Services de détection

Cette page contient la liste des services de détection, parfois appelés sources de sécurité, que Security Command Center utilise pour détecter les problèmes de sécurité dans vos environnements cloud.

Lorsque ces services détectent un problème, ils génèrent un résultat, qui est un enregistrement identifiant le problème de sécurité et fournissant les informations dont vous avez besoin pour le hiérarchiser et le résoudre.

Vous pouvez afficher les résultats dans la console Google Cloud et les filtrer de différentes manières, par exemple par type de résultat, type de ressource ou pour un élément spécifique. Chaque source de sécurité peut fournir davantage de filtres pour vous aider à organiser les résultats.

Les rôles IAM pour Security Command Center peuvent être accordés au niveau de l'organisation, du dossier ou du projet. Votre capacité à afficher, modifier, créer ou mettre à jour les résultats, les éléments et les sources de sécurité dépend du niveau pour lequel vous disposez d'un accès. Pour en savoir plus sur les rôles Security Command Center, consultez la page Contrôle des accès.

Services de détection des failles

Les services de détection des failles incluent des services intégrés qui détectent les failles logicielles, les erreurs de configuration et les non-respects de posture dans vos environnements cloud. Ces types de problèmes de sécurité sont collectivement appelés failles.

Évaluation des failles Artifact Registry

L'évaluation des failles d'Artifact Registry est un service de détection qui vous alerte en cas de failles dans vos images de conteneurs déployées.

Ce service de détection génère des résultats de failles pour les images de conteneurs dans les conditions suivantes :

• L'image de conteneur est stockée dans Artifact Registry.

• L'image de conteneur est déployée sur l'un des éléments suivants :

  • Cluster Google Kubernetes Engine
  • Service Cloud Run
  • Job Cloud Run
  • App Engine

L'évaluation des failles d'Artifact Registry ne génère pas de résultats pour les images de conteneurs qui ne répondent pas à ce critère.

Une fois les résultats de l'évaluation des failles d'Artifact Registry générés, vous pouvez les interroger jusqu'à cinq semaines après la dernière analyse d'image de conteneur effectuée. Pour en savoir plus sur la conservation des données Security Command Center, consultez Conservation des données.

Activer les résultats de l'évaluation des failles Artifact Registry

Pour que l'évaluation des failles d'Artifact Registry génère des résultats dans Security Command Center pour les images de conteneurs déployées stockées dans Artifact Registry, l'API Container Scanning doit être activée pour votre projet.

Si vous n'avez pas activé l'API Container Scanning, procédez comme suit :

1. Dans la console Google Cloud , accédez à la page API Container Scanning.

   Accéder à l'API Container Scanning

2. Sélectionnez le projet pour lequel vous souhaitez activer l'API Container Scanning.

3. Cliquez sur Activer.

Security Command Center affichera les résultats des images de conteneurs vulnérables analysées et déployées activement dans les éléments d'exécution applicables. Toutefois, le service de détection se comporte différemment selon la date à laquelle vous avez activé Security Command Center et l'API Container Scanning.

Désactiver les résultats de l'évaluation des failles Artifact Registry

Pour désactiver les résultats de l'évaluation des failles d'Artifact Registry, procédez comme suit :

1. Dans la console Google Cloud , accédez à la page Détails de l'API/du service pour l'API Container Scanning.

   Accéder aux détails de l'API/du service

2. Sélectionnez le projet pour lequel vous souhaitez désactiver l'API Container Scanning.

3. Cliquez sur Désactiver l'API.

Security Command Center n'affichera pas les résultats des failles détectées lors des futures analyses d'images de conteneurs. Security Command Center conserve les résultats existants de l'évaluation des failles d'Artifact Registry pendant au moins 35 jours après la dernière analyse d'image de conteneur effectuée. Pour en savoir plus sur la conservation des données Security Command Center, consultez Conservation des données.

Vous pouvez également désactiver l'évaluation des failles Artifact Registry en désactivant l'ID de source d'évaluation des failles dans les paramètres Security Command Center. Toutefois, nous vous déconseillons de le faire. Si vous désactivez l'ID de source "Évaluation des failles", tous les services de détection classés sous cet ID seront désactivés. Par conséquent, nous vous recommandons de désactiver l'API Container Scanning en suivant la procédure ci-dessus.

Afficher les résultats de l'évaluation des failles Artifact Registry dans la console

1. Dans la console Google Cloud , accédez à la page Résultats de Security Command Center.

   Accéder

2. Sélectionnez votre projet Google Cloud ou votre organisation.
3. Dans la sous-section Nom à afficher pour la source de la section Filtres rapides, sélectionnez Évaluation des failles. Les résultats de la requête de résultats sont mis à jour pour n'afficher que les résultats provenant de cette source.
4. Pour afficher les détails d'un résultat spécifique, cliquez sur son nom dans la colonne Catégorie. Le panneau de détails du résultat s'ouvre et affiche l'onglet Résumé.
5. Dans l'onglet Récapitulatif, examinez les détails du résultat, y compris les informations sur ce qui a été détecté, la ressource concernée et, le cas échéant, les étapes à suivre pour corriger le résultat.
6. Facultatif : Pour afficher la définition JSON complète du résultat, cliquez sur l'onglet JSON.

Tableau de bord de la stratégie de sécurité GKE

Le tableau de bord de stratégie de sécurité GKE est une page de la consoleGoogle Cloud qui vous fournit des résultats avisés et exploitables sur les problèmes de sécurité potentiels dans vos clusters GKE.

Si vous activez l'une des fonctionnalités suivantes du tableau de bord de stratégie de sécurité GKE, les résultats s'affichent dans le niveau Standard ou Premium de Security Command Center :

Les résultats affichent des informations sur le problème de sécurité et fournissent des recommandations pour le résoudre dans vos charges de travail ou clusters.

Afficher les résultats du tableau de bord de stratégie de sécurité GKE dans la console

Outil de recommandation IAM

L'outil de recommandation IAM génère des recommandations que vous pouvez suivre pour améliorer la sécurité en supprimant ou en remplaçant les rôles IAM des comptes principaux lorsque ces rôles contiennent des autorisations IAM dont le compte principal n'a pas besoin.

IAM Recommender est automatiquement activé lorsque vous activez Security Command Center.

Activer ou désactiver les résultats de l'outil de recommandation IAM

Pour activer ou désactiver les résultats du service de recommandation IAM dans Security Command Center, procédez comme suit :

1. Accédez à l'onglet Services intégrés de la page Paramètres de Security Command Center dans la console Google Cloud  :

   Accéder aux services intégrés

2. Accédez à l'entrée Outil de recommandation IAM.

3. À droite de l'entrée, sélectionnez Activer ou Désactiver.

Les résultats de l'outil de recommandation IAM sont classés comme des failles.

Pour corriger un résultat de l'outil de recommandation IAM, développez la section suivante pour afficher un tableau des résultats de l'outil de recommandation IAM. Les étapes de correction pour chaque résultat sont incluses dans l'entrée du tableau.

Afficher les résultats de l'outil de recommandation IAM dans la console

Sélectionnez l'onglet correspondant à votre niveau de service.

Dans le niveau Premier, vous pouvez également consulter les résultats de l'outil de recommandation IAM sur la page Vulnérabilités en sélectionnant le préréglage de requête Outil de recommandation IAM.

Mandiant Attack Surface Management

Mandiant est un leader mondial du renseignement direct sur les menaces. Mandiant Attack Surface Management identifie les failles et les erreurs de configuration dans vos surfaces d'attaque externes pour vous aider à vous protéger contre les dernières cyberattaques.

Mandiant Attack Surface Management est automatiquement activé lorsque vous activez le niveau Security Command Center Enterprise, et les résultats sont disponibles dans la console Google Cloud .

Pour savoir en quoi le produit autonome Mandiant Attack Surface Management diffère de l'intégration de Mandiant Attack Surface Management dans Security Command Center, consultez ASM et Security Command Center sur le portail de documentation Mandiant. Vous devez vous authentifier auprès de Mandiant pour accéder à ce lien.

Examiner les résultats de Mandiant Attack Surface Management dans la console

Ni Security Command Center ni Mandiant Attack Surface Management ne marquent les résultats comme résolus. Une fois un problème résolu, vous pouvez le marquer manuellement comme tel. S'il n'est pas identifié lors de la prochaine analyse Mandiant Attack Surface Management, il reste résolu.

Model Armor

Model Armor est un service entièrement géré Google Cloud qui améliore la sécurité des applications d'IA en filtrant les requêtes et les réponses des LLM.

Résultats de failles du service Model Armor

Policy Controller

Policy Controller permet d'appliquer des règles programmables à vos clusters Kubernetes. Ces règles servent de garde-fous et peuvent vous aider à appliquer les bonnes pratiques, ainsi qu'à gérer la sécurité et la conformité de vos clusters et de votre parc.

Si vous installez Policy Controller et activez l'un des bundles Policy Controller, Policy Controller écrit automatiquement les cas de non-respect des règles du cluster dans Security Command Center en tant que résultats de classe Misconfiguration. La description du résultat et les prochaines étapes dans les résultats Security Command Center sont les mêmes que la description de la contrainte et les étapes de correction du bundle Policy Controller correspondant.

Les résultats Policy Controller proviennent des bundles Policy Controller suivants :

• Benchmark CIS de Kubernetes v1.5.1, un ensemble de recommandations permettant de configurer Kubernetes pour garantir un niveau de sécurité élevé. Vous pouvez également consulter des informations sur ce bundle dans le dépôt GitHub pour cis-k8s-v1.5.1.
• PCI-DSS v3.2.1 : bundle qui évalue la conformité des ressources de votre cluster par rapport à certains aspects de la norme PCI-DSS (Payment Card Industry Data Security Standard) v3.2.1. Vous pouvez également consulter des informations sur ce bundle dans le dépôt GitHub pour pci-dss-v3.

Pour trouver et corriger les résultats de Policy Controller, consultez Corriger les résultats de Policy Controller.

Moteur de risque

Le moteur de risque Security Command Center évalue l'exposition aux risques de vos déploiements cloud, attribue des scores d'exposition aux attaques aux résultats de détection de failles et à vos ressources à forte valeur, et schématise les chemins qu'un pirate informatique pourrait emprunter pour atteindre vos ressources à forte valeur.

Dans le niveau Enterprise de Security Command Center, le moteur de risque détecte des groupes de problèmes de sécurité qui, lorsqu'ils se produisent ensemble selon un schéma particulier, créent un chemin d'accès à une ou plusieurs de vos ressources à forte valeur. Un pirate informatique déterminé pourrait potentiellement utiliser ce chemin pour atteindre et compromettre ces ressources.

Lorsque le moteur de risque détecte l'une de ces combinaisons, il génère un résultat de classe TOXIC_COMBINATION. Dans le résultat, "Moteur de risque" est indiqué comme source.

Le moteur de risque identifie également les ressources ou groupes de ressources communs où convergent plusieurs chemins d'attaque, puis génère un résultat de classe CHOKEPOINT.

Pour en savoir plus, consultez Vue d'ensemble des combinaisons toxiques et des goulets d'étranglement.

Security Health Analytics

Security Health Analytics est un service de détection intégré à Security Command Center qui fournit des analyses gérées de vos ressources cloud pour détecter les erreurs de configuration courantes.

Lorsqu'une configuration incorrecte est détectée, Security Health Analytics génère un résultat. La plupart des résultats Security Health Analytics sont mappés sur des contrôles de normes de sécurité afin que vous puissiez évaluer la conformité.

Security Health Analytics analyse vos ressources sur Google Cloud. Si vous utilisez le niveau Enterprise et que vous établissez des connexions à d'autres plates-formes cloud, Security Health Analytics peut également analyser vos ressources sur ces plates-formes cloud.

Les détecteurs disponibles varient en fonction du niveau de service Security Command Center que vous utilisez :

• Au niveau Standard, Security Health Analytics n'inclut qu'un groupe de base de détecteurs de failles de gravité moyenne et élevée.
• Le niveau Premium inclut tous les détecteurs de failles pour Google Cloud.
• Le niveau Enterprise inclut des détecteurs supplémentaires pour d'autres plates-formes cloud.

Security Health Analytics est automatiquement activé lorsque vous activez Security Command Center.

Pour en savoir plus, consultez les pages suivantes :

• Présentation de Security Health Analytics
• Utiliser Security Health Analytics
• Corriger les résultats de Security Health Analytics
• Référence des résultats de Security Health Analytics

Service de stratégie de sécurité

Le service de posture de sécurité est un service intégré au niveau Premium de Security Command Center qui vous permet de définir, d'évaluer et de surveiller l'état général de votre sécurité dans Google Cloud. Il fournit des informations sur la façon dont votre environnement s'aligne sur les règles que vous définissez dans votre stratégie de sécurité.

Le service de stratégie de sécurité n'est pas lié au tableau de bord de stratégie de sécurité GKE, qui n'affiche que les résultats dans les clusters GKE.

Protection des données sensibles

Sensitive Data Protection est un service Google Cloud entièrement géré qui vous aide à découvrir, classer et protéger vos données sensibles. Vous pouvez utiliser la protection des données sensibles pour déterminer si vous stockez des informations sensibles ou permettant d'identifier personnellement l'utilisateur, comme les suivantes :

• Noms de personnes
• Numéros de cartes de crédit
• Numéros d'identification nationaux ou d'État
• Numéros d'identification de l'assurance santé
• Secrets

Dans la protection des données sensibles, chaque type de données sensibles que vous recherchez est appelé infoType.

Si vous configurez votre opération de protection des données sensibles pour envoyer les résultats à Security Command Center, vous pouvez les consulter directement dans la section Security Command Center de la console Google Cloud , en plus de la section "Protection des données sensibles".

Résultats de failles du service de découverte Sensitive Data Protection

Le service de découverte Sensitive Data Protection vous aide à déterminer si vous stockez des données très sensibles qui ne sont pas protégées.

Résultats de configuration incorrecte du service de découverte Sensitive Data Protection

Le service de découverte Sensitive Data Protection vous aide à déterminer si vous avez des erreurs de configuration qui pourraient exposer des données sensibles.

Résultats d'observation de Sensitive Data Protection

Cette section décrit les résultats d'observation que la protection des données sensibles génère dans Security Command Center.

Résultats d'observation du service de découverte

Le service de découverte Sensitive Data Protection vous aide à déterminer si vos données contiennent des infoTypes spécifiques et où ils se trouvent dans votre organisation, vos dossiers et vos projets. Il génère les catégories de résultats d'observation suivantes dans Security Command Center :

Data sensitivity

Indication du niveau de sensibilité des données d'un élément de données spécifique. Les données sont dites sensibles si elles contiennent des informations permettant d'identifier personnellement les utilisateurs ou d'autres éléments qui peuvent nécessiter un contrôle ou une gestion supplémentaire. La gravité du résultat correspond au niveau de sensibilité calculé par Sensitive Data Protection lors de la génération du profil de données.

Data risk

Risque associé aux données dans leur état actuel. Lors du calcul du risque lié aux données, la protection des données sensibles tient compte du niveau de sensibilité des données de l'élément de données et de la présence de contrôles d'accès pour protéger ces données. La gravité du résultat correspond au niveau de risque des données calculé par Sensitive Data Protection lors de la génération du profil de données.

Selon la taille de votre organisation, les résultats de Sensitive Data Protection peuvent commencer à s'afficher dans Security Command Center quelques minutes après l'activation de la découverte des données sensibles. Pour les grandes entreprises ou celles qui ont des configurations spécifiques affectant la génération de résultats, il peut s'écouler jusqu'à 12 heures avant que les premiers résultats n'apparaissent dans Security Command Center.

Ensuite, Sensitive Data Protection génère des résultats dans Security Command Center quelques minutes après que le service de découverte a analysé vos ressources.

Pour savoir comment envoyer les résultats des profils de données à Security Command Center, consultez les ressources suivantes :

• Pour Security Command Center Enterprise : activez la découverte des données sensibles.
• Pour Security Command Center Premium ou Standard : publiez des profils de données dans Security Command Center.

Résultats d'observation du service d'inspection Sensitive Data Protection

Une tâche d'inspection de protection des données sensibles identifie chaque instance de données d'un infoType spécifique dans un système de stockage tel qu'un bucket Cloud Storage ou une table BigQuery. Par exemple, vous pouvez exécuter un job d'inspection qui recherche toutes les chaînes correspondant au détecteur d'infoType CREDIT_CARD_NUMBER dans un bucket Cloud Storage.

Pour chaque détecteur infoType comportant une ou plusieurs correspondances, Sensitive Data Protection génère un résultat Security Command Center correspondant. La catégorie de résultat correspond au nom du détecteur d'infoType qui a trouvé une correspondance (par exemple, Credit card number). Le résultat inclut le nombre de chaînes correspondantes détectées dans le texte ou les images de la ressource.

Pour des raisons de sécurité, les chaînes détectées ne sont pas incluses dans le résultat. Par exemple, un résultat Credit card number indique le nombre de numéros de carte de crédit trouvés, mais pas les numéros de carte de crédit eux-mêmes.

Étant donné que la protection des données sensibles inclut plus de 150 détecteurs d'infoTypes intégrés, toutes les catégories de résultats Security Command Center possibles ne sont pas listées ici. Pour obtenir la liste complète des détecteurs d'infoTypes, consultez la documentation de référence sur les détecteurs d'infoTypes.

Pour savoir comment envoyer les résultats d'une tâche d'inspection à Security Command Center, consultez Envoyer les résultats d'une tâche d'inspection de protection des données sensibles à Security Command Center.

Examiner les résultats de Sensitive Data Protection dans la console

VM Manager

VM Manager est une suite d'outils qui permet de gérer les systèmes d'exploitation des grands parcs de machines virtuelles (VM) exécutant Windows et Linux sur Compute Engine.

Pour utiliser VM Manager avec les activations au niveau du projet de Security Command Center Premium, activez Security Command Center Standard dans l'organisation parente.

Si vous activez VM Manager avec le niveau Premium de Security Command Center, VM Manager écrit automatiquement les résultats high et critical de ses rapports de failles en version bêta dans Security Command Center. Les rapports identifient les failles dans les systèmes d'exploitation (OS) installés sur les VM, y compris les failles CVE courantes (Common Vulnerabilities and Exposures).

Les rapports de failles ne sont pas disponibles dans le niveau Standard de Security Command Center.

Les résultats simplifient l'utilisation de la fonctionnalité de conformité des correctifs de VM Manager, qui est en version bêta. Cette fonctionnalité vous permet de gérer les correctifs au niveau de l'organisation dans tous vos projets. VM Manager permet de gérer les correctifs au niveau du projet.

Pour corriger les résultats de VM Manager, consultez Corriger les résultats de VM Manager.

Pour empêcher l'écriture des rapports de failles dans Security Command Center, consultez Ignorer les résultats de VM Manager.

Les failles de ce type concernent toutes les packages de système d'exploitation installés dans les VM Compute Engine compatibles.

Évaluation des failles pour AWS

Le service d'évaluation des failles pour Amazon Web Services (AWS) détecte les failles logicielles dans vos charges de travail exécutées sur des machines virtuelles (VM) EC2 sur la plate-forme cloud AWS.

Pour chaque faille détectée, l'évaluation des failles pour AWS génère un résultat de classe Vulnerability dans la catégorie de résultats Software vulnerability de Security Command Center.

Le service d'évaluation des failles pour AWS analyse les instantanés des instances de machines EC2 en cours d'exécution. Les charges de travail de production ne sont donc pas affectées. Cette méthode d'analyse est appelée analyse de disque sans agent, car aucun agent n'est installé sur les cibles d'analyse.

Pour en savoir plus, consultez les ressources suivantes :

• Présentation de l'évaluation des failles pour AWS
• Activer et utiliser l'évaluation des failles pour AWS

Évaluation des failles pour Google Cloud

L'évaluation des failles du service Google Cloud détecte les failles logicielles dans les ressources suivantes de la plate-forme Google Cloud  :

• Exécuter des instances de VM Compute Engine
• Nœuds dans les clusters GKE Standard
• Conteneurs exécutés dans des clusters GKE Standard et GKE Autopilot

Pour chaque faille détectée, l'évaluation des failles pour Google Cloud génère un résultat de classe Vulnerability dans la catégorie de résultats Software vulnerability ou OS vulnerability dans Security Command Center.

Le service d'évaluation des failles pour Google Cloud analyse vos instances de VM Compute Engine en clonant leurs disques environ toutes les 12 heures, en les montant dans une instance de VM sécurisée et en les évaluant avec le scanner SCALIBR.

Pour en savoir plus, consultez Évaluation des failles pour Google Cloud.

Web Security Scanner

Web Security Scanner fournit une analyse des failles Web gérée et personnalisée pour les applications Web publiques App Engine, GKE et Compute Engine.

Analyses gérées

Les analyses gérées de Web Security Scanner sont configurées et gérées par Security Command Center. Elles s'exécutent automatiquement une fois par semaine pour détecter et analyser les points de terminaison Web publics. Ces analyses n'utilisent pas l'authentification et n'envoient que des requêtes GET. Elles n'envoient donc pas de formulaires sur des sites Web en ligne.

Les analyses gérées s'exécutent indépendamment des analyses personnalisées.

Si Security Command Center est activé au niveau de l'organisation, vous pouvez utiliser des analyses gérées pour gérer de manière centralisée la détection de failles des applications Web de base pour les projets de votre organisation, sans avoir à impliquer des équipes de projets individuelles. Lorsque des résultats sont détectés, vous pouvez collaborer avec ces équipes pour configurer des analyses personnalisées plus complètes.

Lorsque vous activez Web Security Scanner en tant que service, les résultats d'analyse gérée sont automatiquement disponibles sur la page Failles de Security Command Center et dans les rapports associés. Pour savoir comment activer les analyses gérées de Web Security Scanner, consultez Configurer les services Security Command Center.

Les analyses gérées ne sont compatibles qu'avec les applications qui utilisent le port par défaut, à savoir le port 80 pour les connexions HTTP et le port 443 pour les connexions HTTPS. Si votre application utilise un port autre que celui par défaut, effectuez plutôt une analyse personnalisée.

Analyses personnalisées

Les analyses personnalisées de Web Security Scanner fournissent des informations précises sur les résultats des failles des applications, telles que les bibliothèques obsolètes, les scripts intersites ou l'utilisation de contenus mixtes.

Vous définissez des analyses personnalisées au niveau du projet.

Les résultats de l'analyse personnalisée sont disponibles dans Security Command Center une fois que vous avez suivi le guide de configuration des analyses personnalisées de Web Security Scanner.

Détecteurs et conformité

Web Security Scanner accepte les catégories du Top 10 de l'OWASP, un document qui classe les 10 risques de sécurité les plus critiques pour les applications Web identifiés par le projet OWASP (Open Web Application Security Project) et fournit des conseils de résolution pour chacun. Pour obtenir des conseils visant à réduire les risques identifiés par l'OWASP, consultez la page Top 10 des options d'atténuation de l'OWASP sur Google Cloud.

Le mappage de conformité est inclus pour référence et n'est pas fourni ni examiné par la Fondation OWASP.

Cette fonctionnalité est uniquement destinée à vous permettre de surveiller les cas de non-respect des contrôles de conformité. Les mises en correspondance ne sont pas fournies pour être utilisées comme base ou substitut de l'audit, du certificat ou du rapport de conformité de vos produits ou services par rapport à des benchmarks ou des normes industriels ou du secteur.

Pour en savoir plus, consultez la présentation de Web Security Scanner.

Notebook Security Scanner

Notebook Security Scanner est un service intégré de détection des failles de package de Security Command Center. Une fois Notebook Security Scanner activé, il analyse automatiquement les notebooks Colab Enterprise (fichiers avec l'extension de nom de fichier ipynb) toutes les 24 heures pour détecter les failles dans les packages Python et publie ces résultats sur la page Résultats de Security Command Center.

Vous pouvez utiliser Notebook Security Scanner pour les notebooks Colab Enterprise créés dans les régions suivantes : us-central1, us-east4, us-west1 et europe-west4.

Pour commencer à utiliser Notebook Security Scanner, consultez Activer et utiliser Notebook Security Scanner.

Services de détection des menaces

Les services de détection des menaces incluent des services intégrés qui détectent les événements pouvant indiquer des événements potentiellement dangereux, tels que des ressources compromises ou des cyberattaques.

Détection d'anomalies

La détection d'anomalies est un service intégré qui utilise des signaux de comportement extérieurs à votre système. Elle affiche des informations précises sur les anomalies de sécurité détectées pour vos projets et instances de machines virtuelles (VM), telles que les identifiants volés potentiels. La détection d'anomalies est automatiquement activée lorsque vous activez le niveau Standard ou Premium de Security Command Center, et les résultats sont disponibles dans la console  Google Cloud .

Voici quelques exemples de résultats de détection d'anomalies :

Des identifiants du compte ont été divulgués

GitHub a informé Security Command Center que les identifiants utilisés pour un commit semblent être ceux d'un compte de serviceGoogle Cloud Identity and Access Management.

La notification inclut le nom du compte de service et l'identifiant de la clé privée. Google Cloud envoie également une notification par e-mail à votre contact désigné pour les questions de sécurité et de confidentialité.

Pour résoudre ce problème, effectuez une ou plusieurs des actions suivantes :

• Identifiez l'utilisateur légitime de la clé.
• Faites tourner la clé.
• Retirez la clé.
• Examinez toutes les actions effectuées par la clé après sa fuite pour vous assurer qu'aucune d'elles n'était malveillante.

{
  "findings": {
    "access": {},
    "assetDisplayName": "PROJECT_NAME",
    "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID",
    "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "category": "account_has_leaked_credentials",
    "contacts": {
      "security": {
        "contacts": [
          {
            "email": "EMAIL_ADDRESS"
          }
        ]
      }
    },
    "createTime": "2022-08-05T20:59:41.022Z",
    "database": {},
    "eventTime": "2022-08-05T20:59:40Z",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat",
    "indicator": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID",
    "parentDisplayName": "Cloud Anomaly Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "severity": "CRITICAL",
    "sourceDisplayName": "Cloud Anomaly Detection",
    "state": "ACTIVE",
    "vulnerability": {},
    "workflowState": "NEW"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "display_name": "PROJECT_NAME",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "project_display_name": "PROJECT_NAME",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": []
  },
  "sourceProperties": {
    "project_identifier": "PROJECT_ID",
    "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
    "finding_type": "Potential compromise of a resource in your organization.",
    "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.",
    "action_taken": "Notification sent",
    "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID",
    "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json"
  }
}
    

Container Threat Detection

Container Threat Detection peut détecter les attaques les plus courantes visant l'environnement d'exécution des conteneurs, et vous alerter dans Security Command Center et, éventuellement, dans Cloud Logging. Container Threat Detection inclut plusieurs fonctionnalités de détection, un outil d'analyse et une API.

L'instrumentation de détection Container Threat Detection collecte le comportement de bas niveau dans le noyau invité et effectue un traitement du langage naturel sur le code pour détecter les événements suivants :

• Added Binary Executed
• Added Library Loaded
• Command and Control: Steganography Tool Detected (bêta)
• Credential Access: Find Google Cloud Credentials
• Credential Access: GPG Key Reconnaissance
• Credential Access: Search Private Keys or Passwords
• Defense Evasion: Base64 ELF File Command Line
• Defense Evasion: Base64 Encoded Python Script Executed
• Defense Evasion: Base64 Encoded Shell Script Executed
• Defense Evasion: Launch Code Compiler Tool In Container (bêta)
• Execution: Added Malicious Binary Executed
• Execution: Added Malicious Library Loaded
• Execution: Built in Malicious Binary Executed
• Execution: Container Escape
• Execution: Fileless Execution in /memfd:
• Execution: Ingress Nightmare Vulnerability Execution (bêta)
• Execution: Kubernetes Attack Tool Execution
• Execution: Local Reconnaissance Tool Execution
• Execution: Malicious Python executed
• Execution: Modified Malicious Binary Executed
• Execution: Modified Malicious Library Loaded
• Execution: Netcat Remote Code Execution In Container
• Execution: Possible Remote Command Execution Detected (bêta)
• Execution: Program Run with Disallowed HTTP Proxy Env
• Execution: Suspicious OpenSSL Shared Object Loaded
• Exfiltration: Launch Remote File Copy Tools in Container
• Impact: Detect Malicious Cmdlines (bêta)
• Impact: Remove Bulk Data From Disk
• Impact: Suspicious crypto mining activity using the Stratum Protocol
• Malicious Script Executed
• Malicious URL Observed
• Privilege Escalation: Fileless Execution in /dev/shm
• Reverse Shell
• Unexpected Child Shell

Apprenez-en davantage sur Container Threat Detection.

Event Threat Detection

Event Threat Detection utilise les données des journaux au sein de vos systèmes. Il surveille le flux Cloud Logging pour les projets et utilise les journaux dès qu'ils deviennent disponibles. Lorsqu'une menace est détectée, Event Threat Detection écrit un résultat dans Security Command Center et dans un projet Cloud Logging. Event Threat Detection est automatiquement activé lorsque vous activez le niveau Premium de Security Command Center, et les résultats sont disponibles dans la consoleGoogle Cloud .

Le tableau suivant liste des exemples de résultats d'Event Threat Detection.

Apprenez-en davantage sur Event Threat Detection.

Google Cloud Armor

Google Cloud Armor permet de protéger votre application en fournissant un filtrage de couche 7. Google Cloud Armor nettoie les requêtes entrantes des attaques Web courantes ou d'autres attributs de couche 7, afin de bloquer potentiellement le trafic avant qu'il n'atteigne vos services de backend à équilibrage de charge ou vos buckets de backend.

Google Cloud Armor exporte deux résultats vers Security Command Center :

• Pic de trafic autorisé

• Augmentation du taux de refus

Virtual Machine Threat Detection

Virtual Machine Threat Detection est un service intégré de Security Command Center disponible dans les niveaux Enterprise et Premium. Ce service analyse les machines virtuelles pour détecter les applications potentiellement malveillantes, telles que les logiciels de minage de cryptomonnaie, les rootkits en mode noyau et les logiciels malveillants exécutés dans des environnements cloud compromis.

VM Threat Detection fait partie de la suite de détection des menaces de Security Command Center. Il est conçu pour compléter les fonctionnalités existantes d'Event Threat Detection et de Container Threat Detection.

Pour en savoir plus sur VM Threat Detection, consultez la page Présentation de VM Threat Detection.

Résultats de menace VM Threat Detection

VM Threat Detection peut générer les résultats de menace suivants.

Résultats de menaces de minage de cryptomonnaie

VM Threat Detection détecte les catégories de résultats suivantes grâce à la correspondance de hachage ou aux règles YARA.

Résultats de détection des menaces de rootkit en mode noyau

VM Threat Detection analyse l'intégrité du noyau au moment de l'exécution pour détecter les techniques d'évasion courantes utilisées par les logiciels malveillants.

Le module KERNEL_MEMORY_TAMPERING détecte les menaces en comparant le code du noyau et la mémoire de données en lecture seule du noyau d'une machine virtuelle à des hachages.

Le module KERNEL_INTEGRITY_TAMPERING détecte les menaces en vérifiant l'intégrité des structures de données importantes du noyau.

Erreurs

Les détecteurs d'erreurs peuvent vous aider à détecter des erreurs dans votre configuration qui empêchent les sources de sécurité de générer des résultats. Les résultats d'erreur sont générés par la source de sécurité Security Command Center et ont la classe de résultat SCC errors.

Actions accidentelles

Les catégories de résultats suivantes représentent des erreurs potentiellement causées par des actions involontaires.

Pour en savoir plus, consultez la page Erreurs Security Command Center.

Étapes suivantes

• Pour en savoir plus sur Security Command Center, consultez la présentation de Security Command Center.
• Découvrez comment ajouter de nouvelles sources de sécurité en configurant les services Security Command Center.