Serviços de detecção

Esta página contém uma lista dos serviços de detecção, às vezes também chamados de fontes de segurança, que o Security Command Center usa para detectar problemas de segurança nos seus ambientes de nuvem.

Quando esses serviços detectam um problema, eles geram uma descoberta, que é um registro que identifica o problema de segurança e fornece as informações necessárias para priorizar e resolver o problema.

É possível visualizar as descobertas no console do Google Cloud e filtrá-las de várias maneiras diferentes, como por tipo de descoberta, tipo de recurso ou recurso específico. Cada fonte de segurança pode fornecer mais filtros para ajudar a organizar as descobertas.

Os papéis do IAM para o Security Command Center podem ser concedidos no nível da organização, da pasta ou do projeto. A capacidade de ver, editar, criar ou atualizar descobertas, recursos e fontes de segurança depende do nível a que você tem acesso. Para saber mais sobre os papéis do Security Command Center, consulte Controle de acesso.

Serviços de detecção de vulnerabilidades

Os serviços de detecção de vulnerabilidades incluem serviços integrados que detectam vulnerabilidades de software, configurações incorretas e violações de postura nos seus ambientes de nuvem. Coletivamente, esses tipos de problemas de segurança são chamados de vulnerabilidades.

Avaliação de vulnerabilidades do Artifact Registry

A avaliação de vulnerabilidades do Artifact Registry é um serviço de detecção que alerta sobre vulnerabilidades nas imagens de contêiner implantadas.

Esse serviço de detecção gera descobertas de vulnerabilidade para imagens de contêiner nas seguintes condições:

• A imagem do contêiner é armazenada no Artifact Registry.

• A imagem do contêiner é implantada em um dos seguintes recursos:

  • Cluster do Google Kubernetes Engine
  • Serviço do Cloud Run
  • Job do Cloud Run
  • App Engine

A avaliação de vulnerabilidades do Artifact Registry não gera descobertas para imagens de contêiner que não atendem a esse critério.

Depois que os resultados da avaliação de vulnerabilidade do Artifact Registry são gerados, eles ficam disponíveis para consulta por até cinco semanas após a última verificação da imagem do contêiner. Para mais informações sobre a retenção de dados do Security Command Center, consulte Retenção de dados.

Ativar as descobertas da avaliação de vulnerabilidades do Artifact Registry

Para que a avaliação de vulnerabilidades do Artifact Registry gere descobertas no Security Command Center para imagens de contêiner implantadas armazenadas no Artifact Registry, a API Container Scanning precisa estar ativada no seu projeto.

Se você não ativou a API Container Scanning, faça o seguinte:

1. No console Google Cloud , acesse a página da API Container Scanning.

   Acessar a API Container Scanning

2. Selecione o projeto em que você quer ativar a API Container Scanning.

3. Clique em Ativar.

O Security Command Center vai mostrar descobertas de imagens de contêineres vulneráveis verificadas que estão ativas nos recursos de tempo de execução aplicáveis. No entanto, o serviço de detecção se comporta de maneira diferente, dependendo de quando você ativou o Security Command Center e a API Container Scanning.

Desativar descobertas da avaliação de vulnerabilidades do Artifact Registry

Para desativar as descobertas da avaliação de vulnerabilidades do Artifact Registry, faça o seguinte:

1. No console Google Cloud , acesse a página Detalhes da API/serviço da API Container Scanning.

   Acessar Detalhes da API/serviço

2. Selecione o projeto em que você quer desativar a API Container Scanning.

3. Clique em Desativar API.

O Security Command Center não vai mostrar descobertas de vulnerabilidades detectadas em futuras varreduras de imagens de contêiner. O Security Command Center retém as descobertas de avaliação de vulnerabilidade do Artifact Registry por pelo menos 35 dias após a última verificação de imagem de contêiner realizada. Para mais informações sobre a retenção de dados do Security Command Center, consulte Retenção de dados.

Também é possível desativar a avaliação de vulnerabilidades do Artifact Registry desativando o ID da fonte de avaliação de vulnerabilidades nas configurações do Security Command Center. No entanto, não recomendamos isso. Desativar o ID da fonte da Avaliação de vulnerabilidades desativa todos os serviços de detecção classificados com esse ID. Portanto, recomendamos desativar a API Container Scanning com o procedimento anterior.

Ver descobertas da avaliação de vulnerabilidade do Artifact Registry no console

1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

   Acesse Descobertas

2. Selecione o projeto Google Cloud ou a organização.
3. Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Avaliação de vulnerabilidades. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
4. Para ver os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
5. Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que você pode seguir para corrigir a descoberta.
6. Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.

Painel de postura de segurança do GKE

O painel de postura de segurança do GKE é uma página no consoleGoogle Cloud que oferece descobertas opinativas e úteis sobre possíveis problemas de segurança nos seus clusters do GKE.

Se você ativar algum dos seguintes recursos do painel de postura de segurança do GKE, as descobertas vão aparecer no nível Standard ou Premium do Security Command Center:

Os resultados mostram informações sobre o problema de segurança e oferecem recomendações para resolvê-los nas cargas de trabalho ou nos clusters.

Ver descobertas do painel de postura de segurança do GKE no console

Recomendador IAM

O recomendador do IAM gera recomendações que você pode seguir para melhorar a segurança removendo ou substituindo papéis do IAM de principais quando os papéis contiverem permissões do IAM de que o principal não precisa.

O recomendador do IAM é ativado automaticamente quando você ativa o Security Command Center.

Ativar ou desativar as descobertas do recomendador do IAM

Para ativar ou desativar as descobertas do recomendador do IAM no Security Command Center, siga estas etapas:

1. Acesse a guia Serviços integrados da página Configurações do Security Command Center no console Google Cloud :

   Acessar serviços integrados

2. Acesse a entrada do recomendador do IAM.

3. À direita da entrada, selecione Ativar ou Desativar.

As descobertas do recomendador do IAM são classificadas como vulnerabilidades.

Para corrigir uma descoberta do recomendador do IAM, expanda a seção a seguir para ver uma tabela das descobertas do recomendador do IAM. As etapas de correção para cada descoberta estão incluídas na entrada da tabela.

Conferir descobertas do recomendador do IAM no console

Selecione a guia específica do seu nível de serviço.

No nível Premier, também é possível conferir as descobertas do recomendador do IAM na página Vulnerabilidades ao selecionar a predefinição de consulta Recomendador do IAM.

Gerenciamento de superfície de ataque da Mandiant

A Mandiant é líder mundial em inteligência contra ameaças de linha de frente. O Gerenciamento da superfície de ataque da Mandiant identifica vulnerabilidades e configurações incorretas nas superfícies de ataque externas para ajudar você a se manter atualizado contra os ataques cibernéticos mais recentes.

O Mandiant Attack Surface Management é ativado automaticamente quando você ativa o nível Security Command Center Enterprise e as descobertas estão disponíveis no console Google Cloud .

Para saber como o produto independente Mandiant Attack Surface Management difere da integração dele no Security Command Center, consulte ASM e Security Command Center no portal de documentação da Mandiant. Esse link requer autenticação da Mandiant.

Analisar as descobertas do Mandiant Attack Surface Management no console

Nem o Security Command Center nem o Mandiant Attack Surface Management marcam descobertas como resolvidas. Depois de resolver um problema, você pode marcá-lo manualmente como resolvido. Se ela não for identificada na próxima verificação do Mandiant Attack Surface Management, vai continuar resolvida.

Model Armor

O Model Armor é um serviço Google Cloud totalmente gerenciado que aumenta a segurança dos aplicativos de IA ao analisar comandos e respostas de LLMs.

Descobertas de vulnerabilidades do serviço Model Armor

Policy Controller

O Policy Controller permite a aplicação de políticas programáveis aos clusters do Kubernetes. Essas políticas funcionam como proteções e podem ajudar nas práticas recomendadas, na segurança e no gerenciamento de conformidade dos clusters e frotas.

Se você instalar o Policy Controller e ativar qualquer um dos pacotes do Policy Controller, o Policy Controller vai gravar automaticamente violações de cluster no Security Command Center como descobertas da classe Misconfiguration. A descrição e as próximas etapas nas descobertas do Security Command Center são as mesmas que a descrição da restrição e as etapas de correção do pacote correspondente do Policy Controller.

As descobertas do Policy Controller vêm dos seguintes pacotes:

• Comparativo de mercado CIS do Kubernetes v.1.5.1, um conjunto de recomendações para configurar o Kubernetes e oferecer suporte a uma postura de segurança forte. Também é possível ver informações sobre esse pacote no repositório do GitHub para cis-k8s-v1.5.1.
• PCI-DSS v3.2.1, um pacote que avalia a conformidade dos recursos do cluster em relação a alguns aspectos do Padrão de segurança de dados do setor de cartões de pagamento (PCI DSS) v3.2.1. Também é possível ver informações sobre esse pacote no repositório do GitHub para pci-dss-v3.

Para encontrar e corrigir as descobertas do Policy Controller, consulte Como corrigir as descobertas do Policy Controller.

Mecanismo de risco

O mecanismo de risco do Security Command Center avalia a exposição ao risco das suas implantações na nuvem, atribui pontuações de exposição a ataques às descobertas de vulnerabilidade e aos seus recursos de alto valor, além de diagramar caminhos que um possível invasor pode seguir para alcançar seus recursos de alto valor.

No nível Enterprise do Security Command Center, o Risk Engine detecta grupos de problemas de segurança que, quando ocorrem juntos em um padrão específico, criam um caminho para um ou mais recursos de alto valor que um invasor determinado pode usar para alcançar e comprometer esses recursos.

Quando o Risk Engine detecta uma dessas combinações, ele gera uma descoberta da classe TOXIC_COMBINATION. Na descoberta, o Risk Engine é listado como a origem.

O Risk Engine também identifica recursos ou grupos de recursos comuns em que vários caminhos de ataque convergem e gera uma descoberta de classe CHOKEPOINT.

Para mais informações, consulte Visão geral de combinações ruins e pontos de estrangulamento.

Security Health Analytics

O Security Health Analytics é um serviço de detecção integrado do Security Command Center que oferece verificações gerenciadas dos seus recursos de nuvem para detectar configurações incorretas comuns.

Quando uma configuração incorreta é detectada, o Security Health Analytics gera uma descoberta. A maioria das descobertas do Security Health Analytics é mapeada para controles de padrões de segurança para que você possa avaliar a conformidade.

O Security Health Analytics verifica seus recursos em Google Cloud. Se você estiver usando o nível Enterprise e estabelecer conexões com outras plataformas de nuvem, o Security Health Analytics também poderá verificar seus recursos nessas plataformas.

Dependendo do nível de serviço do Security Command Center que você está usando, os detectores disponíveis são diferentes:

• No nível Standard, a Análise de integridade da segurança inclui apenas um grupo básico de detectores de vulnerabilidade de média e alta gravidade.
• O nível Premium inclui todos os detectores de vulnerabilidade para Google Cloud.
• O nível Enterprise inclui detectores adicionais para outras plataformas de nuvem.

O Security Health Analytics é ativado automaticamente quando você ativa o Security Command Center.

Veja mais informações em:

• Visão geral do Security Health Analytics
• Como usar o Security Health Analytics
• Como corrigir as descobertas da análise de integridade de segurança
• Referência das descobertas do Security Health Analytics

Serviço de postura de segurança

O serviço de postura de segurança é um serviço integrado do nível Premium do Security Command Center que permite definir, avaliar e monitorar o status geral da segurança no Google Cloud. Ele fornece informações sobre como seu ambiente se alinha às políticas definidas na sua postura de segurança.

O serviço de postura de segurança não está relacionado ao painel de postura de segurança do GKE, que mostra apenas descobertas em clusters do GKE.

Proteção de dados sensíveis

A proteção de dados sensíveis é um serviço Google Cloud totalmente gerenciado que ajuda você a descobrir, classificar e proteger seus dados sensíveis. É possível usar a proteção de dados confidenciais para determinar se você está armazenando informações confidenciais ou de identificação pessoal (PII), como estas:

• Nomes pessoais
• Números de cartões de crédito
• Números de identificação nacionais ou estaduais
• Números de identificação de seguro de saúde
• Secrets

Na Proteção de dados confidenciais, cada tipo de dados confidenciais que você pesquisa é chamado de infoType.

Se você configurar a operação de proteção de dados sensíveis para enviar resultados ao Security Command Center, poderá acessar as descobertas diretamente na seção Security Command Center do console Google Cloud , além da seção de Proteção de dados sensíveis.

Descobertas de vulnerabilidades do serviço de descoberta da proteção de dados confidenciais

O serviço de descoberta da Proteção de Dados Sensíveis ajuda a determinar se você está armazenando dados altamente sensíveis que não estão protegidos.

Descobertas de configuração incorreta do serviço de descoberta da proteção de dados sensíveis

O serviço de descoberta da Proteção de Dados Sensíveis ajuda a determinar se você tem configurações incorretas que podem expor dados sensíveis.

Descobertas de observação da proteção de dados confidenciais

Nesta seção, descrevemos as descobertas de observação geradas pela proteção de dados confidenciais no Security Command Center.

Descobertas de observação do serviço de descoberta

O serviço de descoberta da proteção de dados sensíveis ajuda a determinar se os dados contêm infoTypes específicos e onde eles residem na sua organização, pastas e projetos. Ele gera as seguintes categorias de descoberta de observação no Security Command Center:

Data sensitivity

Uma indicação do nível de sensibilidade dos dados em um recurso de dados específico. Os dados são confidenciais quando contêm PII ou outros elementos que podem exigir mais controle ou gerenciamento. A gravidade da descoberta é o nível de confidencialidade calculado pela proteção de dados confidenciais ao gerar o perfil de dados.

Data risk

Risco associado aos dados no estado atual. Ao calcular o risco de dados, a proteção de dados sensíveis considera o nível de sensibilidade dos dados no recurso de dados e a presença de controles de acesso para proteger esses dados. A gravidade da descoberta é o nível de risco de dados que a Proteção de dados sensíveis calculou ao gerar o perfil de dados.

Dependendo do tamanho da sua organização, as descobertas da Proteção de Dados Sensíveis podem começar a aparecer no Security Command Center alguns minutos depois que você ativa a descoberta de dados sensíveis. Para organizações maiores ou com configurações específicas que afetam a geração de descobertas, pode levar até 12 horas para que as descobertas iniciais apareçam no Security Command Center.

Em seguida, a Proteção de Dados Sensíveis gera descobertas no Security Command Center alguns minutos após o serviço de descoberta verificar seus recursos.

Para informações sobre como enviar resultados de perfil de dados para o Security Command Center, consulte o seguinte:

• Para o Security Command Center Enterprise: Ative a descoberta de dados sensíveis.
• Para o Security Command Center Premium ou Standard: Publicar perfis de dados no Security Command Center.

Descobertas de observação do serviço de inspeção de proteção de dados confidenciais

Um job de inspeção da proteção de dados sensíveis identifica cada instância de dados de um infoType específico em um sistema de armazenamento, como um bucket do Cloud Storage ou uma tabela do BigQuery. Por exemplo, é possível executar um job de inspeção que procure todas as strings que correspondem ao detector de infoType CREDIT_CARD_NUMBER em um bucket do Cloud Storage.

Para cada detector de infoType que tem uma ou mais correspondências, a proteção de dados confidenciais gera uma descoberta correspondente do Security Command Center. A categoria de descoberta é o nome do detector de infoType que teve uma correspondência, por exemplo, Credit card number. A descoberta inclui o número de strings correspondentes que foram detectadas no texto ou nas imagens do recurso.

Por motivos de segurança, as strings reais detectadas não são incluídas na descoberta. Por exemplo, uma descoberta de Credit card number mostra quantos números de cartão de crédito foram encontrados, mas não os reais.

Como há mais de 150 detectores de infoType integrados na proteção de dados sensíveis, todas as categorias de descoberta possíveis do Security Command Center não estão listadas aqui. Para uma lista completa de detectores de infoType, consulte Referência de detectores de infoType.

Para informações sobre como enviar os resultados de um job de inspeção para o Security Command Center, consulte Enviar os resultados do job de inspeção de proteção de dados confidenciais para o Security Command Center.

Analise as descobertas da proteção de dados confidenciais no console

VM Manager

O VM Manager é um conjunto de ferramentas que podem ser usadas para gerenciar sistemas operacionais para grandes frotas de máquinas virtuais (VMs) que executam o Windows e o Linux no Compute Engine.

Para usar o VM Manager com ativações em nível de projeto do Security Command Center Premium, ative o Security Command Center Standard na organização pai.

Se você ativar o VM Manager com o nível Premium do Security Command Center, o VM Manager gravará automaticamente as descobertas de high e critical dos relatórios de vulnerabilidade, que estão em pré-lançamento no Security Command Center. Os relatórios identificam vulnerabilidades nos sistemas operacionais (SO) instalados em VMs, incluindo Vulnerabilidades e exposições comuns (CVEs, na sigla em inglês).

Os relatórios de vulnerabilidades não estão disponíveis para o Security Command Center Standard.

As descobertas simplificam o processo de uso do recurso Conformidade com o patch do VM Manager, que está em fase de pré-lançamento. O recurso permite realizar o gerenciamento de patches no nível da organização em todos os projetos. O VM Manager é compatível com o gerenciamento de patches no nível do projeto único.

Para corrigir as descobertas do VM Manager, consulte Como corrigir as descobertas do VM Manager.

Para impedir que os relatórios de vulnerabilidade sejam gravados no Security Command Center, consulte Desativar descobertas do VM Manager.

Todas as vulnerabilidades desse tipo estão relacionadas aos pacotes de sistema operacional instalados nas VMs do Compute Engine compatíveis.

Avaliação de vulnerabilidades da AWS

O serviço de avaliação de vulnerabilidades para Amazon Web Services (AWS) detecta vulnerabilidades de software nas suas cargas de trabalho em execução em máquinas virtuais (VMs) do EC2 na plataforma de nuvem da AWS.

Para cada vulnerabilidade detectada, a Vulnerability Assessment para AWS gera uma descoberta de classe Vulnerability na categoria Software vulnerability no Security Command Center.

O serviço de avaliação de vulnerabilidades da AWS verifica snapshots das instâncias de máquina do EC2 em execução, para que as cargas de trabalho de produção não sejam afetadas. Esse método de verificação é chamado de verificação de disco sem agente porque nenhum agente é instalado nos destinos da verificação.

Para ver mais informações, consulte os seguintes tópicos:

• Visão geral da avaliação de vulnerabilidades da AWS
• Ativar e usar a avaliação de vulnerabilidades da AWS

Avaliação de vulnerabilidades para Google Cloud

A avaliação de vulnerabilidades para o serviço Google Cloud detecta vulnerabilidades de software nos seguintes recursos na plataforma Google Cloud :

• Execução de instâncias de VM do Compute Engine
• Nós em clusters do GKE Standard
• Contêineres em execução em clusters do GKE Standard e do GKE Autopilot

Para cada vulnerabilidade detectada, a verificação de vulnerabilidades para Google Cloud gera uma descoberta de classe Vulnerability na categoria de descoberta Software vulnerability ou OS vulnerability no Security Command Center.

A Avaliação de vulnerabilidades para o serviço Google Cloud verifica suas instâncias de VM do Compute Engine clonando os discos delas aproximadamente a cada 12 horas, montando-os em uma instância de VM segura e avaliando-os com o scanner SCALIBR.

Para mais informações, consulte Vulnerability Assessment para Google Cloud.

Web Security Scanner

O Web Security Scanner fornece verificação de vulnerabilidade da Web gerenciada e personalizada para aplicativos da Web públicos do App Engine, GKE e do Compute Engine.

Verificações gerenciadas

As verificações gerenciadas do Web Security Scanner são configuradas e gerenciadas pelo Security Command Center. As verificações gerenciadas são executadas automaticamente uma vez por semana para detectar e verificar os endpoints da Web públicos. Essas verificações não usam autenticação e enviam solicitações somente GET para que não enviem formulários em sites ativos.

As verificações gerenciadas são executadas separadamente das verificações personalizadas.

Se o Security Command Center estiver ativado no nível da organização, é possível usar verificações gerenciadas para gerenciar de maneira centralizada a detecção de vulnerabilidades de aplicativos da Web básicos em projetos da organização, sem precisar envolver equipes de projeto individuais. Quando as descobertas são descobertas, trabalhe com essas equipes para configurar verificações personalizadas mais abrangentes.

Quando você ativa o Web Security Scanner como um serviço, as descobertas da verificação gerenciada são disponibilizadas automaticamente na guia vulnerabilidades do Security Command Center e nos relatórios relacionados. Para saber como ativar as verificações gerenciadas do Web Security Scanner, consulte Configurar serviços do Security Command Center.

As verificações gerenciadas só são compatíveis com aplicativos que usam a porta padrão, que é 80 para conexões HTTP e 443 para conexões HTTPS. Se o aplicativo usar uma porta não padrão, faça uma verificação personalizada.

Verificações personalizadas

As verificações personalizadas do Web Security Scanner fornecem informações detalhadas sobre descobertas de vulnerabilidades de aplicativos, como bibliotecas desatualizadas, scripts entre sites ou uso de conteúdo misto.

As verificações personalizadas são definidas no nível do projeto.

As descobertas da verificação personalizada estão disponíveis no Security Command Center depois de concluir o guia para configurar verificações personalizadas do Web Security Scanner.

Detectores e compliance

O Web Security Scanner é compatível com categorias do OWASP Top 10, um documento que classifica e fornece orientações de correção para os 10 riscos mais críticos de segurança de aplicativos da Web, conforme determinado pelos Open Web Application Security Project (OWASP). Para orientações sobre como reduzir os riscos do OWASP, consulte As 10 principais opções de mitigação do OWASP no Google Cloud.

O mapeamento de conformidade está incluído para referência e não é fornecido ou revisado pela OWASP Foundation.

Essa funcionalidade destina-se apenas ao monitoramento de violações de controles de conformidade. Os mapeamentos não são fornecidos para uso como base ou como substitutos para a auditoria, certificação ou relatório de conformidade dos produtos ou serviços com comparativos de mercado ou padrões regulatórios ou do setor.

Para mais informações, consulte Visão geral do Web Security Scanner.

Notebook Security Scanner

O Notebook Security Scanner é um serviço integrado de detecção de vulnerabilidades de pacotes do Security Command Center. Depois que o Notebook Security Scanner é ativado, ele verifica automaticamente os notebooks do Colab Enterprise (arquivos com a extensão ipynb) a cada 24 horas para detectar vulnerabilidades em pacotes do Python e publica essas descobertas na página Descobertas do Security Command Center.

Você pode usar o Notebook Security Scanner para notebooks do Colab Enterprise criados nas seguintes regiões: us-central1, us-east4, us-west1 e europe-west4.

Para começar a usar o Notebook Security Scanner, consulte Ativar e usar o Notebook Security Scanner.

Serviços de detecção de ameaças

Os serviços de detecção de ameaças incluem serviços integrados e integrados que detectam eventos que podem indicar eventos potencialmente nocivos, como recursos comprometidos ou ataques cibernéticos.

Detecção de anomalias

A detecção de anomalias é um serviço integrado que usa sinais de comportamento fora do seu sistema. Ela exibe informações granulares sobre anomalias de segurança detectadas nos seus projetos e instâncias de máquina virtual (VM), como possíveis credenciais vazadas. A detecção de anomalias é ativada automaticamente quando você ativa o nível Standard ou Premium do Security Command Center, e as descobertas estão disponíveis no console Google Cloud .

As descobertas da detecção de anomalias incluem:

A conta vazou credenciais

O GitHub notificou o Security Command Center de que as credenciais usadas para uma confirmação parecem ser as credenciais de uma conta de serviço doGoogle Cloud Identity and Access Management.

A notificação inclui o nome da conta de serviço e o identificador da chave privada.O Google Cloud também envia uma notificação por e-mail ao contato designado para questões de segurança e privacidade.

Para corrigir esse problema, escolha uma ou mais das seguintes opções:

• Identifique o usuário legítimo da chave.
• Gire a chave.
• Remova a chave.
• Investigue as ações realizadas pela chave depois que ela foi vazada para garantir que nenhuma foi mal-intencionada.

{
  "findings": {
    "access": {},
    "assetDisplayName": "PROJECT_NAME",
    "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID",
    "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "category": "account_has_leaked_credentials",
    "contacts": {
      "security": {
        "contacts": [
          {
            "email": "EMAIL_ADDRESS"
          }
        ]
      }
    },
    "createTime": "2022-08-05T20:59:41.022Z",
    "database": {},
    "eventTime": "2022-08-05T20:59:40Z",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat",
    "indicator": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID",
    "parentDisplayName": "Cloud Anomaly Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "severity": "CRITICAL",
    "sourceDisplayName": "Cloud Anomaly Detection",
    "state": "ACTIVE",
    "vulnerability": {},
    "workflowState": "NEW"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "display_name": "PROJECT_NAME",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "project_display_name": "PROJECT_NAME",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": []
  },
  "sourceProperties": {
    "project_identifier": "PROJECT_ID",
    "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
    "finding_type": "Potential compromise of a resource in your organization.",
    "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.",
    "action_taken": "Notification sent",
    "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID",
    "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json"
  }
}
    

Container Threat Detection

O Container Threat Detection pode detectar os ataques mais comuns do ambiente de execução de contêiner e alertar você no Security Command Center e, opcionalmente, no Cloud Logging. O Container Threat Detection inclui vários recursos de detecção, uma ferramenta de análise e uma API.

A instrumentação de detecção do Container Threat Detection coleta comportamentos de baixo nível no kernel convidado e executa o processamento de linguagem natural em códigos para detectar os seguintes eventos:

• Added Binary Executed
• Added Library Loaded
• Command and Control: Steganography Tool Detected (Pré-lançamento)
• Credential Access: Find Google Cloud Credentials
• Credential Access: GPG Key Reconnaissance
• Credential Access: Search Private Keys or Passwords
• Defense Evasion: Base64 ELF File Command Line
• Defense Evasion: Base64 Encoded Python Script Executed
• Defense Evasion: Base64 Encoded Shell Script Executed
• Defense Evasion: Launch Code Compiler Tool In Container (Pré-lançamento)
• Execution: Added Malicious Binary Executed
• Execution: Added Malicious Library Loaded
• Execution: Built in Malicious Binary Executed
• Execution: Container Escape
• Execution: Fileless Execution in /memfd:
• Execution: Ingress Nightmare Vulnerability Execution (Pré-lançamento)
• Execution: Kubernetes Attack Tool Execution
• Execution: Local Reconnaissance Tool Execution
• Execution: Malicious Python executed
• Execution: Modified Malicious Binary Executed
• Execution: Modified Malicious Library Loaded
• Execution: Netcat Remote Code Execution In Container
• Execution: Possible Remote Command Execution Detected (Pré-lançamento)
• Execution: Program Run with Disallowed HTTP Proxy Env
• Execution: Suspicious OpenSSL Shared Object Loaded
• Exfiltration: Launch Remote File Copy Tools in Container
• Impact: Detect Malicious Cmdlines (Pré-lançamento)
• Impact: Remove Bulk Data From Disk
• Impact: Suspicious crypto mining activity using the Stratum Protocol
• Malicious Script Executed
• Malicious URL Observed
• Privilege Escalation: Fileless Execution in /dev/shm
• Reverse Shell
• Unexpected Child Shell

Saiba mais sobre o Container Threat Detection.

Event Threat Detection

O Event Threat Detection usa dados de registro dentro dos seus sistemas. Ela observa o fluxo do Cloud Logging para projetos e consome registros à medida que eles são disponibilizados. Quando uma ameaça é detectada, o Event Threat Detection grava uma descoberta no Security Command Center e em um projeto do Cloud Logging. O Event Threat Detection é ativado automaticamente quando você ativa o nível Premium do Security Command Center e as descobertas estão disponíveis no Google Cloud console.

A tabela a seguir lista exemplos de descobertas do Event Threat Detection.

Saiba mais sobre o Event Threat Detection.

Google Cloud Armor

O Google Cloud Armor ajuda a proteger seu aplicativo fornecendo filtragem da camada 7. O Google Cloud Armor limpa solicitações recebidas para ataques comuns da Web ou outros atributos da Camada 7 para bloquear o tráfego antes que ele alcance os serviços ou buckets de back-end com balanceamento de carga.

O Google Cloud Armor exporta duas descobertas para o Security Command Center:

• Pico de tráfego permitido

• Aumento da taxa de negação

Detecção de ameaças a máquinas virtuais

A Detecção de ameaças a máquinas virtuais é um serviço integrado do Security Command Center disponível nos níveis Enterprise e Premium. Esse serviço verifica máquinas virtuais para detectar aplicativos potencialmente maliciosos, como software de mineração de criptomoedas, rootkits no modo kernel e malware em execução em ambientes de nuvem comprometidos.

A VM Threat Detection faz parte do pacote de detecção de ameaças do Security Command Center e foi projetada para complementar os recursos atuais do Event Threat Detection e do Container Threat Detection.

Para mais informações sobre a VM Threat Detection, consulte Visão geral da VM Threat Detection.

Descobertas de ameaças da VM Threat Detection

A VM Threat Detection pode gerar as seguintes ameaças.

Descobertas de ameaças de mineração de criptomoedas

A detecção de ameaças da VM detecta as seguintes categorias de descoberta usando correspondência de hash ou regras YARA.

Descobertas de ameaças do rootkit no modo kernel

A VM Threat Detection analisa a integridade do kernel no ambiente de execução para detectar técnicas comuns de evasão usadas por malware.

O módulo KERNEL_MEMORY_TAMPERING detecta ameaças fazendo uma comparação de hash no código e na memória de dados somente leitura do kernel de uma máquina virtual.

O módulo KERNEL_INTEGRITY_TAMPERING detecta ameaças verificando a integridade de estruturas de dados importantes do kernel.

Erros

Os detectores de erro ajudam a detectar erros na configuração que impedem as fontes de segurança de gerar descobertas. As descobertas de erro são geradas pela fonte de segurança Security Command Center e têm a classe de descoberta SCC errors.

Ações acidentais

As seguintes categorias de descoberta representam erros que podem ser causados por ações não intencionais.

Para saber mais, consulte Erros do Security Command Center.

A seguir

• Saiba mais sobre o Security Command Center na visão geral do Security Command Center.
• Saiba como adicionar novas fontes de segurança ao configurar os serviços do Security Command Center.