificada. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si la política de contraseñas de la cuenta para los usuarios de IAM cumple con los requisitos especificados
|
|
Nombre de categoría en la API: |
Descripción del resultado: Las políticas de contraseñas de IAM pueden evitar que el mismo usuario vuelva a usar una contraseña determinada. Se recomienda que la política de contraseñas evite la reutilización de contraseñas. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que la política de contraseñas de IAM evite la reutilización de contraseñas
|
|
Nombre de categoría en la API: |
Descripción del resultado: Las políticas de contraseñas se usan, en parte, para aplicar requisitos de complejidad de contraseñas. Las políticas de contraseñas de IAM se pueden usar para garantizar que las contraseñas tengan al menos una longitud determinada. Se recomienda que la política de contraseñas requiera una longitud mínima de 14 caracteres. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que la política de contraseñas de IAM requiera una longitud mínima de 14 caracteres
|
|
Nombre de categoría en la API: |
Descripción del resultado: Las políticas de IAM son el medio por el que se otorgan privilegios a los usuarios, los grupos o las funciones. Se recomienda y se considera un consejo de seguridad estándar otorgar privilegios mínimos, es decir, otorgar solo los permisos necesarios para realizar una tarea. Determina lo que los usuarios deben hacer y, luego, crea políticas que les permitan realizar solo esas tareas, en lugar de permitirles privilegios administrativos completos. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que no se adjunten políticas de IAM que permitan privilegios administrativos completos de "*:*"
|
|
Nombre de categoría en la API: |
Descripción del resultado: Los usuarios de IAM obtienen acceso a los servicios, las funciones y los datos a través de las políticas de IAM. Existen cuatro maneras de definir políticas para un usuario: 1) Editar la política del usuario directamente, también conocida como política intercalada o del usuario; 2) adjuntar una política directamente a un usuario; 3) agregar al usuario a un grupo de IAM que tenga una política adjunta; 4) agregar al usuario a un grupo de IAM que tenga una política intercalada. Solo se recomienda la tercera implementación. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que los usuarios de IAM reciban permisos solo a través de grupos
|
|
Nombre de categoría en la API: |
Descripción del resultado: Los usuarios de IAM siempre deben ser parte de un grupo de IAM para cumplir con las prácticas recomendadas de seguridad de IAM. Cuando se agregan usuarios a un grupo, es posible compartir políticas entre los tipos de usuarios. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si los usuarios de IAM son miembros de al menos un grupo de IAM
|
|
Nombre de categoría en la API: |
Descripción del resultado: La autenticación de varios factores (MFA) es una práctica recomendada que agrega una capa extra de protección a los nombres de usuario y las contraseñas. Con la MFA, cuando un usuario accede a la Consola de administración de AWS, debe proporcionar un código de autenticación con límite de tiempo que le proporciona un dispositivo físico o virtual registrado. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Comprueba si los usuarios de IAM de AWS tienen habilitada la autenticación de varios factores (MFA)
|
|
Nombre de categoría en la API: |
Descripción del resultado: De esta manera, se verifican las contraseñas de IAM o las claves de acceso activas que no se hayan usado en los últimos 90 días. Se recomienda quitar, desactivar o rotar todas las credenciales que no se hayan usado durante 90 días o más. Esto reduce la ventana de oportunidad para que se usen las credenciales asociadas a una cuenta comprometida o abandonada. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todos los usuarios de IAM de AWS tengan contraseñas o claves de acceso activas que no se hayan usado en maxCredentialUsageAge días (valor predeterminado: 90)
|
|
Nombre de categoría en la API: |
Descripción del resultado: Este control verifica si las claves de KMS están programadas para su eliminación. El control falla si se programó la eliminación de una clave de KMS. Las claves de KMS no se pueden recuperar una vez que se borran. Los datos encriptados con una clave de KMS tampoco se pueden recuperar de forma permanente si se borra la clave de KMS. Si se encriptaron datos significativos con una clave de KMS programada para su eliminación, considera desencriptarlos o volver a encriptarlos con una clave de KMS nueva, a menos que realices una eliminación criptográfica de forma intencional. Cuando se programa la eliminación de una clave de KMS, se aplica un período de espera obligatorio para permitir que se revierta la eliminación, si se programó por error. El período de espera predeterminado es de 30 días, pero se puede reducir a 7 días cuando se programa la eliminación de la clave de KMS. Durante el período de espera, se puede cancelar la eliminación programada y no se borrará la clave de KMS. Para obtener información adicional sobre la eliminación de claves de KMS, consulta Cómo borrar claves de KMS en la Guía para desarrolladores de AWS Key Management Service. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que ninguna clave de CMK esté programada para su eliminación
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si la función Lambda está configurada con un límite de ejecución simultánea a nivel de la función. La regla es NON_COMPLIANT si la función Lambda no está configurada con un límite de ejecución simultánea a nivel de la función. Nivel de precios: Empresarial Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Verifica si las funciones lambda están configuradas con un límite de ejecución simultáneo a nivel del rol
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si una función de Lambda está configurada con una fila de mensajes no entregados. La regla es NON_COMPLIANT si la función Lambda no está configurada con una cola de mensajes no entregados. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Comprueba si las funciones Lambda están configuradas con una fila de mensajes no entregados
|
|
Nombre de categoría en la API: |
Descripción del resultado: Las prácticas recomendadas de AWS recomiendan que la función de Lambda no se exponga públicamente. Esta política verifica todas las funciones Lambda implementadas en todas las regiones habilitadas de tu cuenta y fallará si están configuradas para permitir el acceso público. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si la política adjunta a la función lambda prohíbe el acceso público
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si una función de Lambda se encuentra en una VPC. Es posible que veas resultados con errores para los recursos de Lambda@Edge. No evalúa la configuración de enrutamiento de subredes de la VPC para determinar la accesibilidad pública. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Comprueba si las funciones Lambda existen en una VPC
|
|
Nombre de categoría en la API: |
Descripción del resultado: Una vez que se habilita la eliminación de MFA en tu bucket de S3 sensible y clasificado, el usuario debe tener dos formas de autenticación. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que la eliminación MFA esté habilitada en los buckets de S3
|
|
Nombre de categoría en la API: |
Descripción del resultado: La cuenta de usuario "root" es el usuario con más privilegios en una cuenta de AWS. La autenticación de varios factores (MFA) agrega una capa adicional de protección a un nombre de usuario y una contraseña. Con la MFA habilitada, cuando un usuario acceda a un sitio web de AWS, se le solicitará su nombre de usuario y contraseña, así como un código de autenticación de su dispositivo de MFA de AWS. Nota: Cuando se usa la MFA virtual para cuentas "root", se recomienda que el dispositivo que se use NO sea personal, sino un dispositivo móvil dedicado (tablet o teléfono) que se administre para que se mantenga cargado y protegido independientemente de cualquier dispositivo personal individual. ("MFA virtual no personal"). Esto reduce los riesgos de perder el acceso a la MFA debido a la pérdida o el intercambio del dispositivo, o si la persona propietaria del dispositivo ya no trabaja en la empresa. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que la MFA esté habilitada para la cuenta de usuario "raíz"
|
|
Nombre de categoría en la API: |
Descripción del resultado: La autenticación de varios factores (MFA) agrega una capa adicional de garantía de autenticación más allá de las credenciales tradicionales. Con la MFA habilitada, cuando un usuario acceda a la consola de AWS, se le solicitará su nombre de usuario y contraseña, así como un código de autenticación de su token de MFA físico o virtual. Se recomienda habilitar la MFA para todas las cuentas que tengan una contraseña de la consola. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que la autenticación de varios factores (MFA) esté habilitada para todos los usuarios de IAM que tengan una contraseña de la consola
|
|
Nombre de categoría en la API: |
Descripción del resultado: La función de lista de control de acceso a la red (NACL) proporciona un filtrado sin estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ninguna NACL permita el acceso de entrada sin restricciones a los puertos de administración del servidor remoto, como SSH al puerto Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que ninguna LCA de red permita la entrada de 0.0.0.0/0 a los puertos de administración del servidor remoto
|
|
Nombre de categoría en la API: |
Descripción del resultado: La cuenta de usuario "root" es el usuario con más privilegios en una cuenta de AWS. Las claves de acceso de AWS proporcionan acceso programático a una cuenta de AWS determinada. Se recomienda que se borren todas las claves de acceso asociadas con la cuenta de usuario “raíz”. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que no exista una clave de acceso a una cuenta de usuario "raíz"
|
|
Nombre de categoría en la API: |
Descripción del resultado: Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones a los puertos de administración del servidor remoto, como SSH al puerto Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que ningún grupo de seguridad permita la entrada de 0.0.0.0/0 a los puertos de administración del servidor remoto
|
|
Nombre de categoría en la API: |
Descripción del resultado: Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones a los puertos de administración del servidor remoto, como SSH al puerto Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que ningún grupo de seguridad permita la entrada de ::/0 a los puertos de administración del servidor remoto
|
|
Nombre de categoría en la API: |
Descripción del resultado: Las claves de acceso son credenciales a largo plazo para un usuario de IAM o el usuario "root" de la cuenta de AWS. Puedes usar claves de acceso para firmar solicitudes programáticas a la CLI de AWS o a la API de AWS (directamente o con el SDK de AWS). Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que solo haya disponible una clave de acceso activa para cada usuario de IAM
|
|
Nombre de categoría en la API: |
Descripción del resultado: Asegúrate de que las instancias de bases de datos de RDS aprovisionadas en tu cuenta de AWS restrinjan el acceso no autorizado para minimizar los riesgos de seguridad. Para restringir el acceso a cualquier instancia de base de datos de RDS de acceso público, debes inhabilitar la marca de acceso público de la base de datos y actualizar el grupo de seguridad de la VPC asociado con la instancia. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Garantiza que no se otorgue acceso público a la Instancia de RDS
|
|
Nombre de categoría en la API: |
Descripción del resultado: La supervisión mejorada proporciona métricas en tiempo real sobre el sistema operativo en el que se ejecuta la instancia de RDS a través de un agente instalado en la instancia. Para obtener más detalles, consulta Supervisa las métricas del SO con la supervisión mejorada. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Comprueba si la supervisión mejorada está habilitada para todas las instancias de base de datos de RDS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Habilitar la protección contra la eliminación de instancias es una capa adicional de protección contra la eliminación accidental de la base de datos o la eliminación por parte de una entidad no autorizada. Mientras la protección contra la eliminación está habilitada, no se puede borrar una instancia de la base de datos de RDS. Para que una solicitud de eliminación se realice correctamente, se debe inhabilitar la protección contra la eliminación. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Comprueba si todas las instancias de RDS tienen la protección contra la eliminación habilitada
|
|
Nombre de categoría en la API: |
Descripción del resultado: Esta verificación evalúa si las instancias de la base de datos de Amazon RDS están cubiertas por un plan de copias de seguridad. Este control falla si una instancia de base de datos de RDS no está cubierta por un plan de copias de seguridad. AWS Backup es un servicio de copia de seguridad completamente administrado que centraliza y automatiza la creación de copias de seguridad de los datos en los servicios de AWS. Con AWS Backup, puedes crear políticas de copia de seguridad llamadas planes de copia de seguridad. Puedes usar estos planes para definir tus requisitos de copia de seguridad, como la frecuencia con la que se deben crear copias de seguridad de tus datos y por cuánto tiempo se deben retener esas copias de seguridad. Si incluyes instancias de base de datos de RDS en un plan de copias de seguridad, podrás proteger tus datos contra la pérdida o eliminación no deseadas. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Las instancias de base de datos de RDS deben estar protegidas por un plan de copias de seguridad
|
|
Nombre de categoría en la API: |
Descripción del resultado: Esto verifica si los siguientes registros de Amazon RDS están habilitados y se envían a CloudWatch. Las bases de datos de RDS deben tener habilitados los registros relevantes. El registro de la base de datos proporciona registros detallados de las solicitudes que se realizan a RDS. Los registros de la base de datos pueden ayudar con las auditorías de seguridad y acceso, y pueden ayudar a diagnosticar problemas de disponibilidad. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Comprueba si los registros exportados están habilitados para todas las instancias de base de datos de RDS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Las instancias de la base de datos de RDS deben configurarse para varias zonas de disponibilidad (AZ). Esto garantiza la disponibilidad de los datos almacenados. Las implementaciones de varias zonas de disponibilidad permiten la conmutación por error automática si hay un problema con la disponibilidad de la zona de disponibilidad y durante el mantenimiento normal de RDS. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Comprueba si la alta disponibilidad está habilitada para todas las instancias de la base de datos de RDS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Esta opción verifica los elementos esenciales de un clúster de Redshift: la encriptación en reposo, el registro y el tipo de nodo. Estos elementos de configuración son importantes para mantener un clúster de Redshift seguro y observable. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todos los clústeres de Redshift tengan la encriptación en reposo, el registro y el tipo de nodo configurados.
|
|
Nombre de categoría en la API: |
Descripción del resultado: Las actualizaciones automáticas de versiones principales se realizan según el período de mantenimiento. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todos los clústeres de Redshift tengan allowVersionUpgrade habilitado, y preferredMaintenanceWindow y automatedSnapshotRetentionPeriod configurados
|
|
Nombre de categoría en la API: |
Descripción del resultado: El atributo PubliclyAccessible de la configuración del clúster de Amazon Redshift indica si se puede acceder al clúster de forma pública. Cuando el clúster se configura con PubliclyAccessible establecido como verdadero, es una instancia orientada a Internet que tiene un nombre de DNS que se puede resolver públicamente, que se resuelve en una dirección IP pública. Cuando no se puede acceder al clúster de forma pública, se trata de una instancia interna con un nombre de DNS que se resuelve en una dirección IP privada. A menos que quieras que se pueda acceder públicamente a tu clúster, no debes configurarlo con PubliclyAccessible establecido como verdadero. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si se puede acceder públicamente a los clústeres de Redshift
|
|
Nombre de categoría en la API: |
Descripción del resultado: De esta manera, se verifica si los puertos especificados que tienen el mayor riesgo pueden acceder al tráfico entrante sin restricciones de los grupos de seguridad. Este control falla si alguna de las reglas de un grupo de seguridad permite el tráfico de entrada de "0.0.0.0/0" o "::/0" para esos puertos. El acceso sin restricciones (0.0.0.0/0) aumenta las oportunidades de actividad maliciosa, como hackeo, ataques de denegación del servicio y pérdida de datos. Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Ningún grupo de seguridad debe permitir el acceso de entrada sin restricciones a los siguientes puertos:
Nivel de precios: Empresarial Estándares de cumplimiento:
|
Los grupos de seguridad no deben permitir el acceso sin restricciones a puertos de alto riesgo
|
|
Nombre de categoría en la API: |
Descripción del resultado: Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. CIS recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones al puerto 22. Quitar la conectividad sin restricciones a los servicios de consola remota, como SSH, reduce la exposición de un servidor a riesgos. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Los grupos de seguridad no deben permitir la entrada de 0.0.0.0/0 al puerto 22
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si la rotación automática de claves está habilitada para cada clave y si coincide con el ID de clave de la clave de AWS KMS creada por el cliente. La regla es NON_COMPLIANT si el rol de registrador de AWS Config de un recurso no tiene el permiso kms:DescribeKey. Nivel de precios: Empresarial Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Asegúrate de que esté habilitada la rotación de los CMK creados por el cliente
|
|
Nombre de categoría en la API: |
Descripción del resultado: El Servicio de administración de claves (KMS) de AWS permite a los clientes rotar la clave de respaldo, que es el material de clave almacenado en el KMS y que está vinculado al ID de clave de la clave maestra del cliente (CMK) creada por el cliente. Es la clave de respaldo que se usa para realizar operaciones criptográficas, como la encriptación y la desencriptación. Actualmente, la rotación de claves automática retiene todas las claves de copia de seguridad anteriores para que la desencriptación de los datos encriptados pueda realizarse de forma transparente. Se recomienda habilitar la rotación de claves de CMK para las claves simétricas. No se puede habilitar la rotación de claves para ninguna CMK asimétrica. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que esté habilitada la rotación de los CMK simétricos creados por el cliente
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si las tablas de enrutamiento para el intercambio de tráfico entre VPC están configuradas con el principio de menos privilegios. Nivel de precios: Empresarial Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Asegúrate de que las tablas de enrutamiento del intercambio de tráfico entre VPC sea de "mínimo acceso"
|
|
Nombre de categoría en la API: |
Descripción del resultado: El bloqueo de acceso público de Amazon S3 proporciona parámetros de configuración para puntos de acceso, buckets y cuentas para ayudarte a administrar el acceso público a los recursos de Amazon S3. De forma predeterminada, los buckets, los puntos de acceso y los objetos nuevos no permiten el acceso público. Nivel de precios: Empresarial Estándares de cumplimiento: Esta categoría de hallazgo no está asignada a ningún control de estándares de cumplimiento. |
Verifica si están configurados los parámetros requeridos del bloqueo de acceso público de S3 a nivel de la cuenta
|
|
Nombre de categoría en la API: |
Descripción del resultado: Amazon S3 proporciona Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que los buckets de S3 estén configurados con
|
|
Nombre de categoría en la API: |
Descripción del resultado: El registro de acceso al bucket de S3 genera un registro que contiene registros de acceso para cada solicitud que se realiza a tu bucket de S3. Un registro de acceso contiene detalles sobre la solicitud, como el tipo de solicitud, los recursos especificados en la solicitud que funcionaron y la hora y la fecha en que se procesó la solicitud. Se recomienda habilitar el registro de acceso al bucket en el bucket de S3 de CloudTrail. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que el registro de acceso al bucket de S3 esté habilitado en el bucket de S3 de CloudTrail
|
|
Nombre de categoría en la API: |
Descripción del resultado: La función de registro de acceso al servidor de AWS S3 registra las solicitudes de acceso a los buckets de almacenamiento, lo que es útil para las auditorías de seguridad. De forma predeterminada, el registro de acceso del servidor no está habilitado para los buckets de S3. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si el registro está habilitado en todos los buckets de S3
|
|
Nombre de categoría en la API: |
Descripción del resultado: A nivel del bucket de Amazon S3, puedes configurar permisos a través de una política de bucket que permita el acceso a los objetos solo a través de HTTPS. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que la política de buckets de S3 esté configurada para rechazar solicitudes HTTP
|
|
Nombre de categoría en la API: |
Descripción del resultado: Este control verifica si un bucket de Amazon S3 tiene habilitada la replicación entre regiones. El control falla si el bucket no tiene habilitada la replicación entre regiones o si también está habilitada la replicación en la misma región. La replicación es la copia automática y asíncrona de objetos entre buckets en la misma región de AWS o en diferentes regiones. La replicación copia los objetos creados recientemente y las actualizaciones de objetos de un bucket de origen a uno o varios buckets de destino. Las prácticas recomendadas de AWS recomiendan la replicación para los buckets de origen y destino que pertenecen a la misma cuenta de AWS. Además de la disponibilidad, debes considerar otros parámetros de configuración de endurecimiento de sistemas. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si los buckets de S3 tienen habilitada la replicación entre regiones
|
|
Nombre de categoría en la API: |
Descripción del resultado: De esta manera, se verifica que tu bucket de S3 tenga habilitada la encriptación predeterminada de Amazon S3 o que la política del bucket de S3 rechace de forma explícita las solicitudes de colocación de objetos sin encriptación del servidor. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que todos los buckets de S3 utilicen la encriptación en reposo
|
|
Nombre de categoría en la API: |
Descripción del resultado: Amazon S3 es una forma de mantener varias variantes de un objeto en el mismo bucket y puede ayudarte a recuperarte con mayor facilidad de las acciones no deseadas de los usuarios y las fallas de la aplicación. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que el control de versiones esté habilitado en todos los buckets de S3
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si los buckets de Amazon S3 están encriptados con el servicio de administración de claves (KMS) de AWS Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todos los buckets estén encriptados con KMS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si se configuró una clave del servicio de administración de claves (AWS KMS) para una instancia de notebook de Amazon SageMaker. La regla es NON_COMPLIANT si no se especifica "KmsKeyId" para la instancia de notebook de SageMaker. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todas las instancias de notebooks de SageMaker estén configuradas para usar KMS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si el acceso directo a Internet está inhabilitado para una instancia de notebook de SageMaker. Para ello, verifica si el campo DirectInternetAccess está inhabilitado para la instancia de notebook. Si configuras tu instancia de SageMaker sin una VPC, el acceso directo a Internet se habilita de forma predeterminada en tu instancia. Debes configurar tu instancia con una VPC y cambiar el parámetro de configuración predeterminado a Inhabilitar: Accede a Internet a través de una VPC. Para entrenar o alojar modelos desde una notebook, necesitas acceso a Internet. Para habilitar el acceso a Internet, asegúrate de que tu VPC tenga una puerta de enlace NAT y de que tu grupo de seguridad permita las conexiones salientes. Para obtener más información sobre cómo conectar una instancia de notebook a recursos en una VPC, consulta Cómo conectar una instancia de notebook a recursos en una VPC en la Guía para desarrolladores de Amazon SageMaker. También debes asegurarte de que el acceso a la configuración de SageMaker esté limitado solo a los usuarios autorizados. Restringe los permisos de IAM de los usuarios para modificar la configuración y los recursos de SageMaker. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica si el acceso directo a Internet está inhabilitado para todas las instancias de notebook de Amazon SageMaker
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si un secreto almacenado en AWS Secrets Manager está configurado con rotación automática. El control falla si el secreto no está configurado con rotación automática. Si proporcionas un valor personalizado para el parámetro Secret Manager te ayuda a mejorar la postura de seguridad de tu organización. Los secretos incluyen credenciales de bases de datos, contraseñas y claves de API de terceros. Puedes usar Secret Manager para almacenar secretos de forma centralizada, encriptarlos automáticamente, controlar el acceso a ellos y rotar los secretos de forma segura y automática. Secret Manager puede rotar secretos. Puedes usar la rotación para reemplazar secretos a largo plazo por secretos a corto plazo. La rotación de secretos limita el tiempo que un usuario no autorizado puede usar un secreto comprometido. Por este motivo, debes rotar tus secretos con frecuencia. Para obtener más información sobre la rotación, consulta Rota los secretos de AWS Secrets Manager en la Guía del usuario de AWS Secrets Manager. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todos los secretos de AWS Secrets Manager tengan la rotación habilitada
|
|
Nombre de categoría en la API: |
Descripción del resultado: Verifica si un tema de SNS está encriptado en reposo con AWS KMS. Los controles fallan si un tema de SNS no usa una clave de KMS para la encriptación del servidor (SSE). La encriptación de datos en reposo reduce el riesgo de que un usuario que no se autenticó en AWS acceda a los datos almacenados en el disco. También agrega otro conjunto de controles de acceso para limitar la capacidad de los usuarios no autorizados de acceder a los datos. Por ejemplo, se requieren permisos de API para desencriptar los datos antes de que se puedan leer. Los temas de SNS deben estar encriptados en reposo para agregar una capa adicional de seguridad. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que todos los temas de SNS estén encriptados con KMS
|
|
Nombre de categoría en la API: |
Descripción del resultado: Este control verifica si el grupo de seguridad predeterminado de una VPC permite el tráfico entrante o saliente. El control falla si el grupo de seguridad permite el tráfico entrante o saliente. Las reglas del grupo de seguridad predeterminado permiten todo el tráfico entrante y saliente de las interfaces de red (y sus instancias asociadas) que se asignan al mismo grupo de seguridad. Te recomendamos que no uses el grupo de seguridad predeterminado. Como no se puede borrar el grupo de seguridad predeterminado, debes cambiar la configuración de las reglas del grupo de seguridad predeterminado para restringir el tráfico entrante y saliente. Esto evita el tráfico no deseado si el grupo de seguridad predeterminado se configura accidentalmente para recursos como instancias de EC2. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que el grupo de seguridad predeterminado de cada VPC restrinja todo el tráfico
|
|
Nombre de categoría en la API: |
Descripción del resultado: Los registros de flujo de VPC son una función que te permite capturar información sobre el tráfico de IP desde y hacia las interfaces de red de tu VPC. Después de crear un registro de flujo, puedes ver y recuperar sus datos en los registros de Amazon CloudWatch. Se recomienda habilitar los registros de flujo de VPC para los “rechazos” de paquetes de las VPC. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Asegúrate de que el registro de flujo de VPC esté habilitado en todas las VPC
|
|
Nombre de categoría en la API: |
Descripción del resultado: Este control verifica si un grupo de seguridad de Amazon EC2 permite tráfico entrante sin restricciones desde puertos no autorizados. El estado del control se determina de la siguiente manera: Si usas el valor predeterminado de authorizedTcpPorts, el control falla si el grupo de seguridad permite tráfico entrante sin restricciones desde cualquier puerto que no sea el 80 ni el 443. Si proporcionas valores personalizados para authorizedTcpPorts o authorizedUdpPorts, el control falla si el grupo de seguridad permite tráfico entrante sin restricciones desde cualquier puerto que no esté en la lista. Si no se usa ningún parámetro, el control falla para cualquier grupo de seguridad que tenga una regla de tráfico entrante sin restricciones. Los grupos de seguridad proporcionan un filtrado con estado del tráfico de red de entrada y salida a AWS. Las reglas de los grupos de seguridad deben seguir el principio de acceso de privilegio mínimo. El acceso sin restricciones (dirección IP con un sufijo /0) aumenta las oportunidades de actividades maliciosas, como hackeos, ataques de denegación del servicio y pérdida de datos. A menos que se permita un puerto de forma específica, este debe denegar el acceso sin restricciones. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que los grupos de seguridad con 0.0.0.0/0 de todas las VPC solo permitan tráfico de TCP/UDP entrante específico
|
|
Nombre de categoría en la API: |
Descripción del resultado: Un túnel VPN es un vínculo encriptado por el que los datos pueden pasar de la red del cliente a AWS o desde AWS dentro de una conexión de VPN de sitio a sitio de AWS. Cada conexión de VPN incluye dos túneles VPN que puedes usar de forma simultánea para obtener alta disponibilidad. Es importante asegurarse de que ambos túneles de VPN estén activos para una conexión de VPN para confirmar una conexión segura y con alta disponibilidad entre una VPC de AWS y tu red remota. Este control verifica que ambos túneles VPN proporcionados por la VPN de sitio a sitio de AWS estén en estado ACTIVADO. El control falla si uno o ambos túneles están en estado DOWN. Nivel de precios: Empresarial Estándares de cumplimiento:
|
Verifica que estén configurados los túneles VPN de AWS proporcionados por AWS entre sitios
|
Resultados de Web Security Scanner
Los análisis personalizados y administrados de Web Security Scanner identifican los siguientes tipos de resultados. En el nivel Standard, Web Security Scanner admite análisis personalizados de aplicaciones implementadas con URLs e IP públicas que no están detrás de un firewall.
| Categoría | Descripción del resultado | Los 10 mejores de OWASP de 2017 | Los 10 mejores de OWASP de 2021 |
|---|---|---|---|
|
Nombre de categoría en la API: |
Un repositorio de Git se expone públicamente. Para resolver este problema, quita el acceso público no intencional al repositorio de GIT. Nivel de precios: Premium o Estándar |
A5 | A01 |
|
Nombre de categoría en la API: |
Un repositorio de SVN se expone públicamente. Para solucionar este problema, quita el acceso no intencional al público en el repositorio de SVN. Nivel de precios: Premium o Estándar |
A5 | A01 |
|
Nombre de categoría en la API: |
Las contraseñas ingresadas en la aplicación web se pueden almacenar en la caché de un navegador normal, en lugar de un almacenamiento de contraseña seguro. Nivel de precios: Premium |
A3 | A04 |
|
Nombre de categoría en la API: |
Las contraseñas se transmiten en texto claro y se pueden interceptar. Para resolver esto, encripta la contraseña que se transmite a través de la red. Nivel de precios: Premium o Estándar |
A3 | A02 |
|
Nombre de categoría en la API: |
Un extremo HTTP o HTTPS entre sitios solo valida un sufijo del encabezado de solicitud Nivel de precios: Premium |
A5 | A01 |
|
Nombre de categoría en la API: |
Un extremo HTTP o HTTPS entre sitios valida solo un prefijo del encabezado de solicitud Nivel de precios: Premium |
A5 | A01 |
|
Nombre de categoría en la API: |
Se cargó un recurso que no coincide con el encabezado HTTP de tipo de contenido de la respuesta Para resolver este problema, configura el encabezado HTTP Nivel de precios: Premium o Estándar |
A6 | A05 |
|
Nombre de categoría en la API: |
Un encabezado de seguridad tiene un error de sintaxis y los navegadores lo ignoran. Para solucionar este problema, configura los encabezados de seguridad HTTP de forma correcta. Nivel de precios: Premium o Estándar |
A6 | A05 |
|
Nombre de categoría en la API: |
Un encabezado de seguridad tiene valores duplicados y no coincidentes, lo que da como resultado un comportamiento indefinido. Para solucionar este problema, configura los encabezados de seguridad HTTP de forma correcta. Nivel de precios: Premium o Estándar |
A6 | A05 |
|
Nombre de categoría en la API: |
Un encabezado de seguridad está mal escrito y se ignora. Para solucionar este problema, configura los encabezados de seguridad HTTP de forma correcta. Nivel de precios: Premium o Estándar |
A6 | A05 |
|
Nombre de categoría en la API: |
Los recursos se envían a través de HTTP en una página HTTPS. Para resolver esto, asegúrate de que todos los recursos se entreguen a través de HTTPS. Nivel de precios: Premium o Estándar |
A6 | A05 |
|
Nombre de categoría en la API: |
Se detectó una biblioteca que tiene vulnerabilidades conocidas. Para resolver esto, actualiza las bibliotecas a una versión más reciente. Nivel de precios: Premium o Estándar |
A9 | A06 |
|
Nombre de categoría en la API: |
Se detectó una vulnerabilidad de falsificación de solicitudes del servidor (SSRF). Para resolver este resultado, usa una lista de entidades permitidas a fin de limitar los dominios y las direcciones IP a las que la aplicación web puede realizar solicitudes. Nivel de precios: Premium o Estándar |
No aplicable | A10 |
|
Nombre de categoría en la API: |
Cuando se realiza una solicitud de dominio cruzado, la aplicación web incluye el identificador de sesión del usuario en el encabezado de su solicitud Nivel de precios: Premium |
A2 | A07 |
|
Nombre de categoría en la API: |
Se detectó una posible vulnerabilidad de inyección de SQL. Para resolver este resultado, usa consultas con parámetros para evitar que las entradas del usuario influyan en la estructura de la consulta de SQL. Nivel de precios: Premium |
A1 | A03 |
|
Nombre de categoría en la API: |
Se detectó el uso de una versión vulnerable de Apache Struts. Para resolver este resultado, actualiza Apache Stuuts a la versión más reciente. Nivel de precios: Premium |
A8 | A08 |
|
Nombre de categoría en la API: |
Un campo en esta aplicación web es vulnerable a un ataque de secuencias de comandos entre sitios (XSS). Para resolver esto, valida y escapa los datos no confiables del usuario. Nivel de precios: Premium o Estándar |
A7 | A03 |
|
Nombre de categoría en la API: |
La string proporcionada por el usuario no está escapadas y AngularJS puede interpolarla. Para resolver esto, valida y omite los datos que no son de confianza proporcionados por los usuarios y que el framework de Angular controla. Nivel de precios: Premium o Estándar |
A7 | A03 |
|
Nombre de categoría en la API: |
Un campo en esta aplicación web es vulnerable a un ataque de secuencia de comandos entre sitios. Para resolver esto, valida y escapa los datos no confiables del usuario. Nivel de precios: Premium o Estándar |
A7 | A03 |
|
Nombre de categoría en la API: |
Se detectó una vulnerabilidad XML External Entity (XXE). Esta vulnerabilidad puede hacer que la aplicación web filtre un archivo en el host. Para resolver este resultado, configura tus analizadores de XML a fin de inhabilitar las entidades externas. Nivel de precios: Premium |
A4 | A05 |
|
Nombre de categoría en la API: |
La aplicación es vulnerable a la contaminación del prototipo. Esta vulnerabilidad surge cuando
se pueden asignar valores controlables por el atacante a las
propiedades del objeto Nivel de precios: Premium o Estándar |
A1 | A03 |
Resultados del recomendador de IAM
En la siguiente tabla, se enumeran los hallazgos de Security Command Center que genera el recomendador de IAM.
Cada hallazgo del recomendador de IAM contiene recomendaciones específicas para quitar o reemplazar un rol que incluye permisos excesivos de una principal en tu entorno de Google Cloud.
Los resultados que genera el recomendador de IAM corresponden a las recomendaciones que aparecen en la consola de Google Cloud en la página de IAM del proyecto, la carpeta o la organización afectados.
Para obtener más información sobre la integración del recomendador de IAM con Security Command Center, consulta Fuentes de seguridad.
| Detector | Resumen |
|---|---|
|
Nombre de categoría en la API: |
Descripción del problema: El recomendador de IAM detectó una cuenta de servicio que tiene uno o más roles de IAM que otorgan permisos excesivos a la cuenta de usuario. Nivel de precios: Premium Recursos admitidos:
Corrige este hallazgo : Usa el recomendador de IAM para aplicar la corrección recomendada para este hallazgo. Para ello, sigue estos pasos:
Una vez que se solucione el problema, el recomendador de IAM actualizará el estado del hallazgo a |
|
Nombre de categoría en la API: |
Descripción del problema: El recomendador de IAM detectó que el rol de IAM predeterminado original otorgado a un agente de servicio se reemplazó por uno de los roles de IAM básicos: Propietario, Editor o Visualizador. Los roles básicos son roles heredados demasiado permisivos y no se deben otorgar a los agentes de servicio. Nivel de precios: Premium Recursos admitidos:
Corrige este hallazgo : Usa el recomendador de IAM para aplicar la corrección recomendada para este hallazgo. Para ello, sigue estos pasos:
Una vez que se solucione el problema, el recomendador de IAM actualizará el estado del hallazgo a |
|
Nombre de categoría en la API: |
Descripción del hallazgo: El recomendador de IAM detectó que a un agente de servicio se le otorgó uno de los roles básicos de IAM: propietario, editor o visualizador. Los roles básicos son roles heredados demasiado permisivos y no se deben otorgar a los agentes de servicio. Nivel de precios: Premium Recursos admitidos:
Corrige este hallazgo : Usa el recomendador de IAM para aplicar la corrección recomendada para este hallazgo. Para ello, sigue estos pasos:
Una vez que se solucione el problema, el recomendador de IAM actualizará el estado del hallazgo a |
|
Nombre de categoría en la API: |
Descripción del hallazgo: El recomendador de IAM detectó una cuenta de usuario que tiene un rol de IAM que no se usó en los últimos 90 días. Nivel de precios: Premium Recursos admitidos:
Corrige este hallazgo : Usa el recomendador de IAM para aplicar la corrección recomendada para este hallazgo. Para ello, sigue estos pasos:
Una vez que se solucione el problema, el recomendador de IAM actualizará el estado del hallazgo a |
Hallazgos de CIEM
En la siguiente tabla, se enumeran los hallazgos de identidad y acceso de Security Command Center para AWS que genera la administración de derechos de infraestructura de nube (CIEM).
Los hallazgos de CIEM contienen recomendaciones específicas para quitar o reemplazar las políticas de IAM de AWS altamente permisivas asociadas con identidades, usuarios o grupos asumidos en tu entorno de AWS.
Para obtener más información sobre la CIEM, consulta la Descripción general de la Administración de derechos de la infraestructura de nube.
| Detector | Resumen |
|---|---|
|
Nombre de categoría en la API: |
Descripción del hallazgo: En tu entorno de AWS, CIEM detectó un rol de IAM asumido que tiene una o más políticas altamente permisivas que infringen el principio de privilegio mínimo y aumentan los riesgos de seguridad. Nivel de precios: Empresarial Corrige este hallazgo : Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes tareas de remediación:
Consulta los detalles del hallazgo para conocer los pasos específicos de solución. |
|
Nombre de categoría en la API: |
Descripción del problema: En tu entorno de AWS, CIEM detectó un grupo de IAM que tiene una o más políticas altamente permisivas que infringen el principio de privilegio mínimo y aumentan los riesgos de seguridad. Nivel de precios: Empresarial Corrige este hallazgo : Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes tareas de remediación:
Consulta los detalles del hallazgo para conocer los pasos específicos de solución. |
|
Nombre de categoría en la API: |
Descripción del problema: En tu entorno de AWS, CIEM detectó un usuario de IAM que tiene una o más políticas altamente permisivas que infringen el principio de privilegio mínimo y aumentan los riesgos de seguridad. Nivel de precios: Empresarial Corrige este hallazgo : Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes tareas de remediación:
Consulta los detalles del hallazgo para conocer los pasos específicos de solución. |
|
Nombre de categoría en la API: |
Descripción del problema: En tu entorno de AWS, CIEM detectó un usuario de IAM que está inactivo y tiene uno o más permisos. Esto infringe el principio de privilegio mínimo y aumenta los riesgos de seguridad. Nivel de precios: Empresarial Corrige este hallazgo : Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes tareas de solución:
Consulta los detalles del hallazgo para conocer los pasos específicos de solución. |
|
Nombre de categoría en la API: |
Descripción del problema: En tu entorno de AWS, CIEM detectó un grupo de IAM que está inactivo y tiene uno o más permisos. Esto infringe el principio de privilegio mínimo y aumenta los riesgos de seguridad. Nivel de precios: Empresarial Corrige este hallazgo : Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes tareas de solución:
Consulta los detalles del hallazgo para conocer los pasos específicos de solución. |
|
Nombre de categoría en la API: |
Descripción del problema: En tu entorno de AWS, CIEM detectó un rol de IAM asumido que está inactivo y tiene uno o más permisos. Esto infringe el principio de privilegio mínimo y aumenta los riesgos de seguridad. Nivel de precios: Empresarial Corrige este hallazgo : Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes tareas de solución:
Consulta los detalles del hallazgo para conocer los pasos específicos de solución. |
|
Nombre de categoría en la API: |
Descripción del problema: En tu entorno de AWS, CIEM detectó una política de confianza demasiado permisiva aplicada a un rol de IAM de AWS que incumple el principio de privilegio mínimo y aumenta los riesgos de seguridad. Nivel de precios: Empresarial Corrige este hallazgo : Usa la consola de administración de AWS para editar los permisos de la política de confianza aplicada al rol de IAM de AWS y cumplir con el principio de privilegio mínimo. Consulta los detalles del hallazgo para conocer los pasos específicos de solución. |
|
Nombre de categoría en la API: |
Descripción del hallazgo: En tu entorno de AWS, CIEM detectó una o más identidades que pueden moverse lateralmente a través de la suplantación de identidad. Nivel de precios: Empresarial Corrige este hallazgo : Usa la Consola de administración de AWS para quitar las políticas adjuntas a las identidades que permiten el movimiento lateral. Consulta los detalles del hallazgo para conocer los pasos específicos de solución. |
Hallazgos del servicio de postura de seguridad
En la siguiente tabla, se enumeran los resultados de Security Command Center que genera el servicio de estado de seguridad.
Cada hallazgo del servicio de postura de seguridad identifica una instancia de desvío de la postura de seguridad definida.
| Buscando | Resumen |
|---|---|
|
Nombre de categoría en la API: |
Descripción del resultado: El servicio de estado de seguridad detectó un cambio en un detector de Security Health Analytics que se produjo fuera de una actualización de estado. Nivel de precios: Premium
Corrige este hallazgo : Este hallazgo requiere que aceptes o reviertas el cambio para que la configuración del detector en tu postura y tu entorno coincidan. Tienes dos opciones para resolver este problema: puedes actualizar el detector de Security Health Analytics o puedes actualizar la postura y la implementación de la postura. Para revertir el cambio, actualiza el detector de Security Health Analytics en la consola de Google Cloud. Para obtener instrucciones, consulta Inhabilita y habilita los detectores. Para aceptar el cambio, completa lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de estado de seguridad detectó un cambio en un módulo personalizado de las estadísticas del estado de la seguridad que se produjo fuera de una actualización de estado. Nivel de precios: Premium Corrige este hallazgo : Este hallazgo requiere que aceptes el cambio o lo reviertas para que la configuración del módulo personalizado en tu postura y tu entorno coincidan. Tienes dos opciones para resolver este problema: puedes actualizar el módulo personalizado de Security Health Analytics o puedes actualizar la postura y la implementación de la postura. Para revertir el cambio, actualiza el módulo personalizado de Security Health Analytics en la consola de Google Cloud. Para obtener instrucciones, consulta Cómo actualizar un módulo personalizado. Para aceptar el cambio, completa lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de estado de seguridad detectó que se borró un módulo personalizado de las estadísticas del estado de la seguridad. Esta eliminación se produjo fuera de una actualización de postura. Nivel de precios: Premium Corrige este hallazgo : Este hallazgo requiere que aceptes el cambio o lo reviertas para que la configuración del módulo personalizado en tu postura y tu entorno coincidan. Tienes dos opciones para resolver este problema: puedes actualizar el módulo personalizado de Security Health Analytics o puedes actualizar la postura y la implementación de la postura. Para revertir el cambio, actualiza el módulo personalizado de Security Health Analytics en la consola de Google Cloud. Para obtener instrucciones, consulta Cómo actualizar un módulo personalizado. Para aceptar el cambio, completa lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del problema: El servicio de postura de seguridad detectó un cambio en una política de la organización que se produjo fuera de una actualización de la postura. Nivel de precios: Premium Corrige este hallazgo : Este hallazgo requiere que aceptes el cambio o lo reviertas para que las definiciones de la política de la organización en tu postura y tu entorno coincidan. Tienes dos opciones para resolver este hallazgo: puedes actualizar la política de la organización o actualizar la postura y la implementación de la postura. Para revertir el cambio, actualiza la política de la organización en la consola de Google Cloud. Para obtener instrucciones, consulta Cómo crear y editar políticas. Para aceptar el cambio, completa lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del problema: El servicio de postura de seguridad detectó que se borró una política de la organización. Esta eliminación se produjo fuera de una actualización de postura. Nivel de precios: Premium Corrige este hallazgo : Este hallazgo requiere que aceptes el cambio o lo reviertas para que las definiciones de la política de la organización en tu postura y tu entorno coincidan. Tienes dos opciones para resolver este hallazgo: puedes actualizar la política de la organización o actualizar la postura y la implementación de la postura. Para revertir el cambio, actualiza la política de la organización en la consola de Google Cloud. Para obtener instrucciones, consulta Cómo crear y editar políticas. Para aceptar el cambio, completa lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de postura de seguridad detectó un cambio en una política de la organización personalizada que se produjo fuera de una actualización de postura. Nivel de precios: Premium Corrige este hallazgo : Este hallazgo requiere que aceptes el cambio o lo reviertas para que las definiciones personalizadas de la política de la organización en tu postura y tu entorno coincidan. Tienes dos opciones para resolver este hallazgo: puedes actualizar la política de la organización personalizada o actualizar la postura y la implementación de la postura. Para revertir el cambio, actualiza la política de la organización personalizada en la consola de Google Cloud. Para obtener instrucciones, consulta Actualiza una restricción personalizada. Para aceptar el cambio, completa lo siguiente:
|
|
Nombre de categoría en la API: |
Descripción del problema: El servicio de postura de seguridad detectó que se borró una política de la organización personalizada. Esta eliminación se produjo fuera de una actualización de postura. Nivel de precios: Premium Corrige este hallazgo : Este hallazgo requiere que aceptes el cambio o lo reviertas para que las definiciones personalizadas de la política de la organización en tu postura y tu entorno coincidan. Tienes dos opciones para resolver este hallazgo: puedes actualizar la política de la organización personalizada o actualizar la postura y la implementación de la postura. Para revertir el cambio, actualiza la política de la organización personalizada en la consola de Google Cloud. Para obtener instrucciones, consulta Actualiza una restricción personalizada. Para aceptar el cambio, completa lo siguiente:
|
En la siguiente tabla, se enumeran los resultados de la postura de seguridad que identifican casos de recursos que incumplen tu postura de seguridad definida.
| Buscando | Resumen |
|---|---|
|
Nombre de categoría en la API: |
Descripción del problema: El servicio de estado de seguridad detectó que una subred tiene habilitada una dirección IPv6 externa. Nivel de precios: Premium Corrige este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes borrar el recurso que incumple la política o actualizar y volver a implementar la postura. Para borrar el recurso, completa los siguientes pasos:
Si deseas mantener el recurso en la misma configuración, debes actualizar la orientación. Para actualizar la postura, sigue estos pasos:
|
|
Nombre de categoría en la API: |
Descripción del problema: El servicio de estado de seguridad detectó que una subred tiene habilitada una dirección IPv6 interna. Nivel de precios: Premium Corrige este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes borrar el recurso que incumple la política o actualizar y volver a implementar la postura. Para borrar el recurso, completa los siguientes pasos:
Si deseas mantener el recurso en la misma configuración, debes actualizar la orientación. Para actualizar la postura, sigue estos pasos:
|
|
Nombre de categoría en la API: |
Descripción del resultado: El servicio de estado de seguridad detectó que el Acceso al SO está inhabilitado en una instancia de VM. Nivel de precios: Premium Corrige este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que incumple la política o actualizar la postura y volver a implementarla. Para actualizar el recurso, sigue estos pasos:
Si deseas mantener el recurso en la misma configuración, debes actualizar la orientación. Para actualizar la postura, sigue estos pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de estado de seguridad detectó que se agregó una red autorizada a una instancia de SQL. Nivel de precios: Premium Corrige este hallazgo : Este hallazgo requiere que corrijas el incumplimiento o actualices la postura. Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que incumple la política o actualizar la postura y volver a implementarla. Para actualizar el recurso, sigue estos pasos:
Si deseas mantener el recurso en la misma configuración, debes actualizar la orientación. Para actualizar la postura, sigue estos pasos:
|
|
Nombre de categoría en la API: |
Descripción del problema: El servicio de estado de seguridad detectó que un conector de VPC no está habilitado para una instancia de función de Cloud Run. Nivel de precios: Premium Corrige este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que incumple la política o actualizar la postura y volver a implementarla. Para actualizar el recurso, sigue estos pasos:
Si deseas mantener el recurso en la misma configuración, debes actualizar la orientación. Para actualizar la postura, sigue estos pasos:
|
|
Nombre de categoría en la API: |
Descripción del resultado: El servicio de estado de seguridad detectó que el acceso al puerto en serie a una instancia de VM está habilitado. Nivel de precios: Premium Corrige este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que incumple la política o actualizar la postura y volver a implementarla. Para actualizar el recurso, sigue estos pasos:
Si deseas mantener el recurso en la misma configuración, debes actualizar la orientación. Para actualizar la postura, sigue estos pasos:
|
|
Nombre de categoría en la API: |
Descripción del problema: El servicio de estado de seguridad detectó que se creó una red predeterminada. Nivel de precios: Premium Corrige este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes borrar el recurso que incumple la política o actualizar y volver a implementar la postura. Para borrar el recurso, completa los siguientes pasos:
Si deseas mantener el recurso en la misma configuración, debes actualizar la orientación. Para actualizar la postura, sigue estos pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de estado de seguridad detectó que un servicio de Cloud Run no cumple con la configuración de entrada especificada. Nivel de precios: Premium Corrige este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que incumple la política o actualizar la postura y volver a implementarla. Para actualizar el recurso, sigue estos pasos:
Si deseas mantener el recurso en la misma configuración, debes actualizar la orientación. Para actualizar la postura, sigue estos pasos:
|
|
Nombre de categoría en la API: |
Descripción del problema: El servicio de estado de seguridad detectó que un acceso a nivel del bucket es detallado en lugar de uniforme. Nivel de precios: Premium Corrige este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que incumple la política o actualizar la postura y volver a implementarla. Para actualizar el recurso, sigue estos pasos:
Si deseas mantener el recurso en la misma configuración, debes actualizar la orientación. Para actualizar la postura, sigue estos pasos:
|
|
Nombre de categoría en la API: |
Descripción del hallazgo: El servicio de estado de seguridad detectó que un servicio de Cloud Run no cumple con la configuración de salida especificada. Nivel de precios: Premium Corrige este hallazgo : Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso que incumple la política o actualizar la postura y volver a implementarla. Para actualizar el recurso, sigue estos pasos:
Si deseas mantener el recurso en la misma configuración, debes actualizar la orientación. Para actualizar la postura, sigue estos pasos:
|
VM Manager
VM Manager es un conjunto de herramientas que se pueden usar en la administración de sistemas operativos para flotas de máquinas virtuales (VM) grandes que ejecutan Windows y Linux en Compute Engine.
Si habilitas VM Manager con Security Command Center Premium a nivel de la organización, VM Manager escribe los resultados de sus informes de vulnerabilidades, que se encuentran en versión preliminar, en Security Command Center. Los informes identifican vulnerabilidades en los sistemas operativos instalados en las VMs, incluidas las vulnerabilidades y exposiciones comunes (CVE).
Para usar VM Manager con activaciones a nivel del proyecto de Security Command Center Premium, activa Security Command Center Estándar en la organización superior.
Los informes de vulnerabilidad no están disponibles para la versión estándar de Security Command Center.
Los resultados simplifican el proceso de usar la función de cumplimiento de parches de VM Manager, que está en vista previa. Esta función te permite realizar la administración de parches a nivel de organización en todos los proyectos.
La gravedad de los resultados de vulnerabilidades que se reciben de VM Manager siempre es CRITICAL o HIGH.
Resultados de VM Manager
Las vulnerabilidades de este tipo se relacionan con paquetes instalados de sistema operativo en las VM de Compute Engine compatibles.
| Detector | Resumen | Configuración de análisis de elementos |
|---|---|---|
|
Nombre de categoría en la API: |
Descripción del hallazgo: VM Manager detectó una vulnerabilidad en el paquete del sistema operativo (SO) instalado de una VM de Compute Engine. Nivel de precios: Premium Recursos admitidos |
Los informes de vulnerabilidad de VM Manager detallan las vulnerabilidades en los paquetes del sistema operativo instalados para las VMs de Compute Engine, incluidas las vulnerabilidades y exposiciones comunes (CVE). Para obtener una lista completa de los sistemas operativos compatibles, consulta Detalles de los sistemas operativos. Los hallazgos aparecen en Security Command Center poco después de que se detectan vulnerabilidades. Los informes de vulnerabilidad en VM Manager se generan de la siguiente manera:
|
Revisa los resultados en la consola
Consola de Google Cloud
- En la consola de Google Cloud, ve a la página Resultados de Security Command Center.
- Selecciona tu organización o proyecto de Google Cloud.
- En la sección Filtros rápidos, en la subsección Nombre visible de origen, selecciona VM Manager. Los resultados de la búsqueda de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
- Para ver los detalles de un resultado específico, haz clic en el nombre del resultado en la columna Categoría. Se abre el panel de detalles del hallazgo y se muestra la pestaña Resumen.
- En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si está disponible, los pasos que puedes seguir para solucionar el problema.
- Para ver la definición completa de JSON del resultado, haz clic en la pestaña JSON (opcional).
Consola de operaciones de seguridad
-
En la consola de Security Operations, ve a la página Resultados.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
Reemplaza
CUSTOMER_SUBDOMAINpor tu identificador específico del cliente. - En la sección Agregaciones, haz clic para expandir la subsección Nombre visible de la fuente.
- Selecciona VM Manager. Los resultados de la búsqueda de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
- Para ver los detalles de un resultado específico, haz clic en el nombre del resultado en la columna Categoría. Se abre el panel de detalles del hallazgo y se muestra la pestaña Resumen.
- En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si está disponible, los pasos que puedes seguir para solucionar el problema.
- Para ver la definición completa de JSON del resultado, haz clic en la pestaña JSON (opcional).
Solución de los resultados de VM Manager
Un hallazgo de OS_VULNERABILITY indica que VM Manager encontró una vulnerabilidad en los paquetes del sistema operativo instalados en una VM de Compute Engine.
Para solucionar el problema, haz lo siguiente:
Abre un hallazgo de
OS vulnerabilityy consulta su definición de JSON.Copia el valor del campo
externalUri. Este valor es el URI de la página Información del SO de la instancia de VM de Compute Engine en la que está instalado el sistema operativo vulnerable.Aplica todos los parches adecuados para el SO que se muestra en la sección Información básica. Para obtener instrucciones sobre la implementación de parches, consulta Crea trabajos de aplicación de parches.
Obtén información sobre los elementos admitidos y la configuración de análisis de este tipo de resultados.
Cómo silenciar los resultados de VM Manager
Es posible que desees ocultar algunos o todos los hallazgos de VM Manager en Security Command Center si no son relevantes para tus requisitos de seguridad.
Para ocultar los resultados de VM Manager, puedes crear una regla de silenciamiento y agregar atributos de consulta específicos a los resultados de VM Manager que quieras ocultar.
Para crear una regla de silenciamiento para VM Manager con la console de Google Cloud, haz lo siguiente:
En la consola de Google Cloud, ve a la página Findings (Resultados) de Security Command Center.
Si es necesario, selecciona tu organización o proyecto de Google Cloud.
Haz clic en Opciones para silenciar y, luego, selecciona Crear regla de silenciamiento.
Ingresa un ID de regla de silenciamiento. Es obligatorio ingresar este valor.
Ingresa una descripción de la regla de silenciamiento que proporcione contexto de los motivos por los que se silencian los resultados. Este valor es opcional, pero se recomienda.
Para confirmar el alcance de la regla de silenciamiento, verifica el valor de Recurso superior.
En el campo Búsqueda de resultados, haz clic en Agregar filtro para compilar tus sentencias de consulta. Como alternativa, puedes escribir las sentencias de consulta manualmente.
En el diálogo Seleccionar filtro, selecciona Búsqueda > Nombre visible de origen > Administrador de VMs.
Haz clic en Aplicar.
Repite hasta que la consulta de silenciamiento contenga todos los atributos que deseas ocultar.
Por ejemplo, si quieres ocultar IDs de CVE específicos en los resultados de vulnerabilidades de VM Manager, selecciona Vulnerabilidad > ID de CVE y, luego, selecciona los IDs de CVE que deseas ocultar.
La consulta de búsqueda se ve de la siguiente manera:
Haz clic en Obtener una vista previa de los resultados de coincidencias.
En una tabla, se muestran los resultados que coinciden con tu consulta.
Haz clic en Guardar.
Protección de datos sensibles
En esta sección, se describen los resultados de vulnerabilidades que genera la Protección de datos sensibles, los estándares de cumplimiento que admiten y cómo corregirlos.
La protección de datos sensibles también envía hallazgos de observación a Security Command Center. Para obtener más información sobre los resultados de la observación y la protección de datos sensibles, consulta Protección de datos sensibles.
Para obtener información sobre cómo ver los resultados, consulta Cómo revisar los resultados de Sensitive Data Protection en la consola de Google Cloud.
El servicio de descubrimiento de Sensitive Data Protection te ayuda a determinar si estás almacenando datos altamente sensibles que no están protegidos.
| Categoría | Resumen |
|---|---|
|
Nombre de categoría en la API:
|
Descripción del hallazgo: El recurso especificado tiene datos de alta sensibilidad a los que cualquier persona puede acceder desde Internet. Recursos admitidos:
Remedio: Para los datos de Google Cloud, quita Para los datos de Amazon S3, configura la opción de bloquear el acceso público o actualiza la LCA del objeto para denegar el acceso de lectura público. Estándares de cumplimiento: No asignados |
|
Nombre de categoría en la API:
|
Descripción del hallazgo: Hay secretos, como contraseñas, tokens de autenticación y credenciales de Google Cloud, en las variables de entorno. Para habilitar este detector, consulta Cómo informar secretos en variables de entorno a Security Command Center en la documentación de Sensitive Data Protection. Recursos admitidos: Remedio: En el caso de las variables de entorno de Cloud Run Functions, quita el secreto de la variable de entorno y almacenalo en Secret Manager. Para las variables de entorno de la revisión del servicio de Cloud Run, quita todo el tráfico de la revisión y, luego, bórrala. Estándares de cumplimiento:
|
|
Nombre de categoría en la API:
|
Descripción del hallazgo: Hay secretos, como contraseñas, tokens de autenticación y credenciales de la nube, en el recurso especificado. Recursos admitidos:
Remedio:
Estándares de cumplimiento: No asignados |
Policy Controller
Policy Controller permite la aplicación de políticas programables para tus clústeres de Kubernetes registrados como membresías de flota. Estas políticas actúan como barreras y pueden ayudarte con las prácticas recomendadas, la seguridad y la administración del cumplimiento de los clústeres y la flota.
En esta página, no se enumeran todos los hallazgos individuales de Policy Controller, pero la información sobre los hallazgos de la clase Misconfiguration que Policy Controller escribe en Security Command Center es la misma que los incumplimientos de clúster documentados para cada paquete de Policy Controller. La documentación de los tipos de hallazgos individuales de Policy Controller se encuentra en los siguientes paquetes de Policy Controller:
CIS Kubernetes Benchmark v1.5.1, un conjunto de recomendaciones para configurar Kubernetes de modo que posibilite una postura de seguridad sólida También puedes ver información sobre este paquete en el repositorio de GitHub de
cis-k8s-v1.5.1.PCI-DSS v3.2.1, un paquete que evalúa el cumplimiento de los recursos de tu clúster con respecto a algunos aspectos de las Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI-DSS) v3.2.1. También puedes ver información sobre este paquete en el repositorio de GitHub de
pci-dss-v3.
Esta función no es compatible con los perímetros de servicio de los Controles del servicio de VPC en torno a la API de Stackdriver.
Cómo encontrar y solucionar los problemas de Policy Controller
Las categorías de Policy Controller corresponden a los nombres de las restricciones que se enumeran en la documentación de los paquetes de Policy Controller. Por ejemplo, un resultado require-namespace-network-policies indica que un espacio de nombres incumple la política que establece que cada espacio de nombres de un clúster debe tener un NetworkPolicy.
Para solucionar un problema, haz lo siguiente:
Consola de Google Cloud
- En la consola de Google Cloud, ve a la página Resultados de Security Command Center.
- Selecciona tu organización o proyecto de Google Cloud.
- En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Policy Controller On-Cluster. Los resultados de la búsqueda de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
- Para ver los detalles de un resultado específico, haz clic en el nombre del resultado en la columna Categoría. Se abre el panel de detalles del hallazgo y se muestra la pestaña Resumen.
- En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si está disponible, los pasos que puedes seguir para solucionar el problema.
- Para ver la definición completa de JSON del resultado, haz clic en la pestaña JSON (opcional).
Consola de operaciones de seguridad
-
En la consola de Security Operations, ve a la página Resultados.
https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/posture/findings
Reemplaza
CUSTOMER_SUBDOMAINpor tu identificador específico del cliente. - En la sección Agregaciones, haz clic para expandir la subsección Nombre visible de la fuente.
- Selecciona Policy Controller On-Cluster. Los resultados de la búsqueda de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
- Para ver los detalles de un resultado específico, haz clic en el nombre del resultado en la columna Categoría. Se abre el panel de detalles del hallazgo y se muestra la pestaña Resumen.
- En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si está disponible, los pasos que puedes seguir para solucionar el problema.
- Para ver la definición completa de JSON del resultado, haz clic en la pestaña JSON (opcional).
¿Qué sigue?
Obtén más información para usar las estadísticas del estado de seguridad.
Obtén más información para usar Web Security Scanner.
Lee sugerencias para solucionar los problemas de las estadísticas del estado de seguridad y solucionar los problemas de Web Security Scanner.