检测服务

本页面列出了 Security Command Center 用于检测云环境中的安全问题的检测服务（有时也称为安全来源）。

当这些服务检测到问题时，会生成发现结果，这是一种记录，用于识别安全问题，并为您提供确定问题优先级和解决问题所需的信息。

您可以在 Google Cloud 控制台中查看发现结果，并以多种不同的方式过滤它们，例如按发现结果类型、资源类型或特定资产进行过滤。每个安全来源都可能提供更多过滤条件，以帮助您整理发现结果。

Security Command Center 的 IAM 角色可以在组织、文件夹或项目级层授予。您能否查看、修改、创建或更新发现结果、资产和安全来源，取决于您获授予的访问权限级别。如需详细了解 Security Command Center 角色，请参阅访问权限控制。

漏洞检测服务

漏洞检测服务包括内置服务和集成服务，可检测云环境中的软件漏洞、配置错误和状态违规行为。这些类型的安全问题统称为漏洞。

GKE 安全状况信息中心

GKE 安全状况信息中心是 Google Cloud 控制台中的一个页面，可为您提供有关 GKE 集群中潜在安全问题的有见地且切实可行的发现。

如果您启用了以下任何 GKE 安全状况信息中心功能，则会在 Security Command Center 标准层级或高级层级中看到相应发现结果：

这些发现会显示有关安全问题的信息，并提供有关如何解决工作负载或集群中问题的建议。

在控制台中查看 GKE 安全状况信息中心的发现结果

IAM Recommender

当 IAM 角色包含主账号不需要的 IAM 权限时，IAM Recommender 会提供一些建议，您可以遵循这些建议，通过移除或替换主账号中的 IAM 角色来提高安全性。

激活 Security Command Center 后，IAM 建议工具会自动启用。

启用或停用 IAM 建议工具的发现结果

如需在 Security Command Center 中启用或停用 IAM Recommender 发现结果，请按照以下步骤操作：

1. 在 Google Cloud 控制台中，进入 Security Command Center 设置页面的集成服务标签页：

   转到“设置”

2. 如有必要，请向下滚动到 IAM Recommender 条目。

3. 在相应条目的右侧，选择启用或停用。

IAM Recommender 的发现结果归类为漏洞。

如需修复 IAM Recommender 的发现结果，请展开下面的部分以查看 IAM Recommender 发现结果表。每个发现结果的修复步骤包含在表条目中。

在控制台中查看 IAM 建议工具的发现结果

在 Google Cloud 控制台中，您还可以选择 IAM 建议工具查询预设，在漏洞页面上查看 IAM 建议工具的发现结果。

Mandiant Attack Surface Management

Mandiant 是全球领先的一线威胁情报提供商。Mandiant Attack Surface Management 可识别外部攻击面中的漏洞和配置错误，帮助您及时防范最新的网络攻击。

激活 Security Command Center Enterprise 层级后，系统会自动启用 Mandiant Attack Surface Management，您可以在 Google Cloud 控制台中获取发现结果。

如需了解独立的 Mandiant Attack Surface Management 产品与 Security Command Center 中的 Mandiant Attack Surface Management 集成有何不同，请参阅 Mandiant 文档门户中的 ASM 和 Security Command Center。此链接需要 Mandiant 身份验证。

在控制台中查看 Mandiant Attack Surface Management 的发现

Policy Controller

Policy Controller 支持为 Kubernetes 集群应用并强制执行可编程政策。这些政策充当安全措施，有助于实现集群和舰队的最佳实践、安全性和合规性管理。

如果您安装 Policy Controller，并且启用 CIS Kubernetes 基准 v1.5.1 和/或 PCI-DSS v3.2.1 Policy Controller 包，则 Policy Controller 会自动将集群违规行为作为 Misconfiguration 类发现结果写入 Security Command Center。Security Command Center 发现结果中的发现结果说明和后续步骤与相应 Policy Controller 软件包的限制条件说明和补救步骤相同。

Policy Controller 发现结果来自以下 Policy Controller 包：

• CIS Kubernetes 基准 v1.5.1：一组用于配置 Kubernetes 以支持可靠的安全状况的建议。您还可以在 cis-k8s-v1.5.1 的 GitHub 代码库中查看有关此包的信息。
• PCI-DSS v3.2.1：根据支付卡行业数据安全标准 (PCI-DSS) v3.2.1 的某些方面评估集群资源合规性的一个包。您还可以在 pci-dss-v3 的 GitHub 代码库中查看有关此包的信息。

如需查找和修复 Policy Controller 发现结果，请参阅修复 Policy Controller 发现结果。

风险引擎

Security Command Center 风险引擎会评估云部署的风险暴露情况，为漏洞发现结果和高价值资源分配攻击风险得分，并绘制潜在攻击者访问高价值资源时可能采取的路径。

在 Security Command Center 的企业版中，风险引擎会检测一组安全问题。如果这些问题以特定模式同时出现，就会形成通往您的一个或多个高价值资源的路径，而有决心的攻击者可能会利用这些路径来访问和破坏这些资源。

当风险引擎检测到其中一种组合时，会发出 TOXIC_COMBINATION 类发现结果。在相应发现结果中，风险引擎会被列为发现结果的来源。

如需了解详情，请参阅有毒组合概览。

Security Health Analytics

Security Health Analytics 是 Security Command Center 的一项内置检测服务，可对您的云资源进行管理式扫描，以检测常见的配置错误。

检测到配置错误时，Security Health Analytics 会发出相应发现结果。大多数 Security Health Analytics 发现结果都与安全标准控制项相关联，以便您评估合规性。

Security Health Analytics 会扫描您在 Google Cloud 上的资源。如果您使用的是企业版，并建立了与其他云平台的连接，Security Health Analytics 还可以扫描您在这些云平台上的资源。

可用的检测器因您使用的 Security Command Center 服务层级而异：

• 在标准层级中，Security Health Analytics 仅包含一组基本的中等和高严重级别漏洞检测器。
• 高级层级包含适用于 Google Cloud 的所有漏洞检测器。
• 企业层级包含适用于其他云平台的额外检测器。

激活 Security Command Center 后，系统会自动启用 Security Health Analytics。

如需了解详情，请参阅以下主题：

• Security Health Analytics 概览
• 如何使用 Security Health Analytics
• 修复发现的 Security Health Analytics 问题
• Security Health Analytics 发现结果参考

安全状况服务

安全状况服务是 Security Command Center 付费级别的一项内置服务，可让您定义、评估和监控 Google Cloud 中的整体安全状态。该报告会提供有关您的环境与您在安全状况中定义的政策的一致性的信息。

安全状况服务与 GKE 安全状况信息中心无关，后者仅显示 GKE 集群中的发现结果。

敏感数据保护

敏感数据保护是一项全代管式 Google Cloud 服务，可帮助您发现、分类和保护敏感数据。您可以使用敏感数据保护来确定您是否存储了敏感数据或个人身份信息 (PII)，例如以下信息：

• 用户姓名
• 信用卡号
• 全国或州级身份证号码
• 健康保险 ID 编号
• 密钥

在敏感数据保护中，您搜索的每种敏感数据类型称为 infoType。

如果您配置敏感数据保护操作以将结果发送到 Security Command Center，则除了“敏感数据保护”部分之外，您还可以直接在 Google Cloud 控制台的 Security Command Center 部分中查看发现结果。

敏感数据保护发现服务中的漏洞发现结果

Sensitive Data Protection 发现服务可帮助您确定是否存储了未受保护的高度敏感数据。

敏感数据保护中的观察发现结果

本部分介绍敏感数据保护在 Security Command Center 中生成的观察结果。

发现服务中的观察发现结果

敏感数据保护发现服务可帮助您确定您的数据是否包含特定的 infoType 以及它们在组织、文件夹和项目中的位置。它会在 Security Command Center 中生成以下观察结果类别：

Data sensitivity

表示特定数据资产中数据的敏感度级别。如果数据包含个人身份信息或其他可能需要额外控制或管理的元素，则属于敏感数据。发现结果的严重程度是生成数据剖析文件时敏感数据保护计算的敏感度级别。

Data risk

与当前状态下的数据关联的风险。在计算数据风险时，敏感数据保护功能会考虑数据资产中数据的敏感度级别以及是否存在用于保护这些数据的访问权限控制。发现结果的严重程度是生成数据剖析文件时敏感数据保护计算的数据风险级别。

从敏感数据保护生成数据分析文件之时起，相关发现结果最长可能需要 6 小时才能显示在 Security Command Center 中。

如需了解如何将数据剖析文件结果发送到 Security Command Center，请参阅以下内容：

• 对于 Security Command Center Enterprise：启用敏感数据发现。
• 对于 Security Command Center 专业版或标准版：将数据分析文件发布到 Security Command Center。

敏感数据保护检查服务中的观察发现结果

敏感数据保护检查作业可识别存储系统（如 Cloud Storage 存储桶或 BigQuery 表）中特定 infoType 的每个数据实例。例如，您可以运行检查作业，以搜索与 Cloud Storage 存储桶中的 CREDIT_CARD_NUMBER infoType 检测器匹配的所有字符串。

对于具有一个或多个匹配项的每个 infoType 检测器，敏感数据保护会生成相应的 Security Command Center 发现结果。发现结果类别是具有匹配项的 infoType 检测器的名称，例如 Credit card number。该发现结果包含在资源的文本或图片中检测到的匹配字符串的数量。

出于安全原因，发现结果中不包含检测到的实际字符串。例如，Credit card number 发现结果会显示找到的信用卡号数量，但不会显示实际的信用卡号。

由于敏感数据保护中有超过 150 个内置 infoType 检测器，因此此处未列出所有可能的 Security Command Center 发现结果类别。如需查看 infoType 检测器的完整列表，请参阅 InfoType 检测器参考文档。

如需了解如何将检查作业的结果发送到 Security Command Center，请参阅将敏感数据保护检查作业结果发送到 Security Command Center。

在控制台中查看敏感数据保护发现结果

虚拟机管理器

虚拟机管理器是一套工具，可用于管理在 Compute Engine 上运行 Windows 和 Linux 的大型虚拟机舰队的操作系统。

如需将虚拟机管理器与 Security Command Center 付费方案的项目级激活搭配使用，请在父级组织中激活 Security Command Center 标准方案。

如果您通过 Security Command Center 付费方案层级启用虚拟机管理器，则虚拟机管理器会自动将其漏洞报告（预览版）中的 high 和 critical 发现结果写入 Security Command Center。这些报告可识别虚拟机上安装的操作系统 (OS) 中的漏洞，包括常见漏洞和披露 (CVE)。

Security Command Center 标准方案不提供漏洞报告。

发现结果可以简化使用虚拟机管理器的补丁程序合规性功能（预览版）的过程。通过此功能，您可以在组织级层为所有项目执行补丁程序管理。虚拟机管理器支持单个项目级层的补丁管理。

如需修复虚拟机管理器发现结果，请参阅修复虚拟机管理器发现结果。

如需阻止将漏洞报告写入 Security Command Center，请参阅忽略 VM 管理器发现结果。

此类漏洞均与受支持的 Compute Engine 虚拟机中已安装的操作系统软件包相关。

AWS 漏洞评估

Amazon Web Services (AWS) 漏洞评估服务可检测在 AWS 云平台上 EC2 虚拟机 (VM) 上运行的工作负载中的软件漏洞。

对于每个检测到的漏洞，AWS 漏洞评估都会在 Security Command Center 的 Software vulnerability 发现结果类别中生成 Vulnerability 类发现结果。

AWS 漏洞评估服务会扫描正在运行的 EC2 机器实例的快照，因此生产工作负载不会受到影响。由于扫描目标中未安装任何代理，因此此扫描方法称为无代理磁盘扫描。

详情请参阅以下内容：

• AWS 漏洞评估概览
• 启用和使用 AWS 漏洞评估

Web Security Scanner

Web Security Scanner 为公共 App Engine、GKE 和 Compute Engine 服务的 Web 应用提供代管式和自定义的 Web 漏洞扫描。

代管式扫描

Web Security Scanner 代管式扫描由 Security Command Center 配置和管理。每周自动运行代管式扫描，以检测和扫描公共 Web 端点。这些扫描不使用身份验证，而是发送仅限 GET 的请求，因此他们无需在实际网站上提交任何表单。

代管式扫描与自定义扫描分开运行。

如果在组织级层激活 Security Command Center，您可以使用代管式扫描来集中管理组织中项目的基本 Web 应用漏洞检测，而不需要各个项目团队参与。发现结果后，您可以与这些团队合作，以设置更全面的自定义扫描。

启用 Web Security Scanner 作为服务后，Security Command Center 漏洞页面和相关报告会自动显示代管式扫描发现结果。如需了解如何启用 Web Security Scanner 代管式扫描，请参阅配置 Security Command Center 服务。

托管式扫描仅支持使用默认端口的应用，HTTP 连接的默认端口为 80，HTTPS 连接的默认端口为 443。如果您的应用使用非默认端口，请改为执行自定义扫描。

自定义扫描

Web Security Scanner 自定义扫描可提供有关应用漏洞发现结果的详细信息，例如过时的库、跨站脚本攻击或混合内容的使用。

您需要在项目级层定义自定义扫描。

完成设置 Web Security Scanner 自定义扫描的指南后，在 Security Command Center 中可获取自定义扫描发现结果。

检测器与合规性

Web Security Scanner 支持 OWASP 十大类别中的类别，该文档根据开 Web 应用安全项目 (OWASP) 对前 10 个最重要的 Web 应用安全风险进行排名并提供补救指南。如需查看如何缓解 OWASP 风险的指导信息，请参阅 Google Cloud 上的 OWASP 十大缓解选项。

合规性映射仅供参考，并非由 OWASP 基金会提供或审核。

此功能仅用于监控合规性控制的违规行为。您不应将提供的映射作为针对产品或服务的监管、行业基准或标准合规性的审计、认证或报告的基础或替代方案。

Web Security Scanner 自定义和代管式扫描可识别以下发现结果类型。在标准层级中，Web Security Scanner 支持对公共网址和 IP 不受防火墙保护的已部署应用进行自定义扫描。

威胁检测服务

威胁检测服务包括内置服务和集成服务，可检测可能表明潜在有害事件的事件，例如遭到入侵的资源或网络攻击。

异常值检测

异常检测是一项内置服务，使用了来自系统外部的行为信号。它会显示针对您的项目和虚拟机 (VM) 实例检测到的安全异常的详细信息，例如可能泄露的凭据。激活 Security Command Center 标准方案或付费方案层级后，系统会自动启用异常检测功能，您可以在 Google Cloud 控制台中获取发现结果。

异常值检测发现结果包括：

账号的凭据已泄露

GitHub 通知 Security Command Center 用于提交的凭据似乎是 Google Cloud Identity and Access Management 服务账号的凭据。

通知中包含服务账号名称和私钥标识符。Google Cloud 还会向您的安全和隐私指定联系人发送电子邮件通知。

要解决此问题，请采取以下一项或多项措施：

• 确定密钥的合法用户。
• 轮替密钥。
• 移除密钥。
• 调查密钥泄露后密钥执行的所有操作，确保所有操作均不是恶意的。

{
  "findings": {
    "access": {},
    "assetDisplayName": "PROJECT_NAME",
    "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID",
    "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "category": "account_has_leaked_credentials",
    "contacts": {
      "security": {
        "contacts": [
          {
            "email": "EMAIL_ADDRESS"
          }
        ]
      }
    },
    "createTime": "2022-08-05T20:59:41.022Z",
    "database": {},
    "eventTime": "2022-08-05T20:59:40Z",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat",
    "indicator": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID",
    "parentDisplayName": "Cloud Anomaly Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "severity": "CRITICAL",
    "sourceDisplayName": "Cloud Anomaly Detection",
    "state": "ACTIVE",
    "vulnerability": {},
    "workflowState": "NEW"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "display_name": "PROJECT_NAME",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "project_display_name": "PROJECT_NAME",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": []
  },
  "sourceProperties": {
    "project_identifier": "PROJECT_ID",
    "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
    "finding_type": "Potential compromise of a resource in your organization.",
    "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.",
    "action_taken": "Notification sent",
    "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID",
    "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json"
  }
}
    

Container Threat Detection

Container Threat Detection 可以检测最常见的容器运行时攻击，并在 Security Command Center 和 Cloud Logging（可选）中提醒您。Container Threat Detection 包括多个检测功能、一个分析工具和 API。

Container Threat Detection 检测插桩收集客机内核中的低级行为并对代码执行自然语言处理以检测以下事件：

• Added Binary Executed
• Added Library Loaded
• Execution: Added Malicious Binary Executed
• Execution: Added Malicious Library Loaded
• Execution: Built in Malicious Binary Executed
• Execution: Container Escape
• Execution: Kubernetes Attack Tool Execution
• Execution: Local Reconnaissance Tool Execution
• Execution: Malicious Python executed
• Execution: Modified Malicious Binary Executed
• Execution: Modified Malicious Library Loaded
• Malicious Script Executed
• Malicious URL Observed
• Reverse Shell
• Unexpected Child Shell

详细了解 Container Threat Detection。

Event Threat Detection

Event Threat Detection 使用来自系统内部的日志数据。它会监控项目的 Cloud Logging 流，并在日志可用时使用这些日志。检测到威胁时，Event Threat Detection 会将发现结果写入 Security Command Center 和 Cloud Logging 项目中。激活 Security Command Center 付费方案层级后，系统会自动启用 Event Threat Detection，您可以在 Google Cloud 控制台中获取发现结果。

下表列出了 Event Threat Detection 的发现结果示例。

详细了解 Event Threat Detection。

Google Cloud Armor

Google Cloud Armor 通过提供第 7 层过滤来帮助保护您的应用。Google Cloud Armor 会清除常见 Web 攻击或其他第 7 层属性的传入请求，以防止流量到达负载均衡后端服务或后端存储分区。

Google Cloud Armor 会将两个发现结果导出到 Security Command Center：

• 允许的流量高峰

• 拒绝率提高

虚拟机威胁检测

Virtual Machine Threat Detection 是 Security Command Center 的一项内置服务，在 Enterprise 和 Premium 层级提供。此服务会扫描 Compute Engine 实例，以检测在遭到破解的云环境中运行的潜在恶意应用，例如加密货币挖矿软件、内核模式 rootkit 和恶意软件。

VM Threat Detection 是 Security Command Center 威胁检测套件的一部分，旨在补充 Event Threat Detection 和 Container Threat Detection 的现有功能。

如需详细了解 VM Threat Detection，请参阅 VM Threat Detection 概览。

VM Threat Detection 威胁发现结果

VM Threat Detection 可以生成以下威胁发现结果。

加密货币挖矿威胁发现结果

VM Threat Detection 通过哈希匹配或 YARA 规则检测以下发现结果类别。

内核模式 rootkit 威胁发现结果

VM Threat Detection 会在运行时分析内核完整性，以检测恶意软件使用的常见规避技术。

KERNEL_MEMORY_TAMPERING 模块通过对虚拟机的内核代码和内核只读数据内存进行哈希比较来检测威胁。

KERNEL_INTEGRITY_TAMPERING 模块通过检查重要内核数据结构的完整性来检测威胁。

错误

错误检测器可帮助您检测配置中的错误，从而防止安全来源生成发现结果。错误发现结果由 Security Command Center 安全来源生成，且具有发现结果类 SCC errors。

意外操作

以下发现结果类别表示可能由意外操作导致的错误。

如需了解详情，请参阅 Security Command Center 错误。

后续步骤

• 参阅 Security Command Center 概览，了解 Security Command Center 以及用例示例。
• 了解如何通过配置 Security Command Center 服务添加新的安全来源。