Hallazgos de vulnerabilidades

Los detectores de Security Health Analytics y Web Security Scanner generan hallazgos de vulnerabilidades que están disponibles en Security Command Center. Cuando se habilitan en Security Command Center, servicios integrados, como VM Manager, también generan de los resultados de búsqueda.

Tu capacidad para ver y editar resultados está determinada por el Roles y permisos de Identity and Access Management (IAM) que se te asignan. Para ver más sobre los roles de IAM en Security Command Center, consulta Control de acceso.

Detectores y cumplimiento

Security Command Center el cumplimiento con detectores asignados a los controles de una amplia varios estándares de seguridad.

Para cada estándar de seguridad admitido, Security Command Center verifica un subconjunto de los controles. En el caso de los controles marcados, Security Command Center te muestra cuántos están aprobados. Para el que no se aprueban, Security Command Center te muestra una lista de los hallazgos y describir las fallas de control.

CIS revisa y certifica las asignaciones de Security Command Center detectores a cada nodo compatible de la comparativa de CIS para Google Cloud Foundations. Cumplimiento adicional las asignaciones se incluyen solo como referencia.

Security Command Center agrega compatibilidad periódicamente con nuevos estándares y versiones de comparativas. Más antigua siguen siendo compatibles, pero con el tiempo quedan obsoletos. Te recomendamos que uses las comparativas o los estándares más recientes disponibles.

Con la servicio de postura de seguridad puedes asignar las políticas de la organización y los detectores de Security Health Analytics a los estándares y controles que se aplican a tu empresa. Luego de crear una postura de seguridad, puedes supervisar sobre cualquier cambio en el entorno que pueda afectar el cumplimiento de la empresa.

Para obtener más información sobre la administración del cumplimiento, consulta Evalúe el cumplimiento de las normas de seguridad y genere informes al respecto con los estándares necesarios.

Estándares de seguridad compatibles con Google Cloud

Security Command Center asigna detectores de Google Cloud a uno o más de los siguientes tipos de cumplimiento estándares:

Estándares de seguridad compatibles con AWS

Security Command Center asigna detectores de Amazon Web Services (AWS) a una o más de las siguientes instancias de cumplimiento estándares:

Para obtener instrucciones sobre cómo visualizar y exportar informes de cumplimiento, consulta el Cumplimiento en Usar Security Command Center en la consola de Google Cloud.

Cómo encontrar la desactivación después de la corrección

Luego de remediar un hallazgo de vulnerabilidad o configuración incorrecta, El servicio de Security Command Center que detectó el hallazgo establece automáticamente la el estado del hallazgo a INACTIVE la próxima vez que el servicio de detección busque el hallazgo. Cuánto tiempo tarda Security Command Center en establecer un hallazgo corregido en INACTIVE depende de la programación del análisis que detecta el hallazgo.

Los servicios de Security Command Center también establecen el estado de una vulnerabilidad o resultado de la configuración incorrecta a INACTIVE cuando un análisis detecta que el recurso que se vea afectado por el hallazgo.

Para obtener más información sobre los intervalos de análisis, consulta los siguientes temas:

Resultados de las estadísticas de estado de seguridad

Los detectores de estadísticas del estado de la seguridad supervisan un subconjunto de recursos de Cloud Asset Inventory (CAI) y reciben notificaciones de los cambios en las políticas de la administración de identidades y accesos (IAM). Algunos detectores recuperan datos mediante una llamada directa a las API de Google Cloud, como se indica en las tablas que aparecen más adelante en esta página.

Para obtener más información sobre Security Health Analytics, programas de análisis y el Compatibilidad de Security Health Analytics con detectores de módulos integrados y personalizados. consulta Descripción general de Security Health Analytics.

En las siguientes tablas, se describen los detectores de estadísticas del estado de la seguridad, los elementos y los estándares de cumplimiento que admiten, la configuración que usan para los análisis y los tipos de hallazgos que generan. Puedes filtrar los resultados por varios atributos en la página Vulnerabilidades de Security Command Center en la consola de Google Cloud.

Si necesitas instrucciones para solucionar problemas y proteger tus recursos, consulta Soluciona los resultados de Security Health Analytics.

Resultados de las vulnerabilidades de la clave de API

El detector API_KEY_SCANNER identifica vulnerabilidades relacionadas con las claves de API que se usan en tu implementación en la nube.

Detector Resumen Configuración de análisis de elementos
API key APIs unrestricted

Nombre de categoría en la API: API_KEY_APIS_UNRESTRICTED

Hallazgos de la descripción: Hay claves de API que se usan demasiado. Para resolver esto, limita el uso de la clave de API a fin de permitir solo las API que necesita la aplicación.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.12
  • CIS GCP Foundation 1.1: 1.14
  • CIS GCP Foundation 1.2: 1.14
  • CIS GCP Foundation 1.3: 1.14
  • CIS GCP Foundation 2.0: 1.14
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

Recupera la propiedad restrictions de todas las claves de API en un proyecto. Para ello, verifica si alguna está configurada en cloudapis.googleapis.com.

  • Análisis en tiempo real: No
API key apps unrestricted

Nombre de categoría en la API: API_KEY_APPS_UNRESTRICTED

Descripción del resultado: Hay claves de API que se usan sin restricciones y que permiten cualquier app que no sea de confianza.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.11
  • CIS GCP Foundation 1.1: 1.13
  • CIS GCP Foundation 1.2: 1.13
  • CIS GCP Foundation 1.3: 1.13
  • CIS GCP Foundation 2.0: 1.13

Recupera la propiedad restrictions de todas las claves de API de un proyecto, lo que verifica si browserKeyRestrictions, serverKeyRestrictions, androidKeyRestrictions o iosKeyRestrictions están configurados.

  • Análisis en tiempo real: No
API key exists

Nombre de categoría en la API: API_KEY_EXISTS

Descripción del resultado: Un proyecto usa claves de API en lugar de la autenticación estándar.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.10
  • CIS GCP Foundation 1.1: 1.12
  • CIS GCP Foundation 1.2: 1.12
  • CIS GCP Foundation 1.3: 1.12
  • CIS GCP Foundation 2.0: 1.12
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

Recupera todas las claves de API que son propiedad de un proyecto.

  • Análisis en tiempo real: No
API key not rotated

Nombre de categoría en la API: API_KEY_NOT_ROTATED

Descripción del resultado: La clave de API no se rotó durante más de 90 días.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.13
  • CIS GCP Foundation 1.1: 1.15
  • CIS GCP Foundation 1.2: 1.15
  • CIS GCP Foundation 1.3: 1.15
  • CIS GCP Foundation 2.0: 1.15
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

Recupera la marca de tiempo incluida en la propiedad createTime de todas las claves de API y verifica si transcurrieron 90 días.

  • Análisis en tiempo real: No

Hallazgos de vulnerabilidades de Cloud Asset Inventory

Todas las vulnerabilidades de este tipo de detector se relacionan con Cloud Asset Inventory y pertenezcan al tipo CLOUD_ASSET_SCANNER.

Detector Resumen Configuración de análisis de elementos
Cloud Asset API disabled

Nombre de categoría en la API: CLOUD_ASSET_API_DISABLED

Descripción del hallazgo: La captura de recursos de Google Cloud y de IAM de Cloud Asset Inventory permiten realizar análisis de seguridad, el seguimiento de cambios en los recursos y la auditoría de cumplimiento. Recomendamos habilitar el servicio de Cloud Asset Inventory para todos los proyectos. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Nivel de precios: Premium

Recursos admitidos
pubsub.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.3: 2.13
  • CIS GCP Foundation 2.0: 2.13
  • NIST 800-53 R5: CM-8, PM-5
  • PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1
  • ISO-27001 v2022: A.5.9, A.8.8
  • Cloud Controls Matrix 4: UEM-04
  • NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3
  • SOC2 v2017: CC3.2.6, CC6.1.1
  • HIPAA: 164.310(d)(2)(iii)
  • CIS Controls 8.0: 1.1, 6.6

Verifica si el servicio de Cloud Asset Inventory está habilitado.

  • Análisis en tiempo real: Sí

Resultados de las vulnerabilidades de imágenes de Compute

El detector COMPUTE_IMAGE_SCANNER identifica vulnerabilidades relacionadas con las configuraciones de imágenes de Google Cloud.

Detector Resumen Configuración de análisis de elementos
Public Compute image

Nombre de categoría en la API: PUBLIC_COMPUTE_IMAGE

Descripción del resultado: Una imagen de Compute Engine es de acceso público.

Nivel de precios: Premium o Estándar

Recursos admitidos
compute.googleapis.com/Image

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Verifica la política de permisos de IAM en metadatos de recursos para las principales allUsers o allAuthenticatedUsers, que otorgan acceso público.

  • Análisis en tiempo real: Sí

Resultados de las vulnerabilidades de las instancias de Compute

El detector COMPUTE_INSTANCE_SCANNER identifica vulnerabilidades relacionadas con las configuraciones de instancias de Compute Engine.

Los detectores COMPUTE_INSTANCE_SCANNER no informan los resultados en las instancias de Compute Engine que crea GKE. Estas instancias tienen nombres que comienzan con “gke-”, que los usuarios no pueden editar. Para proteger estas instancias, consulta la sección de resultados de vulnerabilidades de contenedores.

Detector Resumen Configuración de análisis de elementos
Confidential Computing disabled

Nombre de categoría en la API: CONFIDENTIAL_COMPUTING_DISABLED

Descripción de resultados: Confidential Computing está inhabilitado en una instancia de Compute Engine.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 4.11
  • CIS GCP Foundation 1.3: 4.11
  • CIS GCP Foundation 2.0: 4.11
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Verifica el Propiedad confidentialInstanceConfig de los metadatos de la instancia para el par clave-valor "enableConfidentialCompute":true.

  • Recursos excluidos de los análisis:
    • Instancias de GKE
    • Acceso a VPC sin servidores
    • Instancias relacionadas con trabajos de Dataflow
    • Instancias de Compute Engine que no son del tipo N2D
  • Análisis en tiempo real: Sí
Compute project wide SSH keys allowed

Nombre de categoría en la API: COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

Descripción del resultado: Se usan claves SSH de todo el proyecto, lo que permite el acceso a todas las instancias del proyecto.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 4.2
  • CIS GCP Foundation 1.1: 4.3
  • CIS GCP Foundation 1.2: 4.3
  • CIS GCP Foundation 1.3: 4.3
  • CIS GCP Foundation 2.0: 4.3
  • NIST 800-53 R5: AC-17, IA-5, SC-8
  • PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2
  • ISO-27001 v2022: A.5.14
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-2
  • SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.10, 5.2

Comprueba el objeto metadata.items[] en los metadatos de la instancia para el par clave-valor "key": "block-project-ssh-keys", "value": TRUE.

  • Elementos excluidos de los análisis: instancias de GKE, trabajo de Dataflow, instancia de Windows
  • Permisos de IAM adicionales: roles/compute.Viewer
  • Entradas adicionales: Lee los metadatos de Compute Engine
  • Análisis en tiempo real: No
Compute Secure Boot disabled

Nombre de categoría en la API: COMPUTE_SECURE_BOOT_DISABLED

Descripción del resultado: Esta VM protegida no tiene habilitado Inicio seguro. El uso de Inicio seguro ayuda a proteger las instancias de máquinas virtuales de las amenazas avanzadas, como rootkits y bootkits.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Verifica la propiedad shieldedInstanceConfig en instancias de Compute Engine para determinar si enableSecureBoot se estableció en true. Este detector verificaciones si los discos conectados son compatibles con el arranque seguro y el arranque seguro está habilitado.

  • Elementos excluidos de los análisis: GKE instancias, discos de Compute Engine que tienen GPU aceleradores y no usan Container-Optimized OS, Acceso a VPC sin servidores
  • Análisis en tiempo real: Sí
Compute serial ports enabled

Nombre de categoría en la API: COMPUTE_SERIAL_PORTS_ENABLED

Descripción del resultado: Los puertos en serie están habilitados para una instancia, lo que permite conexiones a la consola en serie de la instancia.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 4.4
  • CIS GCP Foundation 1.1: 4.5
  • CIS GCP Foundation 1.2: 4.5
  • CIS GCP Foundation 1.3: 4.5
  • CIS GCP Foundation 2.0: 4.5
  • NIST 800-53 R5: CM-6, CM-7
  • PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1
  • ISO-27001 v2022: A.8.9
  • SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4
  • CIS Controls 8.0: 4.8

Comprueba el objeto metadata.items[] en los metadatos de la instancia para el par clave-valor "key": "serial-port-enable", "value": TRUE.

  • Elementos excluidos de los análisis: Instancias de GKE
  • Permisos de IAM adicionales: roles/compute.Viewer
  • Entradas adicionales: Lee los metadatos de Compute Engine
  • Análisis en tiempo real: Sí
Default service account used

Nombre de categoría en la API: DEFAULT_SERVICE_ACCOUNT_USED

Descripción del resultado: Una instancia está configurada para usar la cuenta de servicio predeterminada.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 4.1
  • CIS GCP Foundation 1.2: 4.1
  • CIS GCP Foundation 1.3: 4.1
  • CIS GCP Foundation 2.0: 4.1
  • NIST 800-53 R5: IA-5
  • PCI-DSS v4.0: 2.2.2, 2.3.1
  • ISO-27001 v2022: A.8.2, A.8.9
  • NIST Cybersecurity Framework 1.0: PR-AC-1
  • SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 4.7

Comprueba la propiedad serviceAccounts en los metadatos de la instancia para cualquier dirección de correo electrónico de cuenta de servicio con el prefijo PROJECT_NUMBER-compute@developer.gserviceaccount.com, que indica la cuenta de servicio predeterminada creada por Google.

  • Elementos excluidos de los análisis: Instancias de GKE, trabajos de Dataflow
  • Análisis en tiempo real: Sí
Disk CMEK disabled

Nombre de categoría en la API: DISK_CMEK_DISABLED

Descripción del resultado: Los discos de esta VM no se encriptan con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Disk

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Comprueba el campo kmsKeyName del objeto diskEncryptionKey, en los metadatos del disco, para el nombre del recurso de tu CMEK.

  • Elementos excluidos de los análisis: Los discos relacionados con Entornos de Cloud Composer, trabajos de Dataflow y GKE instancias
  • Análisis en tiempo real: Sí
Disk CSEK disabled

Nombre de categoría en la API: DISK_CSEK_DISABLED

Descripción del resultado: Los discos de esta VM no se encriptan con claves de encriptación proporcionadas por el cliente (CSEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Detector de casos especiales.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Disk

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 4.6
  • CIS GCP Foundation 1.1: 4.7
  • CIS GCP Foundation 1.2: 4.7
  • CIS GCP Foundation 1.3: 4.7
  • CIS GCP Foundation 2.0: 4.7
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Verifica el campo kmsKeyName en el objeto diskEncryptionKey para el nombre del recurso de tu CSEK.

  • Elementos excluidos de los análisis:
    Discos de Compute Engine sin la marca de seguridad enforce_customer_provided_disk_encryption_keys configurada como true
  • Permisos de IAM adicionales: roles/compute.Viewer
  • Entradas adicionales: Lee los metadatos de Compute Engine
  • Análisis en tiempo real: Sí
Full API access

Nombre de categoría en la API: FULL_API_ACCESS

Descripción del resultado: Una instancia está configurada para usar la cuenta de servicio predeterminada con acceso completo a todas las API de Google Cloud.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 4.1
  • CIS GCP Foundation 1.1: 4.2
  • CIS GCP Foundation 1.2: 4.2
  • CIS GCP Foundation 1.3: 4.2
  • CIS GCP Foundation 2.0: 4.2
  • NIST 800-53 R4: AC-6
  • NIST 800-53 R5: IA-5
  • PCI-DSS v3.2.1: 7.1.2
  • PCI-DSS v4.0: 2.2.2, 2.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.8.2, A.8.9
  • NIST Cybersecurity Framework 1.0: PR-AC-1
  • SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 4.7

Recupera el campo scopes en la propiedad serviceAccounts para verificar si se usa una cuenta de servicio predeterminada y si se le asigna el permiso cloud-platform.

  • Elementos excluidos de los análisis: Instancias de GKE, trabajos de Dataflow
  • Análisis en tiempo real: Sí
HTTP load balancer

Nombre de categoría en la API: HTTP_LOAD_BALANCER

Descripción del resultado: Una instancia usa un balanceador de cargas configurado para usar un proxy HTTP de destino en lugar de un proxy HTTPS de destino.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/TargetHttpProxy

Corregir este resultado

Estándares de cumplimiento:

  • PCI-DSS v3.2.1: 2.3

Determina si la propiedad selfLink de las El recurso targetHttpProxy coincide con la el atributo target de la regla de reenvío. si la regla de reenvío contiene un El campo loadBalancingScheme se estableció en External

  • Permisos de IAM adicionales: roles/compute.Viewer
  • Entradas adicionales: Lee las reglas de reenvío de un proxy HTTP de destino desde Compute Engine y verifica las reglas externas
  • Análisis en tiempo real: Sí
Instance OS Login disabled

Nombre de categoría en la API: INSTANCE_OS_LOGIN_DISABLED

Descripción del resultado: El Acceso al SO está inhabilitado en esta instancia.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 4.3
  • CIS GCP Foundation 1.1: 4.4
  • CIS GCP Foundation 1.2: 4.4
  • CIS GCP Foundation 1.3: 4.4
  • CIS GCP Foundation 2.0: 4.4
  • NIST 800-53 R5: AC-2
  • ISO-27001 v2022: A.5.15
  • SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9
  • CIS Controls 8.0: 5.6, 6.7

Comprueba si la propiedad enable-oslogin de El Custom metadata de la instancia se configura como TRUE.

  • Elementos excluidos de los análisis: instancias de GKE, instancias relacionadas con trabajos de Dataflow, Acceso a VPC sin servidores
  • Permisos de IAM adicionales: roles/compute.Viewer
  • Entradas adicionales: lee los metadatos de Compute Engine.
  • Análisis en tiempo real: No
IP forwarding enabled

Nombre de categoría en la API: IP_FORWARDING_ENABLED

Descripción del resultado: El reenvío de IP está habilitado en las instancias.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 4.5
  • CIS GCP Foundation 1.1: 4.6
  • CIS GCP Foundation 1.2: 4.6
  • CIS GCP Foundation 1.3: 4.6
  • CIS GCP Foundation 2.0: 4.6
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

Comprueba si la propiedad canIpForward de la instancia está configurada en true.

  • Elementos excluidos de los análisis: GKE de Google Cloud, Acceso a VPC sin servidores
  • Análisis en tiempo real: Sí
OS login disabled

Nombre de categoría en la API: OS_LOGIN_DISABLED

Descripción del resultado: El Acceso al SO está inhabilitado en esta instancia.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 4.3
  • CIS GCP Foundation 1.1: 4.4
  • CIS GCP Foundation 1.2: 4.4
  • CIS GCP Foundation 1.3: 4.4
  • CIS GCP Foundation 2.0: 4.4
  • NIST 800-53 R5: AC-2
  • ISO-27001 v2022: A.5.15
  • SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9
  • CIS Controls 8.0: 5.6, 6.7

Comprueba el objeto commonInstanceMetadata.items[] en los metadatos del proyecto para el par clave-valor "key": "enable-oslogin", "value": TRUE. El detector también verifica todas las instancias en un proyecto de Compute Engine a fin de determinar si el Acceso al SO está inhabilitado para instancias individuales.

  • Elementos excluidos de los análisis: GKE e instancias relacionadas con trabajos de Dataflow
  • Permisos de IAM adicionales: roles/compute.Viewer
  • Entradas adicionales: lee los metadatos de Compute Engine. El detector también examina instancias de Compute Engine en la proyecto
  • Análisis en tiempo real: No
Public IP address

Nombre de categoría en la API: PUBLIC_IP_ADDRESS

Descripción del resultado: Una instancia tiene una dirección IP pública.

Nivel de precios: Premium o Estándar

Recursos admitidos
compute.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 4.9
  • CIS GCP Foundation 1.2: 4.9
  • CIS GCP Foundation 1.3: 4.9
  • CIS GCP Foundation 2.0: 4.9
  • NIST 800-53 R4: CA-3, SC-7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Comprueba si la propiedad networkInterfaces contiene un campo accessConfigs, lo que indica que está configurada para usar una dirección IP pública.

  • Elementos excluidos de los análisis: GKE e instancias relacionadas con trabajos de Dataflow
  • Análisis en tiempo real: Sí
Shielded VM disabled

Nombre de categoría en la API: SHIELDED_VM_DISABLED

Descripción del resultado: La VM protegida está inhabilitada en esta instancia.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 4.8
  • CIS GCP Foundation 1.2: 4.8
  • CIS GCP Foundation 1.3: 4.8
  • CIS GCP Foundation 2.0: 4.8

Se verifica la propiedad shieldedInstanceConfig en de Compute Engine para determinar si enableIntegrityMonitoring y enableVtpm se establecen como true. Los campos indican si las VM protegida están activadas.

  • Elementos excluidos de los análisis: GKE las instancias y Acceso a VPC sin servidores
  • Análisis en tiempo real: Sí
Weak SSL policy

Nombre de categoría en la API: WEAK_SSL_POLICY

Descripción del resultado: Una instancia tiene una política de SSL débil.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/TargetHttpsProxy
compute.googleapis.com/TargetSslProxy

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 3.9
  • CIS GCP Foundation 1.2: 3.9
  • CIS GCP Foundation 1.3: 3.9
  • CIS GCP Foundation 2.0: 3.9
  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.14.1.3

Comprueba si sslPolicy en los metadatos del activo está vacío o si está usando Política predeterminada de Google Cloud y, para el sslPolicies adjunto , ya sea que profile esté configurado como Restricted o Modern, minTlsVersion se establece en TLS 1.2, y customFeatures está vacío o no contiene los siguientes algoritmos de cifrado: TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA:

  • Permisos de IAM adicionales: roles/compute.Viewer
  • Entradas adicionales: Lee las políticas de SSL para el almacenamiento de proxies de destino y verifica las políticas débiles.
  • Análisis en tiempo real: Sí, pero solo cuando se actualiza el TargetHttpsProxy del TargetSslProxy, no cuando se actualiza la política de SSL.

Resultados de las vulnerabilidades de contenedores

Estos tipos de resultados se relacionan con los parámetros de configuración del contenedor de GKE y pertenecen al tipo de detector CONTAINER_SCANNER.

Detector Resumen Configuración de análisis de elementos
Alpha cluster enabled

Nombre de categoría en la API: ALPHA_CLUSTER_ENABLED

Descripción de los resultados: Las funciones del clúster Alfa están habilitadas para un clúster de GKE.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GKE 1.0: 6.10.2

Comprueba si la propiedad enableKubernetesAlpha de un clúster está configurada en true.

  • Análisis en tiempo real: Sí
Auto repair disabled

Nombre de categoría en la API: AUTO_REPAIR_DISABLED

Descripción del resultado: La función de reparación automática de un clúster de GKE, que mantiene los nodos en buen estado, está inhabilitada.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.7
  • CIS GKE 1.0: 6.5.2
  • PCI-DSS v3.2.1: 2.2

Comprueba la propiedad management de un grupo de nodos para el par clave-valor, "key": "autoRepair", "value": true.

  • Análisis en tiempo real: Sí
Auto upgrade disabled

Nombre de categoría en la API: AUTO_UPGRADE_DISABLED

Descripción del resultado: La función de actualización automática de un clúster de GKE, que conserva los clústeres y grupos de nodos en la versión estable más reciente de Kubernetes, está inhabilitada.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.8
  • CIS GKE 1.0: 6.5.3
  • PCI-DSS v3.2.1: 2.2

Comprueba la propiedad management de un grupo de nodos para el par clave-valor, "key": "autoUpgrade", "value": true.

  • Análisis en tiempo real: Sí
Binary authorization disabled

Nombre de categoría en la API: BINARY_AUTHORIZATION_DISABLED

Descripción del hallazgo: La autorización binaria está inhabilitada en el clúster de GKE La política de Autorización Binaria está configurada para permitir la implementación de todas las imágenes.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Verifica lo siguiente:

  • Comprueba si la propiedad binaryAuthorization tiene uno de los los siguientes pares clave-valor:
    • "evaluationMode": "PROJECT_SINGLETON_POLICY_ENFORCE"
    • "evaluationMode": "POLICY_BINDINGS"
    • "evaluationMode": "POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE"
  • Verifica si la propiedad de la política defaultAdmissionRule no que contienen el par clave-valor evaluationMode: ALWAYS_ALLOW.

  • Análisis en tiempo real: Sí
Cluster logging disabled

Nombre de categoría en la API: CLUSTER_LOGGING_DISABLED

Descripción del resultado: Logging no está habilitado para un clúster de GKE.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.1
  • CIS GKE 1.0: 6.7.1
  • PCI-DSS v3.2.1: 10.2.2, 10.2.7

Comprueba si la propiedad loggingService de un clúster contiene la ubicación que Cloud Logging debe usar para escribir registros.

  • Análisis en tiempo real: Sí
Cluster monitoring disabled

Nombre de categoría en la API: CLUSTER_MONITORING_DISABLED

Descripción del resultado: Monitoring está inhabilitado en los clústeres de GKE.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.2
  • CIS GKE 1.0: 6.7.1
  • PCI-DSS v3.2.1: 10.1, 10.2

Comprueba si la propiedad monitoringService de un clúster contiene la ubicación que Cloud Monitoring debe usar para escribir métricas.

  • Análisis en tiempo real: Sí
Cluster private Google access disabled

Nombre de categoría en la API: CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED

Descripción de los hallazgos: Los hosts de clústeres no están configurados con el fin de usar solo direcciones IP internas privadas para acceder a las API de Google.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.16
  • PCI-DSS v3.2.1: 1.3

Comprueba si la propiedad privateIpGoogleAccess de una subred se configura como false.

  • Entradas adicionales: Lee las subredes del almacenamiento y archiva los resultados solo para clústeres con subredes.
  • Análisis en tiempo real: Sí, pero solo si se actualiza el clúster, no para las actualizaciones de la subred
Cluster secrets encryption disabled

Nombre de categoría en la API: CLUSTER_SECRETS_ENCRYPTION_DISABLED

Descripción del resultado: La encriptación de los Secrets de la capa de la aplicación está inhabilitada en un clúster de GKE.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GKE 1.0: 6.3.1

Verifica la propiedad keyName del objeto databaseEncryption para el par clave-valor "state": ENCRYPTED.

  • Análisis en tiempo real: Sí
Cluster shielded nodes disabled

Nombre de categoría en la API: CLUSTER_SHIELDED_NODES_DISABLED

Descripción de los resultados: Los nodos de GKE protegidos no están habilitados para un clúster.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GKE 1.0: 6.5.5

Verifica la propiedad shieldedNodes para el par clave-valor "enabled": true.

  • Análisis en tiempo real: Sí
COS not used

Nombre de categoría en la API: COS_NOT_USED

Resultado de la descripción: Las VM de Compute Engine no usan Container Optimized OS diseñado para ejecutar contenedores de Docker en Google Cloud de forma segura.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.9
  • CIS GKE 1.0: 6.5.1
  • PCI-DSS v3.2.1: 2.2

Comprueba la propiedad config de un grupo de nodos para el par clave-valor, "imageType": "COS".

  • Análisis en tiempo real: Sí
Integrity monitoring disabled

Nombre de categoría en la API: INTEGRITY_MONITORING_DISABLED

Descripción de los resultados: La supervisión de integridad está inhabilitada para un clúster de GKE.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GKE 1.0: 6.5.6

Verifica la propiedad shieldedInstanceConfig del objeto nodeConfig para el par clave-valor "enableIntegrityMonitoring": true.

  • Análisis en tiempo real: Sí
Intranode visibility disabled

Nombre de categoría en la API: INTRANODE_VISIBILITY_DISABLED

Descripción de los resultados: La visibilidad dentro de los nodos está inhabilitada para un clúster de GKE.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GKE 1.0: 6.6.1

Verifica la propiedad networkConfig para el par clave-valor "enableIntraNodeVisibility": true.

  • Análisis en tiempo real: Sí
IP alias disabled

Nombre de categoría en la API: IP_ALIAS_DISABLED

Descripción del resultado: Se creó un clúster de GKE con los rangos de alias de IP inhabilitados.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.13
  • CIS GKE 1.0: 6.6.2
  • PCI-DSS v3.2.1: 1.3.4, 1.3.7

Comprueba si el campo useIPAliases de ipAllocationPolicy en un clúster está configurado como false.

  • Análisis en tiempo real: Sí
Legacy authorization enabled

Nombre de categoría en la API: LEGACY_AUTHORIZATION_ENABLED

Descripción del resultado: La autorización heredada está habilitada en los clústeres de GKE.

Nivel de precios: Premium o Estándar

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.3
  • CIS GKE 1.0: 6.8.3
  • PCI-DSS v3.2.1: 4.1

Comprueba la propiedad legacyAbac de un clúster para el par clave-valor, "enabled": true.

  • Análisis en tiempo real: Sí
Legacy metadata enabled

Nombre de categoría en la API: LEGACY_METADATA_ENABLED

Descripción del resultado: Los metadatos heredados están habilitados en los clústeres de GKE.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GKE 1.0: 6.4.1

Comprueba la propiedad config de un grupo de nodos para el par clave-valor, "disable-legacy-endpoints": "false".

  • Análisis en tiempo real: Sí
Master authorized networks disabled

Nombre de categoría en la API: MASTER_AUTHORIZED_NETWORKS_DISABLED

Descripción del resultado: Las redes autorizadas del plano de control no están habilitadas en los clústeres de GKE.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.4
  • CIS GKE 1.0: 6.6.3
  • PCI-DSS v3.2.1: 1.2.1, 1.3.2

Comprueba la propiedad masterAuthorizedNetworksConfig de un clúster para el par clave-valor, "enabled": false.

  • Análisis en tiempo real: Sí
Network policy disabled

Nombre de categoría en la API: NETWORK_POLICY_DISABLED

Descripción del resultado: La política de red está inhabilitada en los clústeres de GKE.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.11
  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.3
  • ISO-27001 v2013: A.13.1.1

Comprueba el campo networkPolicy de la propiedad addonsConfig para el par clave-valor, "disabled": true.

  • Análisis en tiempo real: Sí
Nodepool boot CMEK disabled

Nombre de categoría en la API: NODEPOOL_BOOT_CMEK_DISABLED

Descripción del resultado: Los discos de arranque de este grupo de nodos no están encriptados con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Comprueba la propiedad bootDiskKmsKey de los grupos de nodos para el nombre del recurso de tu CMEK.

  • Análisis en tiempo real: Sí
Nodepool secure boot disabled

Nombre de categoría en la API: NODEPOOL_SECURE_BOOT_DISABLED

Descripción del resultado: El inicio seguro está inhabilitado para un clúster de GKE.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GKE 1.0: 6.5.7

Verifica la propiedad shieldedInstanceConfig del objeto nodeConfig para el par clave-valor "enableSecureBoot": true.

  • Análisis en tiempo real: Sí
Over privileged account

Nombre de categoría en la API: OVER_PRIVILEGED_ACCOUNT

Descripción del resultado: Una cuenta de servicio tiene acceso a proyectos demasiado amplio en un clúster.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.17
  • NIST 800-53 R4: AC-6, SC-7
  • CIS GKE 1.0: 6.2.1
  • PCI-DSS v3.2.1: 2.1, 7.1.2
  • ISO-27001 v2013: A.9.2.3

Evalúa la propiedad config de un grupo de nodos para verificar si no se especificó ninguna cuenta de servicio o si se usa la cuenta de servicio predeterminada.

  • Análisis en tiempo real: Sí
Over privileged scopes

Nombre de categoría en la API: OVER_PRIVILEGED_SCOPES

Descripción del resultado: Una cuenta de servicio de nodo tiene permisos de acceso amplios.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.18
  • CIS GKE 1.0: 6.2.1
Comprueba si el permiso de acceso que aparece en la propiedad config.oauthScopes de un grupo de nodos es un permiso limitado de acceso a la cuenta de servicio: https://www.googleapis.com/auth/devstorage.read_only, https://www.googleapis.com/auth/logging.write. o https://www.googleapis.com/auth/monitoring.
  • Análisis en tiempo real: Sí
Pod security policy disabled

Nombre de categoría en la API: POD_SECURITY_POLICY_DISABLED

Descripción del resultado: PodSecurityPolicy está inhabilitado en un clúster de GKE.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.14
  • CIS GKE 1.0: 6.10.3

Comprueba la propiedad podSecurityPolicyConfig de un clúster para el par clave-valor, "enabled": false.

  • Permisos de IAM adicionales: roles/container.clusterViewer
  • Entradas adicionales: Lee la información del clúster de GKE, ya que las políticas de seguridad de pods son una función Beta. Kubernetes tiene oficialmente PodSecurityPolicy obsoleto en la versión 1.21. PodSecurityPolicy se cerrará en la versión 1.25. Para obtener información sobre las alternativas, consulta Baja de PodSecurityPolicy.
  • Análisis en tiempo real: No
Private cluster disabled

Nombre de categoría en la API: PRIVATE_CLUSTER_DISABLED

Descripción del resultado: Un clúster de GKE tiene un clúster privado inhabilitado.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.15
  • CIS GKE 1.0: 6.6.5
  • PCI-DSS v3.2.1: 1.3.2

Comprueba si el campo enablePrivateNodes de la propiedad privateClusterConfig está configurado como false.

  • Análisis en tiempo real: Sí
Release channel disabled

Nombre de categoría en la API: RELEASE_CHANNEL_DISABLED

Descripción del resultado: Un clúster de GKE no está suscrito a un canal de versiones.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GKE 1.0: 6.5.4

Verifica la propiedad releaseChannel para el par clave-valor "channel": UNSPECIFIED.

  • Análisis en tiempo real: Sí
Web UI enabled

Nombre de categoría en la API: WEB_UI_ENABLED

Descripción del resultado: La IU web de GKE (panel) está habilitada.

Nivel de precios: Premium o Estándar

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 7.6
  • CIS GKE 1.0: 6.10.1
  • PCI-DSS v3.2.1: 6.6

Comprueba el campo kubernetesDashboard de la propiedad addonsConfig para el par clave-valor, "disabled": false.

  • Análisis en tiempo real: Sí
Workload Identity disabled

Nombre de categoría en la API: WORKLOAD_IDENTITY_DISABLED

Descripción del resultado: Workload Identity está inhabilitado en un clúster de GKE.

Nivel de precios: Premium

Recursos admitidos
container.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GKE 1.0: 6.2.2

Comprueba si la propiedad workloadIdentityConfig de un clúster está configurada. El detector también verifica si la propiedad workloadMetadataConfig de un grupo de nodos se configuró como GKE_METADATA.

  • Permisos de IAM adicionales: roles/container.clusterViewer
  • Análisis en tiempo real: Sí

Resultados de las vulnerabilidades de Dataproc

Las vulnerabilidades de este tipo de detector se relacionan con Dataproc y pertenecen al tipo de detector DATAPROC_SCANNER.

Detector Resumen Configuración de análisis de elementos
Dataproc CMEK disabled

Nombre de categoría en la API: DATAPROC_CMEK_DISABLED

Descripción del hallazgo: Se creó un clúster de Dataproc sin una configuración de encriptación CMEK. Con CMEK, las claves que creas y administras en Cloud Key Management Service unen las claves que Google Cloud usa para encriptar tus datos, lo que te da más control sobre el acceso a tus de datos no estructurados. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Nivel de precios: Premium

Recursos admitidos
dataproc.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.3: 1.17
  • CIS GCP Foundation 2.0: 1.17
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Comprueba si el campo kmsKeyName en la propiedad encryptionConfiguration está vacío.

  • Análisis en tiempo real: Sí
Dataproc image outdated

Nombre de categoría en la API: DATAPROC_IMAGE_OUTDATED

Descripción de los resultados: Se creó un clúster de Dataproc con una versión de imagen de Dataproc que se ve afectada por las vulnerabilidades de seguridad en la utilidad Apache Log4j 2 (CVE-2021-44228). y CVE-2021-45046.

Nivel de precios: Premium o Estándar

Recursos admitidos
dataproc.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Comprueba si el campo softwareConfig.imageVersion en la propiedad config de un Cluster es anterior a 1.3.95 o es una versión de imagen submenor anterior a la versión 1.4.77, 1.5.53 o 2.0.27.

  • Análisis en tiempo real: Sí

Resultados de las vulnerabilidades de los conjuntos de datos

Las vulnerabilidades de este tipo de detector se relacionan con la configuración de conjuntos de datos de BigQuery y pertenecen al tipo de detector DATASET_SCANNER.

Detector Resumen Configuración de análisis de elementos
BigQuery table CMEK disabled

Nombre de categoría en la API: BIGQUERY_TABLE_CMEK_DISABLED

Descripción de los resultados: Una tabla de BigQuery no está configurada para usar una clave de encriptación administrada por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Nivel de precios: Premium

Recursos admitidos
bigquery.googleapis.com/Table

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 7.2
  • CIS GCP Foundation 1.3: 7.2
  • CIS GCP Foundation 2.0: 7.2
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Comprueba si el campo kmsKeyName en la propiedad encryptionConfiguration está vacío.

  • Análisis en tiempo real: Sí
Dataset CMEK disabled

Nombre de categoría en la API: DATASET_CMEK_DISABLED

Descripción de los resultados: Un conjunto de datos de BigQuery no está configurado para usar una CMEK predeterminada. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Nivel de precios: Premium

Recursos admitidos
bigquery.googleapis.com/Dataset

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 7.3
  • CIS GCP Foundation 1.3: 7.3
  • CIS GCP Foundation 2.0: 7.3
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Comprueba si el campo kmsKeyName en la propiedad defaultEncryptionConfiguration está vacío.

  • Análisis en tiempo real: No
Public dataset

Nombre de categoría en la API: PUBLIC_DATASET

Descripción del resultado: Un conjunto de datos está configurado para estar abierto al acceso público.

Nivel de precios: Premium o Estándar

Recursos admitidos
bigquery.googleapis.com/Dataset

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 7.1
  • CIS GCP Foundation 1.2: 7.1
  • CIS GCP Foundation 1.3: 7.1
  • CIS GCP Foundation 2.0: 7.1
  • NIST 800-53 R4: AC-2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Verifica la política de permisos de IAM en metadatos de recursos para las principales allUsers o allAuthenticatedUsers, que otorgan acceso público.

  • Análisis en tiempo real: Sí

Resultados de las vulnerabilidades de DNS

Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de Cloud DNS y pertenecen al tipo de detector DNS_SCANNER.

Detector Resumen Configuración de análisis de elementos
DNSSEC disabled

Nombre de categoría en la API: DNSSEC_DISABLED

Descripción del resultado: DNSSEC está inhabilitada para las zonas de Cloud DNS.

Nivel de precios: Premium

Recursos admitidos
dns.googleapis.com/ManagedZone

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 3.3
  • CIS GCP Foundation 1.1: 3.3
  • CIS GCP Foundation 1.2: 3.3
  • CIS GCP Foundation 1.3: 3.3
  • CIS GCP Foundation 2.0: 3.3
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2013: A.8.2.3
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Comprueba si el campo state de la propiedad dnssecConfig está configurado como off.

  • Elementos excluidos de los análisis: Zonas de Cloud DNS que no son públicas
  • Análisis en tiempo real: Sí
RSASHA1 for signing

Nombre de categoría en la API: RSASHA1_FOR_SIGNING

Descripción del resultado: RSASHA1 se usa para firmar claves en zonas de Cloud DNS.

Nivel de precios: Premium

Recursos admitidos
dns.googleapis.com/ManagedZone

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 3.4, 3.5
  • CIS GCP Foundation 1.1: 3.4, 3.5
  • CIS GCP Foundation 1.2: 3.4, 3.5
  • CIS GCP Foundation 1.3: 3.4, 3.5
  • CIS GCP Foundation 2.0: 3.4, 3.5
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Comprueba si el objeto defaultKeySpecs.algorithm de la propiedad dnssecConfig está configurado como rsasha1.

  • Análisis en tiempo real: Sí

Resultados de las vulnerabilidades de firewall

Las vulnerabilidades de este tipo de detector se relacionan con la configuración del firewall y pertenecen al tipo de detector FIREWALL_SCANNER.

Detector Resumen Configuración de análisis de elementos
Egress deny rule not set

Nombre de categoría en la API: EGRESS_DENY_RULE_NOT_SET

Descripción de resultados: Una regla de denegación de salida no se establece en un firewall. Las reglas de denegación de salida deben configurarse para bloquear el tráfico saliente no deseado.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • PCI-DSS v3.2.1: 7.2

Comprueba si la propiedad destinationRanges en el firewall está configurada como 0.0.0.0/0 y si la propiedad denied contiene el par clave-valor, "IPProtocol": "all".

  • Entradas adicionales: Lee los firewalls de salida de un proyecto desde el almacenamiento.
  • Análisis en tiempo real: Sí, pero solo en los cambios del proyecto, no en los cambios de las reglas de firewall
Firewall rule logging disabled

Nombre de categoría en la API: FIREWALL_RULE_LOGGING_DISABLED

Descripción del resultado: El registro de reglas de firewall está inhabilitado. El registro de las reglas de firewall debe estar habilitado para que puedas auditar el acceso a la red.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SI-4
  • PCI-DSS v3.2.1: 10.1, 10.2
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad logConfig en los metadatos de firewall para ver si está vacía o contiene el par clave-valor "enable": false.

Open Cassandra port

Nombre de categoría en la API: OPEN_CASSANDRA_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto Cassandra abierto que permita el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:7000-7001, 7199, 8888, 9042, 9160, 61620-61621.

  • Análisis en tiempo real: Sí
Open ciscosecure websm port

Nombre de categoría en la API: OPEN_CISCOSECURE_WEBSM_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto abierto CISCOSECURE_WEBSM que permite el acceso genérico.

Nivel de precios: Premium o Estándar

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos del firewall para el siguiente protocolo y puerto: TCP:9090.

  • Análisis en tiempo real: Sí
Open directory services port

Nombre de categoría en la API: OPEN_DIRECTORY_SERVICES_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto DIRECTORY_SERVICES abierto que permita el acceso genérico.

Nivel de precios: Premium o Estándar

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:445 y UDP:445.

  • Análisis en tiempo real: Sí
Open DNS port

Nombre de categoría en la API: OPEN_DNS_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto DNS abierto que permita el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:53 y UDP:53.

  • Análisis en tiempo real: Sí
Open elasticsearch port

Nombre de categoría en la API: OPEN_ELASTICSEARCH_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto ELASTICSEARCH abierto que permita el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:9200, 9300.

  • Análisis en tiempo real: Sí
Open firewall

Nombre de categoría en la API: OPEN_FIREWALL

Descripción del resultado: Un firewall está configurado para estar abierto al acceso público.

Nivel de precios: Premium o Estándar

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • PCI-DSS v3.2.1: 1.2.1

Verifica las propiedades sourceRanges y allowed para una de las dos opciones de configuración:

  • La propiedad sourceRanges contiene 0.0.0.0/0, y la propiedad allowed contiene una combinación de reglas que incluyen protocol o protocol:port, excepto las siguientes:
    • icmp
    • tcp:22
    • tcp:443
    • tcp:3389
    • udp:3389
    • sctp:22
  • La propiedad sourceRanges contiene una combinación de rangos de IP que incluye cualquier dirección IP no privada, y la propiedad allowed contiene una combinación de reglas que permiten todos los puertos TCP o udp.
Open FTP port

Nombre de categoría en la API: OPEN_FTP_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto FTP abierto que permite el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos del firewall para el siguiente protocolo y puerto: TCP:21.

  • Análisis en tiempo real: Sí
Open HTTP port

Nombre de categoría en la API: OPEN_HTTP_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto HTTP abierto que permite el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:80.

  • Análisis en tiempo real: Sí
Open LDAP port

Nombre de categoría en la API: OPEN_LDAP_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto LDAP abierto que permita el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:389, 636 y UDP:389.

  • Análisis en tiempo real: Sí
Open Memcached port

Nombre de categoría en la API: OPEN_MEMCACHED_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto MEMCACHED abierto que permite el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:11211, 11214-11215 y UDP:11211, 11214-11215.

  • Análisis en tiempo real: Sí
Open MongoDB port

Nombre de categoría en la API: OPEN_MONGODB_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto MONGODB abierto que permita el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:27017-27019.

  • Análisis en tiempo real: Sí
Open MySQL port

Nombre de categoría en la API: OPEN_MYSQL_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto MYSQL abierto que permita el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos del firewall para el siguiente protocolo y puerto: TCP:3306.

  • Análisis en tiempo real: Sí
Open NetBIOS port

Nombre de categoría en la API: OPEN_NETBIOS_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto NETBIOS abierto que permite el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:137-139 y UDP:137-139.

  • Análisis en tiempo real: Sí
Open OracleDB port

Nombre de categoría en la API: OPEN_ORACLEDB_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto ORACLEDB abierto que permite el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:1521, 2483-2484 y UDP:2483-2484.

  • Análisis en tiempo real: Sí
Open pop3 port

Nombre de categoría en la API: OPEN_POP3_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto POP3 abierto que permita el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos del firewall para el siguiente protocolo y puerto: TCP:110.

  • Análisis en tiempo real: Sí
Open PostgreSQL port

Nombre de categoría en la API: OPEN_POSTGRESQL_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto PostgreSQL abierto que permite el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:5432 y UDP:5432.

  • Análisis en tiempo real: Sí
Open RDP port

Nombre de categoría en la API: OPEN_RDP_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto RDP abierto que permita el acceso genérico.

Nivel de precios: Premium o Estándar

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 3.7
  • CIS GCP Foundation 1.1: 3.7
  • CIS GCP Foundation 1.2: 3.7
  • CIS GCP Foundation 1.3: 3.7
  • CIS GCP Foundation 2.0: 3.7
  • NIST 800-53 R4: SC-7
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • ISO-27001 v2013: A.13.1.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

Comprueba la propiedad allowed en los metadatos de firewall en busca de los siguientes protocolos y puertos: TCP:3389 y UDP:3389.

  • Análisis en tiempo real: Sí
Open Redis port

Nombre de categoría en la API: OPEN_REDIS_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto REDIS abierto que permita el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba si la propiedad allowed en los metadatos de firewall contiene el siguiente protocolo y puerto: TCP:6379.

  • Análisis en tiempo real: Sí
Open SMTP port

Nombre de categoría en la API: OPEN_SMTP_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto SMTP abierto que permita el acceso genérico.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba si la propiedad allowed en los metadatos de firewall contiene el siguiente protocolo y puerto: TCP:25.

  • Análisis en tiempo real: Sí
Open SSH port

Nombre de categoría en la API: OPEN_SSH_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto SSH abierto que permite el acceso genérico.

Nivel de precios: Premium o Estándar

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 3.6
  • CIS GCP Foundation 1.1: 3.6
  • CIS GCP Foundation 1.2: 3.6
  • CIS GCP Foundation 1.3: 3.6
  • CIS GCP Foundation 2.0: 3.6
  • NIST 800-53 R4: SC-7
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • ISO-27001 v2013: A.13.1.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

Comprueba si la propiedad allowed en los metadatos de firewall contiene los siguientes protocolos y puertos: TCP:22 y SCTP:22.

  • Análisis en tiempo real: Sí
Open Telnet port

Nombre de categoría en la API: OPEN_TELNET_PORT

Descripción del resultado: Un firewall está configurado para tener un puerto TELNET abierto que permita el acceso genérico.

Nivel de precios: Premium o Estándar

Recursos admitidos
compute.googleapis.com/Firewall

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Comprueba si la propiedad allowed en los metadatos de firewall contiene el siguiente protocolo y puerto: TCP:23.

  • Análisis en tiempo real: Sí

Resultados de las vulnerabilidades de IAM

Las vulnerabilidades de este tipo de detector se relacionan con la configuración de la administración de identidades y accesos (IAM) y pertenecen al tipo de detector IAM_SCANNER.

Detector Resumen Configuración de análisis de elementos
Access Transparency disabled

Nombre de categoría en la API: ACCESS_TRANSPARENCY_DISABLED

Descripción del hallazgo: La Transparencia de acceso de Google Cloud está inhabilitada en tu organización. Transparencia de acceso cuando los empleados de Google Cloud acceden a los proyectos de tu organización brindan asistencia. Habilita la Transparencia de acceso para registrar quién está en Google Cloud acceder a tu información, cuándo y por qué.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.3: 2.14
  • CIS GCP Foundation 2.0: 2.14

Verifica si tu organización tiene habilitada la Transparencia de acceso.

  • Análisis en tiempo real: No
Admin service account

Nombre de categoría en la API: ADMIN_SERVICE_ACCOUNT

Descripción de hallazgos: Una cuenta de servicio tiene privilegios de administrador, propietario o editor. Estas funciones no se deben asignar a las cuentas de servicio creadas por el usuario.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.4
  • CIS GCP Foundation 1.1: 1.5
  • CIS GCP Foundation 1.2: 1.5
  • CIS GCP Foundation 1.3: 1.5
  • CIS GCP Foundation 2.0: 1.5
  • NIST 800-53 R5: AC-6
  • ISO-27001 v2022: A.5.15, A.8.2
  • Cloud Controls Matrix 4: IAM-09
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.7, CC6.1.8, CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 5.4

Verifica la política de permisos de IAM en el recurso metadatos para cualquier cuenta de servicio creada por el usuario (indicado por el prefijo iam.gserviceaccount.com) que tengan asignados roles/Owner o roles/Editor o un ID de rol que contenga admin

  • Elementos excluidos de los análisis: Container Registry. cuenta de servicio (containerregistry.iam.gserviceaccount.com). y la cuenta de servicio de Security Command Center (security-center-api.iam.gserviceaccount.com)
  • Análisis en tiempo real: Sí, a menos que la actualización de IAM se realice en una carpeta
Essential Contacts Not Configured

Nombre de categoría en la API: ESSENTIAL_CONTACTS_NOT_CONFIGURED

Descripción del hallazgo: Tu organización no designó a una persona o un grupo del cual recibir notificaciones Google Cloud sobre eventos importantes como ataques, incidentes de datos y vulnerabilidades dentro de tu organización de Google Cloud. Te recomendamos que designes como Contacto esencial de una o más personas o grupos de tu organización comercial.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.3: 1.16
  • CIS GCP Foundation 2.0: 1.16
  • NIST 800-53 R5: IR-6
  • ISO-27001 v2022: A.5.20, A.5.24, A.5.5, A.5.6
  • Cloud Controls Matrix 4: SEF-08
  • NIST Cybersecurity Framework 1.0: RS-CO-1
  • SOC2 v2017: CC2.3.1
  • CIS Controls 8.0: 17.2

Verifica que se especifique un contacto para las siguientes categorías de contacto esenciales:

  • Legal
  • Seguridad
  • Suspensión
  • Técnico

  • Análisis en tiempo real: No
KMS role separation

Nombre de categoría en la API: KMS_ROLE_SEPARATION

Descripción del resultado: No se aplica la separación de obligaciones, y existe un usuario que tiene cualquiera de las siguientes funciones de Cloud Key Management Service (Cloud KMS) al mismo tiempo: Encriptador/desencriptador de CryptoKey, Encriptador o Desencriptador.

Este hallazgo no está disponible para activaciones a nivel de proyecto.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.9
  • CIS GCP Foundation 1.1: 1.11
  • CIS GCP Foundation 2.0: 1.11
  • NIST 800-53 R4: AC-5
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.10.1.2, A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
Verifica las políticas de permisos de IAM en metadatos de recursos y recupera los miembros a los que se les asignó alguna de los siguientes roles al mismo tiempo: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter y roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier, roles/cloudkms.publicKeyViewer
    .
  • Análisis en tiempo real: Sí
Non org IAM member

Nombre de categoría en la API: NON_ORG_IAM_MEMBER

Descripción del resultado: Hay un usuario que no usa credenciales de organización. Según CIS para GCP Foundations 1.0, por el momento, solo las identidades con direcciones de correo electrónico @gmail.com activan este detector.

Nivel de precios: Premium o Estándar

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.1
  • CIS GCP Foundation 1.1: 1.1
  • CIS GCP Foundation 1.2: 1.1
  • CIS GCP Foundation 1.3: 1.1
  • CIS GCP Foundation 2.0: 1.1
  • NIST 800-53 R4: AC-3
  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

Compara las direcciones de correo electrónico @gmail.com en el campo user de los metadatos de la política de permisos de IAM con una lista de identidades aprobadas para tu organización.

  • Análisis en tiempo real: Sí
Open group IAM member

Nombre de categoría en la API: OPEN_GROUP_IAM_MEMBER

Descripción de los resultados: Se usa una cuenta de Grupos de Google que se puede unir sin aprobación como principal de la política de permisos de IAM.

Nivel de precios: Premium o Estándar

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Verifica la política de IAM en los metadatos de recursos en busca de vinculaciones que contengan un miembro (principal) con el prefijo group. Si el grupo es abierto, Security Health Analytics genera este resultado.
  • Entradas adicionales: lecturas Grupos de Google metadatos para verificar si el grupo identificado es abierto.
  • Análisis en tiempo real: No
Over privileged service account user

Nombre de categoría en la API: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER

Descripción del resultado: Un usuario tiene la función Usuario de cuenta de servicio o Creador de tokens de cuenta de servicio a nivel de proyecto, en lugar de una cuenta de servicio específica.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.5
  • CIS GCP Foundation 1.1: 1.6
  • CIS GCP Foundation 1.2: 1.6
  • CIS GCP Foundation 1.3: 1.6
  • CIS GCP Foundation 2.0: 1.6
  • NIST 800-53 R4: AC-6
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1.2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
Verifica la política de permisos de IAM en los metadatos de recursos para cualquier miembro asignado roles/iam.serviceAccountUser o roles/iam.serviceAccountTokenCreator a nivel de proyecto.
  • Elementos excluidos de los análisis: servicio de Cloud Build. cuentas
  • Análisis en tiempo real: Sí
Primitive roles used

Nombre de categoría en la API: PRIMITIVE_ROLES_USED

Descripción del hallazgo: Un usuario tiene uno de los siguientes roles básicos:

  • Propietario (roles/owner)
  • Editor (roles/editor)
  • Visualizador (roles/viewer)

Estas funciones son demasiado permisivas y no deberían usarse.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: AC-6
  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

Verifica la política de permisos de IAM en el recurso metadatos de cualquier principal a la que se le asigne un roles/owner, roles/editor o roles/viewer.

  • Análisis en tiempo real: Sí
Redis role used on org

Nombre de categoría en la API: REDIS_ROLE_USED_ON_ORG

Descripción de los hallazgos: Una función de IAM de Redis se asigna a nivel de organización o carpeta.

Este hallazgo no está disponible para activaciones a nivel de proyecto.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization

Corregir este resultado

Estándares de cumplimiento:

  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

Verifica la política de permisos de IAM en metadatos de recursos para miembros asignados roles/redis.admin, roles/redis.editor, roles/redis.viewer a nivel de organización o carpeta.

  • Análisis en tiempo real: Sí
Service account role separation

Nombre de categoría en la API: SERVICE_ACCOUNT_ROLE_SEPARATION

Descripción del resultado: Se asignaron a un usuario las funciones de administrador de cuentas de servicio y usuario de cuentas de servicio. Esto infringe el principio de “Separación de obligaciones”.

Este hallazgo no está disponible para activaciones a nivel de proyecto.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.7
  • CIS GCP Foundation 1.1: 1.8
  • CIS GCP Foundation 1.2: 1.8
  • CIS GCP Foundation 1.3: 1.8
  • CIS GCP Foundation 2.0: 1.8
  • NIST 800-53 R4: AC-5
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
Comprueba la política de permisos de IAM en los metadatos de recursos para cualquier miembro asignado tanto roles/iam.serviceAccountUser como roles/iam.serviceAccountAdmin.
  • Análisis en tiempo real: Sí
Service account key not rotated

Nombre de categoría en la API: SERVICE_ACCOUNT_KEY_NOT_ROTATED

Descripción de los hallazgos: La clave de una cuenta de servicio no se rotó por más de 90 días.

Nivel de precios: Premium

Recursos admitidos
iam.googleapis.com/ServiceAccountKey

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.6
  • CIS GCP Foundation 1.1: 1.7
  • CIS GCP Foundation 1.2: 1.7
  • CIS GCP Foundation 1.3: 1.7
  • CIS GCP Foundation 2.0: 1.7

Evalúa la marca de tiempo de creación de claves capturada en la propiedad validAfterTime en los metadatos de las claves de las cuentas de servicio.

  • Elementos excluidos de los análisis: claves de cuentas de servicio vencidas y claves no administradas por los usuarios
  • Análisis en tiempo real: Sí
User managed service account key

Nombre de categoría en la API: USER_MANAGED_SERVICE_ACCOUNT_KEY

Descripción del resultado: Un usuario administra una clave de cuenta de servicio.

Nivel de precios: Premium

Recursos admitidos
iam.googleapis.com/ServiceAccountKey

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.3
  • CIS GCP Foundation 1.1: 1.4
  • CIS GCP Foundation 1.2: 1.4
  • CIS GCP Foundation 1.3: 1.4
  • CIS GCP Foundation 2.0: 1.4

Comprueba si la propiedad keyType en los metadatos de la clave de la cuenta de servicio está configurada en User_Managed.

  • Análisis en tiempo real: Sí

Resultados de las vulnerabilidades de KMS

Las vulnerabilidades de este tipo de detector se relacionan con la configuración de Cloud KMS y pertenecen al tipo de detector KMS_SCANNER.

Detector Resumen Configuración de análisis de elementos
KMS key not rotated

Nombre de categoría en la API: KMS_KEY_NOT_ROTATED

Descripción de los hallazgos: La rotación no se configura en una clave de encriptación de Cloud KMS. La encriptación de claves se debe rotar en un período de 90 días

Nivel de precios: Premium

Recursos admitidos
cloudkms.googleapis.com/CryptoKey

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.8
  • CIS GCP Foundation 1.1: 1.10
  • CIS GCP Foundation 1.2: 1.10
  • CIS GCP Foundation 1.3: 1.10
  • CIS GCP Foundation 2.0: 1.10
  • NIST 800-53 R4: SC-12
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v3.2.1: 3.5
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2013: A.10.1.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Verifica los metadatos de los recursos para la existencia de propiedades rotationPeriod o nextRotationTime.

  • Elementos excluidos de los análisis: Claves y claves asimétricas con versiones principales inhabilitadas o destruidas
  • Análisis en tiempo real: Sí
KMS project has owner

Nombre de categoría en la API: KMS_PROJECT_HAS_OWNER

Descripción de los hallazgos: Un usuario tiene permisos de Propietario en un proyecto que tiene claves criptográficas.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 1.11
  • CIS GCP Foundation 1.2: 1.11
  • CIS GCP Foundation 1.3: 1.11
  • CIS GCP Foundation 2.0: 1.11
  • NIST 800-53 R4: AC-6, SC-12
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 3.5
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.10.1.2, A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Verifica la política de permisos de IAM en los metadatos del proyecto para los miembros asignados roles/Owner.

  • Entradas adicionales: Lee las claves criptográficas de un proyecto desde el almacenamiento y archiva los resultados solo para proyectos con claves criptográficas.
  • Análisis en tiempo real: Sí, pero solo en los cambios de la política de permisos de IAM, no en los cambios en las claves de KMS
KMS public key

Nombre de categoría en la API: KMS_PUBLIC_KEY

Descripción de los hallazgos: Una clave criptográfica de Cloud KMS es de acceso público.

Nivel de precios: Premium

Recursos admitidos
cloudkms.googleapis.com/CryptoKey
cloudkms.googleapis.com/KeyRing

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 1.9
  • CIS GCP Foundation 1.2: 1.9
  • CIS GCP Foundation 1.3: 1.9
  • CIS GCP Foundation 2.0: 1.9
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Verifica la política de permisos de IAM en metadatos de recursos para las principales allUsers o allAuthenticatedUsers, que otorgan acceso público.

  • Análisis en tiempo real: Sí
Too many KMS users

Nombre de categoría en la API: TOO_MANY_KMS_USERS

Descripción del resultado: Hay más de tres usuarios de claves criptográficas.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
cloudkms.googleapis.com/CryptoKey

Corregir este resultado

Estándares de cumplimiento:

  • PCI-DSS v3.2.1: 3.5.2
  • ISO-27001 v2013: A.9.2.3
Comprueba las políticas de permisos de IAM para llaveros de claves, proyectos y organizaciones, y recupera miembros con roles que les permiten encriptar, desencriptar o firmar datos con claves de Cloud KMS: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer y roles/cloudkms.signerVerifier
    .
  • Entradas adicionales: Lee las versiones de claves criptográficas de una clave criptográfica desde el almacenamiento, lo que presenta resultados solo para claves con versiones activas. El detector también lee las políticas de permisos de IAM de llavero de claves, proyecto y organización desde el almacenamiento.
  • Análisis en tiempo real: Sí

Resultados de las vulnerabilidades de registros

Las vulnerabilidades de este tipo de detector se relacionan con la configuración del registro y pertenecen al tipo de detector LOGGING_SCANNER.

Detector Resumen Configuración de análisis de elementos
Audit logging disabled

Nombre de categoría en la API: AUDIT_LOGGING_DISABLED

Descripción de los hallazgos: Se inhabilitó el registro de auditoría para este recurso.

Este hallazgo no está disponible para activaciones a nivel de proyecto.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 2.1
  • CIS GCP Foundation 1.1: 2.1
  • CIS GCP Foundation 1.2: 2.1
  • CIS GCP Foundation 1.3: 2.1
  • CIS GCP Foundation 2.0: 2.1
  • NIST 800-53 R4: AC-2, AU-2
  • NIST 800-53 R5: AU-6, AU-7
  • PCI-DSS v3.2.1: 10.1, 10.2
  • PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3
  • ISO-27001 v2013: A.12.4.1, A.16.1.7
  • ISO-27001 v2022: A.5.25
  • Cloud Controls Matrix 4: LOG-05
  • NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1
  • SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5
  • HIPAA: 164.308(a)(1)(ii), 164.312(b)
  • CIS Controls 8.0: 8.11, 8.2

Verifica la política de permisos de IAM en los metadatos de recursos para la existencia de un objeto auditLogConfigs.

  • Análisis en tiempo real: Sí
Bucket logging disabled

Nombre de categoría en la API: BUCKET_LOGGING_DISABLED

Descripción del resultado: Hay un bucket de almacenamiento sin el registro habilitado.

Nivel de precios: Premium

Recursos admitidos
storage.googleapis.com/Bucket

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 5.3

Comprueba si el campo logBucket en la propiedad logging del bucket está vacío.

  • Análisis en tiempo real: Sí
Locked retention policy not set

Nombre de categoría en la API: LOCKED_RETENTION_POLICY_NOT_SET

Descripción del resultado: Una política de retención bloqueada no se establece para los registros.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
storage.googleapis.com/Bucket

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 2.3
  • CIS GCP Foundation 1.2: 2.3
  • CIS GCP Foundation 1.3: 2.3
  • CIS GCP Foundation 2.0: 2.3
  • NIST 800-53 R4: AU-11
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 10.5
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.12.4.2, A.18.1.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Comprueba si el campo isLocked en la propiedad retentionPolicy del bucket está configurado como true.

  • Entradas adicionales: Lee el receptor de registros (el filtro y el destino del registro) para un bucket a fin de determinar si es un bucket de registro.
  • Análisis en tiempo real: Sí
Log not exported

Nombre de categoría en la API: LOG_NOT_EXPORTED

Descripción de los hallazgos: Hay un recurso que no tiene configurado un receptor de registros adecuado.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 2.2
  • CIS GCP Foundation 1.1: 2.2
  • CIS GCP Foundation 1.2: 2.2
  • CIS GCP Foundation 1.3: 2.2
  • CIS GCP Foundation 2.0: 2.2
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2013: A.18.1.3
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.3

Recupera un objeto logSink de un proyecto y verifica que el campo includeChildren esté configurado como true, el campo destination incluye la ubicación en la que se deben escribir los registros y se propaga el campo filter.

  • Entradas adicionales: Lee el receptor de registros (el filtro y el destino del registro) para un bucket a fin de determinar si es un bucket de registro.
  • Análisis en tiempo real: Sí, pero solo en cambios de proyecto, no si la exportación de registros se configura en una organización o carpeta
Object versioning disabled

Nombre de categoría en la API: OBJECT_VERSIONING_DISABLED

Descripción del resultado: El control de versiones de objetos no está habilitado en un bucket de almacenamiento en el que están configurados los receptores.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
storage.googleapis.com/Bucket

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 2.3
  • NIST 800-53 R4: AU-11
  • PCI-DSS v3.2.1: 10.5
  • ISO-27001 v2013: A.12.4.2, A.18.1.3

Comprueba si el campo enabled en la propiedad versioning del bucket está configurado como true.

  • Elementos excluidos del análisis: buckets de Cloud Storage con una política de retención bloqueada
  • Entradas adicionales: Lee el receptor de registros (el filtro y el destino del registro) para un bucket a fin de determinar si es un bucket de registro.
  • Análisis en tiempo real: Sí, pero solo si cambia el control de versiones de los objetos, no si se crean buckets de registros

Resultados de las vulnerabilidades de Monitoring

Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de supervisión y pertenecen al tipo MONITORING_SCANNER. Todas las propiedades del hallazgo del detector de Monitoring incluyen lo siguiente:

  • El RecommendedLogFilter que se usará para crear las métricas de registro.
  • El QualifiedLogMetricNames que cubre las condiciones que se enumeran en el filtro de registro recomendado.
  • El AlertPolicyFailureReasons que indica si el proyecto no tiene políticas de alerta creadas para cualquiera de las métricas de registro calificadas o si las políticas de alertas existentes no tienen la configuración recomendada.
Detector Resumen Configuración de análisis de elementos
Audit config not monitored

Nombre de categoría en la API: AUDIT_CONFIG_NOT_MONITORED

Descripción del resultado: Las métricas y alertas de registro no están configuradas para supervisar los cambios de la configuración de auditoría.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 2.5
  • CIS GCP Foundation 1.1: 2.5
  • CIS GCP Foundation 1.2: 2.5
  • CIS GCP Foundation 1.3: 2.5
  • CIS GCP Foundation 2.0: 2.5
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se establece en protoPayload.methodName="SetIamPolicy" AND protoPayload.serviceData.policyDelta.auditConfigDeltas:* y, si se especifica resource.type, el valor es global. El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
  • Permisos de IAM adicionales: roles/monitoring.alertPolicyViewer
  • Entradas adicionales: Lee las métricas de registro del proyecto desde el almacenamiento. Lee la información de la cuenta de Google Cloud Observability de Google Cloud Observability, presentando hallazgos solo para proyectos con cuentas activas
  • Análisis en tiempo real: No
Bucket IAM not monitored

Nombre de categoría en la API: BUCKET_IAM_NOT_MONITORED

Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios de permiso de IAM de Cloud Storage.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 2.10
  • CIS GCP Foundation 1.1: 2.10
  • CIS GCP Foundation 1.2: 2.10
  • CIS GCP Foundation 1.3: 2.10
  • CIS GCP Foundation 2.0: 2.10
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como resource.type=gcs_bucket AND protoPayload.methodName="storage.setIamPermissions". El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
  • Permisos de IAM adicionales: roles/monitoring.alertPolicyViewer
  • Entradas adicionales: Lee las métricas de registro del proyecto desde el almacenamiento. Lee la información de la cuenta de Google Cloud Observability de Google Cloud Observability, presentando hallazgos solo para proyectos con cuentas activas
  • Análisis en tiempo real: No
Custom role not monitored

Nombre de categoría en la API: CUSTOM_ROLE_NOT_MONITORED

Descripción de los hallazgos: Las métricas y alertas de registro no están configuradas para supervisar los cambios de funciones personalizadas.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 2.6
  • CIS GCP Foundation 1.1: 2.6
  • CIS GCP Foundation 1.2: 2.6
  • CIS GCP Foundation 1.3: 2.6
  • CIS GCP Foundation 2.0: 2.6
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como resource.type="iam_role" AND (protoPayload.methodName="google.iam.admin.v1.CreateRole" OR protoPayload.methodName="google.iam.admin.v1.DeleteRole" OR protoPayload.methodName="google.iam.admin.v1.UpdateRole"). El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
  • Permisos de IAM adicionales: roles/monitoring.alertPolicyViewer
  • Entradas adicionales: Lee las métricas de registro del proyecto desde el almacenamiento. Lee la información de la cuenta de Google Cloud Observability de Google Cloud Observability, presentando hallazgos solo para proyectos con cuentas activas
  • Análisis en tiempo real: No
Firewall not monitored

Nombre de categoría en la API: FIREWALL_NOT_MONITORED

Descripción de los resultados: Las métricas y alertas de registros no están configuradas para supervisar los cambios de la regla de firewall de la red de nube privada virtual (VPC).

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 2.7
  • CIS GCP Foundation 1.1: 2.7
  • CIS GCP Foundation 1.2: 2.7
  • CIS GCP Foundation 1.3: 2.7
  • CIS GCP Foundation 2.0: 2.7
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como resource.type="gce_firewall_rule" AND (protoPayload.methodName:"compute.firewalls.insert" OR protoPayload.methodName:"compute.firewalls.patch" OR protoPayload.methodName:"compute.firewalls.delete"). El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
  • Permisos de IAM adicionales: roles/monitoring.alertPolicyViewer
  • Entradas adicionales: Lee las métricas de registro del proyecto desde el almacenamiento. Lee la información de la cuenta de Google Cloud Observability de Google Cloud Observability, presentando hallazgos solo para proyectos con cuentas activas
  • Análisis en tiempo real: No
Network not monitored

Nombre de categoría en la API: NETWORK_NOT_MONITORED

Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios de la red de VPC

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 2.9
  • CIS GCP Foundation 1.1: 2.9
  • CIS GCP Foundation 1.2: 2.9
  • CIS GCP Foundation 1.3: 2.9
  • CIS GCP Foundation 2.0: 2.9
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como resource.type="gce_network" AND (protoPayload.methodName:"compute.networks.insert" OR protoPayload.methodName:"compute.networks.patch" OR protoPayload.methodName:"compute.networks.delete" OR protoPayload.methodName:"compute.networks.removePeering" OR protoPayload.methodName:"compute.networks.addPeering"). El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
  • Permisos de IAM adicionales: roles/monitoring.alertPolicyViewer
  • Entradas adicionales: Lee las métricas de registro del proyecto desde el almacenamiento. Lee la información de la cuenta de Google Cloud Observability de Google Cloud Observability, presentando hallazgos solo para proyectos con cuentas activas
  • Análisis en tiempo real: No
Owner not monitored

Nombre de categoría en la API: OWNER_NOT_MONITORED

Descripción del resultado: Las métricas y alertas de registros no están configuradas para supervisar los cambios o las asignaciones de propiedad del proyecto.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 2.4
  • CIS GCP Foundation 1.1: 2.4
  • CIS GCP Foundation 1.2: 2.4
  • CIS GCP Foundation 1.3: 2.4
  • CIS GCP Foundation 2.0: 2.4
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se establece en (protoPayload.serviceName="cloudresourcemanager.googleapis.com") AND (ProjectOwnership OR projectOwnerInvitee) OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") y, si se especifica resource.type, el valor es global. El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
  • Permisos de IAM adicionales: roles/monitoring.alertPolicyViewer
  • Entradas adicionales: Lee las métricas de registro del proyecto desde el almacenamiento. Lee la información de la cuenta de Google Cloud Observability de Google Cloud Observability, presentando hallazgos solo para proyectos con cuentas activas
  • Análisis en tiempo real: No
Route not monitored

Nombre de categoría en la API: ROUTE_NOT_MONITORED

Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios de ruta de la red de VPC

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 2.8
  • CIS GCP Foundation 1.1: 2.8
  • CIS GCP Foundation 1.2: 2.8
  • CIS GCP Foundation 1.3: 2.8
  • CIS GCP Foundation 2.0: 2.8
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se configuró como resource.type="gce_route" AND (protoPayload.methodName:"compute.routes.delete" OR protoPayload.methodName:"compute.routes.insert"). El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
  • Permisos de IAM adicionales: roles/monitoring.alertPolicyViewer
  • Entradas adicionales: Lee las métricas de registro del proyecto desde el almacenamiento. Lee la información de la cuenta de Google Cloud Observability de Google Cloud Observability, presentando hallazgos solo para proyectos con cuentas activas
  • Análisis en tiempo real: No
SQL instance not monitored

SQL_INSTANCE_NOT_MONITORED

Descripción de los hallazgos: Las métricas y alertas de registros no están configuradas para supervisar los cambios en la configuración de la instancia de Cloud SQL.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
cloudresourcemanager.googleapis.com/Project

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 2.8
  • CIS GCP Foundation 1.1: 2.8
  • CIS GCP Foundation 1.2: 2.8
  • CIS GCP Foundation 1.3: 2.8
  • CIS GCP Foundation 2.0: 2.8
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
Comprueba si la propiedad filter del recurso LogsMetric del proyecto se establece en protoPayload.methodName="cloudsql.instances.update" OR protoPayload.methodName="cloudsql.instances.create" OR protoPayload.methodName="cloudsql.instances.delete" y, si se especifica resource.type, el valor es global. El detector también busca un recurso alertPolicy correspondiente y verifica que las propiedades conditions y notificationChannels estén configuradas correctamente.
  • Permisos de IAM adicionales: roles/monitoring.alertPolicyViewer
  • Entradas adicionales: Lee las métricas de registro del proyecto desde el almacenamiento. Lee la información de la cuenta de Google Cloud Observability de Google Cloud Observability, presentando hallazgos solo para proyectos con cuentas activas
  • Análisis en tiempo real: No

Resultados de autenticación de varios factores

El detector MFA_SCANNER identifica vulnerabilidades relacionadas con la autenticación de varios factores para los usuarios.

Detector Resumen Configuración de análisis de elementos
MFA not enforced

Nombre de categoría en la API: MFA_NOT_ENFORCED

Hay usuarios que no están usando la verificación en 2 pasos.

Google Workspace te permite especificar un período de gracia de inscripción para los usuarios nuevos. durante el cual deben inscribirse en la verificación en 2 pasos. Este detector crea resultados para usuarios durante el período de gracia de inscripción.

Este hallazgo no está disponible para activaciones a nivel de proyecto.

Nivel de precios: Premium o Estándar

Recursos admitidos
cloudresourcemanager.googleapis.com/Organization

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 1.2
  • CIS GCP Foundation 1.1: 1.2
  • CIS GCP Foundation 1.2: 1.2
  • CIS GCP Foundation 1.3: 1.2
  • CIS GCP Foundation 2.0: 1.2
  • NIST 800-53 R4: IA-2
  • PCI-DSS v3.2.1: 8.3
  • ISO-27001 v2013: A.9.4.2
  • ISO-27001 v2022: A.8.5

Evalúa las políticas de administración de identidades en las organizaciones y la configuración de usuarios para cuentas administradas en Cloud Identity.

  • Elementos excluidos de los análisis: Las unidades de la organización otorgadas excepciones a la política
  • Entradas adicionales: Lee datos de Google Workspace.
  • Análisis en tiempo real: No

Resultados de las vulnerabilidades de la red

Las vulnerabilidades de este tipo de detector se relacionan con la configuración de red de una organización y pertenecen al tipo NETWORK_SCANNER.

Detector Resumen Configuración de análisis de elementos
Default network

Nombre de categoría en la API: DEFAULT_NETWORK

Descripción del resultado: La red predeterminada existe en un proyecto.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Network

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 3.1
  • CIS GCP Foundation 1.1: 3.1
  • CIS GCP Foundation 1.2: 3.1
  • CIS GCP Foundation 1.3: 3.1
  • CIS GCP Foundation 2.0: 3.1
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Comprueba si la propiedad name en los metadatos de red está configurada en default.

  • Elementos excluidos de los análisis: Proyectos en los que la API de Compute Engine está inhabilitada y los recursos de Compute Engine están inmovilizados
  • Análisis en tiempo real: Sí
DNS logging disabled

Nombre de categoría en la API: DNS_LOGGING_DISABLED

Descripción de búsqueda: El registro DNS en una red de VPC no está habilitado.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Network
dns.googleapis.com/Policy

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 2.12
  • CIS GCP Foundation 1.3: 2.12
  • CIS GCP Foundation 2.0: 2.12
  • NIST 800-53 R5: AU-6, AU-7
  • PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3
  • ISO-27001 v2022: A.5.25
  • Cloud Controls Matrix 4: LOG-05
  • NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1
  • SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5
  • HIPAA: 164.308(a)(1)(ii), 164.312(b)
  • CIS Controls 8.0: 8.11, 8.2, 8.6

Comprueba todas las policies asociadas con una red de VPC a través del campo networks[].networkUrl y busca al menos una política que tenga enableLogging establecido en true.

  • Elementos excluidos de los análisis: Proyectos en los que la API de Compute Engine está inhabilitada y los recursos de Compute Engine están inmovilizados
  • Análisis en tiempo real: Sí
Legacy network

Nombre de categoría en la API: LEGACY_NETWORK

Descripción del resultado: Existe una red heredada en un proyecto.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Network

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 3.2
  • CIS GCP Foundation 1.1: 3.2
  • CIS GCP Foundation 1.2: 3.2
  • CIS GCP Foundation 1.3: 3.2
  • CIS GCP Foundation 2.0: 3.2
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Comprueba la existencia de metadatos de red para la existencia de la propiedad IPv4Range.

  • Elementos excluidos de los análisis: Proyectos en los que la API de Compute Engine está inhabilitada y los recursos de Compute Engine están inmovilizados
  • Análisis en tiempo real: Sí
Load balancer logging disabled

Nombre de categoría en la API: LOAD_BALANCER_LOGGING_DISABLED

Descripción del hallazgo: El registro está inhabilitado para el balanceador de cargas.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/BackendServices

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 2.0: 2.16
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2

Verifica si la propiedad enableLogging del servicio de backend en el balanceador de cargas se configura como true.

  • Análisis en tiempo real: Sí

Hallazgos de las vulnerabilidades de las políticas de la organización

Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de las restricciones de Política de la organización y pertenecen al tipo ORG_POLICY.

Detector Resumen Configuración de análisis de elementos
Org policy Confidential VM policy

Nombre de categoría en la API: ORG_POLICY_CONFIDENTIAL_VM_POLICY

Descripción del resultado: Un recurso de Compute Engine no cumple con la política de la organización constraints/compute.restrictNonConfidentialComputing. Para obtener más información sobre esta restricción de la política de la organización, consulta Aplica restricciones de políticas de la organización en Confidential VM.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Comprueba si la propiedad enableConfidentialCompute de una instancia de Compute Engine está configurada como true.

  • Elementos excluidos de los análisis: Instancias de GKE
  • Permisos de IAM adicionales: permissions/orgpolicy.policy.get
  • Entradas adicionales: Lee la política vigente de la organización del servicio de políticas de la organización.
  • Análisis en tiempo real: No
Org policy location restriction

Nombre de categoría en la API: ORG_POLICY_LOCATION_RESTRICTION

Descripción de los resultados: Un recurso de Compute Engine no cumple con la restricción constraints/gcp.resourceLocations. Para obtener más información sobre esta restricción de políticas de la organización, consulta Aplica restricciones de políticas de la organización.

Para las activaciones a nivel de proyecto del nivel Premium de Security Command Center, este hallazgo está disponible solo si el nivel Estándar está habilitado en el organización principal.

Nivel de precios: Premium

Recursos admitidos
En la siguiente fila, consulta Recursos admitidos para ORG_POLICY_LOCATION_RESTRICTION

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Comprueba la propiedad listPolicy en los metadatos de recursos admitidos para obtener una lista de las ubicaciones permitidas o denegadas.

  • Permisos de IAM adicionales: permissions/orgpolicy.policy.get
  • Entradas adicionales: Lee la política vigente de la organización del servicio de políticas de la organización.
  • Análisis en tiempo real: No

Elementos admitidos para ORG_POLICY_LOCATION_RESTRICTION

Compute Engine
compute.googleapis.com/Autoscaler
compute.googleapis.com/Address
compute.googleapis.com/Commitment
compute.googleapis.com/Disk
compute.googleapis.com/ForwardingRule
compute.googleapis.com/HealthCheck
compute.googleapis.com/Image
compute.googleapis.com/Instance
compute.googleapis.com/InstanceGroup
compute.googleapis.com/InstanceGroupManager
compute.googleapis.com/InterconnectAttachment
compute.googleapis.com/NetworkEndpointGroup
compute.googleapis.com/NodeGroup
compute.googleapis.com/NodeTemplate
compute.googleapis.com/PacketMirroring
compute.googleapis.com/RegionBackendService
compute.googleapis.com/RegionDisk
compute.googleapis.com/ResourcePolicy
compute.googleapis.com/Reservation
compute.googleapis.com/Router
compute.googleapis.com/Snapshot
compute.googleapis.com/SslCertificate
compute.googleapis.com/Subnetwork
compute.googleapis.com/TargetHttpProxy
compute.google.apis.com/TargetHttpsProxy
compute.googleapis.com/TargetInstance
compute.googleapis.com/TargetPool
compute.googleapis.com/TargetVpnGateway
compute.googleapis.com/UrlMap
compute.googleapis.com/VpnGateway
compute.googleapis.com/VpnTunnel

GKE
container.googleapis.com/Cluster
container.googleapis.com/NodePool

Cloud Storage
storage.googleapis.com/Bucket

Cloud KMS
cloudkms.googleapis.com/CryptoKey1
cloudkms.googleapis.com/CryptoKeyVersion1
cloudkms.googleapis.com/ImportJob2
cloudkms.googleapis.com/KeyRing1

Dataproc
dataproc.googleapis.com/Cluster

BigQuery
bigquery.googleapis.com/Dataset

Dataflow
dataflow.googleapis.com/Job3

Cloud SQL
sqladmin.googleapis.com/Instance

Cloud Composer
composer.googleapis.com/Environment

Registro
logging.googleapis.com/LogBucket

Pub/Sub
pubsub.googleapis.com/Topic

Vertex AI
aiplatform.googleapis.com/BatchPredictionJob
aiplatform.googleapis.com/CustomJob
aiplatform.googleapis.com/DataLabelingJob
aiplatform.googleapis.com/Dataset
aiplatform.googleapis.com/Endpoint
aiplatform.googleapis.com/HyperparameterTuningJob
aiplatform.googleapis.com/Model
aiplatform.googleapis.com/SpecialistPool
aiplatform.googleapis.com/TrainingPipeline

Artifact Registry
artifactregistry.googleapis.com/Repository

1 Debido a que los recursos de Cloud KMS no se pueden borrar, el el recurso no se considera fuera de la región si los datos del recurso se antes de que se destruyan.

2 Debido a que los trabajos de importación de Cloud KMS tienen un ciclo de vida controlado y no se pueden finalizar de forma anticipada, un ImportJob no se considera fuera de la región si el trabajo venció y ya no se puede usar para importar claves.

3 Debido a que no se puede administrar el ciclo de vida de los trabajos de Dataflow, un trabajo no se considera fuera de la región una vez que alcanza un estado terminal (detenido o desviado), en el que ya no se pueden usar para procesar datos.

Resultados de vulnerabilidades de Pub/Sub

Las vulnerabilidades de este tipo de detector se relacionan con las configuraciones de Pub/Sub y pertenecen al tipo PUBSUB_SCANNER.

Detector Resumen Configuración de análisis de elementos
Pubsub CMEK disabled

Nombre de categoría en la API: PUBSUB_CMEK_DISABLED

Descripción del resultado: Un tema de Pub/Sub no se encripta con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Nivel de precios: Premium

Recursos admitidos
pubsub.googleapis.com/Topic

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Comprueba el campo kmsKeyName para el nombre del recurso de tu CMEK.

  • Análisis en tiempo real: Sí

Resultados de las vulnerabilidades de SQL

Las vulnerabilidades de este tipo de detector se relacionan con la configuración de Cloud SQL y pertenecen al tipo SQL_SCANNER.

Detector Resumen Configuración de análisis de elementos
AlloyDB auto backup disabled

Nombre de categoría en la API: ALLOYDB_AUTO_BACKUP_DISABLED

Descripción del hallazgo: Un clúster de AlloyDB para PostgreSQL no tiene habilitadas las copias de seguridad automáticas.

Nivel de precios: Premium

Recursos admitidos
alloydb.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)

Verifica si el elemento La propiedad automated_backup_policy.enabled en los metadatos de una El clúster de AlloyDB para PostgreSQL está configurado en true.

  • Recursos excluidos de los análisis: AlloyDB para PostgreSQL secundaria clústeres
  • Análisis en tiempo real: Sí
AlloyDB backups disabled

Nombre de categoría en la API: ALLOYDB_BACKUPS_DISABLED

Descripción del hallazgo: Un clúster de AlloyDB para PostgreSQL no tiene habilitadas las copias de seguridad.

Nivel de precios: Premium

Recursos admitidos
alloydb.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)

Comprueba si el automated_backup_policy.enabled o Propiedades continuous_backup_policy.enabled en los metadatos de un El clúster de AlloyDB para PostgreSQL está configurado en true.

  • Recursos excluidos de los análisis: AlloyDB para PostgreSQL secundaria clústeres
  • Análisis en tiempo real: Sí
AlloyDB CMEK disabled

Nombre de categoría en la API: ALLOYDB_CMEK_DISABLED

Descripción del resultado: Un clúster de AlloyDB no está encriptado con claves de encriptación administradas por el cliente (CMEK).

Nivel de precios: Premium

Recursos admitidos
alloydb.googleapis.com/Cluster

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Verifica el campo encryption_type en los metadatos del clúster para determinar. si CMEK está habilitada.

  • Análisis en tiempo real: Sí
AlloyDB log min error statement severity

Nombre de categoría en la API: ALLOYDB_LOG_MIN_ERROR_STATEMENT_SEVERITY

Descripción del hallazgo: La marca de base de datos log_min_error_statement para AlloyDB para PostgreSQL no está configurada en error ni en otro valor recomendado.

Nivel de precios: Premium

Recursos admitidos
alloydb.googleapis.com/Instances

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el El campo log_min_error_statement de la propiedad databaseFlags es no establecido en uno de los siguientes valores: debug5, debug4, debug3, debug2, debug1, info, notice, warning o el valor predeterminado error.

  • Análisis en tiempo real: Sí
AlloyDB log min messages

Nombre de categoría en la API: ALLOYDB_LOG_MIN_MESSAGES

Descripción del hallazgo: La marca de base de datos log_min_messages para una instancia de AlloyDB para PostgreSQL no está establecido en warning ni en otro valor recomendado.

Nivel de precios: Premium

Recursos admitidos
alloydb.googleapis.com/Instances

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el El campo log_min_messages de la propiedad databaseFlags no es Establécelo en uno de los siguientes valores: debug5, debug4 y debug3 debug2, debug1 y info, notice o el valor predeterminado warning.

  • Análisis en tiempo real: Sí
AlloyDB log error verbosity

Nombre de categoría en la API: ALLOYDB_LOG_ERROR_VERBOSITY

Descripción del hallazgo: La marca de base de datos log_error_verbosity para AlloyDB para PostgreSQL no está configurada en default ni en otro valor recomendado.

Nivel de precios: Premium

Recursos admitidos
alloydb.googleapis.com/Instances

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el El campo log_error_verbosity de la propiedad databaseFlags es no está establecido en uno de los siguientes valores: verbose o el valor predeterminado default

  • Análisis en tiempo real: Sí
AlloyDB public IP

Nombre de categoría en la API: ALLOYDB_PUBLIC_IP

Descripción del hallazgo: Una instancia de base de datos de AlloyDB para PostgreSQL tiene una dirección IP pública.

Nivel de precios: Premium

Recursos admitidos
alloydb.googleapis.com/Instances

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3, 4.6

Verifica si la propiedad instanceNetworkConfig enablePublicIp está configurado para permitir direcciones IP públicas.

  • Análisis en tiempo real: Sí
AlloyDB SSL not enforced

Nombre de categoría en la API: ALLOYDB_SSL_NOT_ENFORCED

Descripción del resultado: Una instancia de base de datos de AlloyDB para PostgreSQL no requiere que todas las conexiones entrantes usen SSL.

Nivel de precios: Premium

Recursos admitidos
alloydb.googleapis.com/Instances

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3

Verifica si la propiedad sslMode de la instancia de AlloyDB para PostgreSQL se estableció en ENCRYPTED_ONLY.

  • Análisis en tiempo real: Sí
Auto backup disabled

Nombre de categoría en la API: AUTO_BACKUP_DISABLED

Descripción del resultado: Una base de datos de Cloud SQL no tiene habilitadas las copias de seguridad automáticas.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.7
  • CIS GCP Foundation 1.2: 6.7
  • CIS GCP Foundation 1.3: 6.7
  • CIS GCP Foundation 2.0: 6.7
  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)
  • CIS Controls 8.0: 11.2

Comprueba si la propiedad backupConfiguration.enabled de un dato de Cloud SQL está configurado como true.

  • Elementos excluidos de los análisis: Réplicas de Cloud SQL
  • Entradas adicionales: Lee las políticas de permisos de IAM para los principales del almacenamiento de recursos de Security Health Analytics.
  • Análisis en tiempo real: Sí
Public SQL instance

Nombre de categoría en la API: PUBLIC_SQL_INSTANCE

Descripción de los hallazgos: Una instancia de base de datos de Cloud SQL acepta conexiones de todas las direcciones IP.

Nivel de precios: Premium o Estándar

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 6.2
  • CIS GCP Foundation 1.1: 6.5
  • CIS GCP Foundation 1.2: 6.5
  • CIS GCP Foundation 1.3: 6.5
  • CIS GCP Foundation 2.0: 6.5
  • NIST 800-53 R4: CA-3, SC-7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.13.1.3, A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Comprueba si la propiedad authorizedNetworks de instancias de Cloud SQL está configurada en una dirección IP única o en un rango de direcciones IP.

  • Análisis en tiempo real: Sí
SSL not enforced

Nombre de categoría en la API: SSL_NOT_ENFORCED

Descripción del resultado: Una instancia de base de datos de Cloud SQL no necesita que todas las conexiones entrantes usen SSL.

Nivel de precios: Premium o Estándar

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3

Comprueba si la propiedad sslMode de que la instancia de Cloud SQL esté configurada en un modo SSL aprobado, ENCRYPTED_ONLY o TRUSTED_CLIENT_CERTIFICATE_REQUIRED.

  • Análisis en tiempo real: Sí
SQL CMEK disabled

Nombre de categoría en la API: SQL_CMEK_DISABLED

Descripción del resultado: Una instancia de base de datos SQL no está encriptada con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Comprueba el campo kmsKeyName del objeto diskEncryptionKey, en los metadatos de la instancia, para el nombre del recurso de tu CMEK.

  • Análisis en tiempo real: Sí
SQL contained database authentication

Nombre de categoría en la API: SQL_CONTAINED_DATABASE_AUTHENTICATION

Descripción de los hallazgos: La marca de la base de datos contained database authentication de una instancia de Cloud SQL para SQL Server no está configurada como off.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.3.2
  • CIS GCP Foundation 1.2: 6.3.7
  • CIS GCP Foundation 1.3: 6.3.7
  • CIS GCP Foundation 2.0: 6.3.7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Comprueba la propiedad databaseFlags de los metadatos de la instancia para el par clave-valor, "name": "contained database authentication", "value": "on" o si está habilitado de forma predeterminada.

  • Análisis en tiempo real: Sí
SQL cross DB ownership chaining

Nombre de categoría en la API: SQL_CROSS_DB_OWNERSHIP_CHAINING

Descripción de los hallazgos: La marca de la base de datos cross_db_ownership_chaining de una instancia de Cloud SQL para SQL Server no está configurada como off.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.3.1
  • CIS GCP Foundation 1.2: 6.3.2
  • CIS GCP Foundation 1.3: 6.3.2
  • CIS GCP Foundation 2.0: 6.3.2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "cross_db_ownership_chaining", "value": "on".

  • Análisis en tiempo real: Sí
SQL external scripts enabled

Nombre de categoría en la API: SQL_EXTERNAL_SCRIPTS_ENABLED

Descripción de los hallazgos: La marca de la base de datos external scripts enabled de una instancia de Cloud SQL para SQL Server no está configurada como off.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.3.1
  • CIS GCP Foundation 1.3: 6.3.1
  • CIS GCP Foundation 2.0: 6.3.1
  • NIST 800-53 R5: CM-7, SI-7
  • PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.3
  • NIST Cybersecurity Framework 1.0: PR-IP-1, PR-PT-3
  • SOC2 v2017: CC5.2.1, CC5.2.2, CC5.2.3, CC5.2.4
  • CIS Controls 8.0: 2.7

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "external scripts enabled", "value": "off".

  • Análisis en tiempo real: Sí
SQL local infile

Nombre de categoría en la API: SQL_LOCAL_INFILE

Descripción de los hallazgos: La marca de la base de datos local_infile de una instancia de Cloud SQL para MySQL no se configuró como off.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.1.2
  • CIS GCP Foundation 1.2: 6.1.3
  • CIS GCP Foundation 1.3: 6.1.3
  • CIS GCP Foundation 2.0: 6.1.3
  • NIST 800-53 R5: CM-6, CM-7
  • PCI-DSS v4.0: 2.2.1
  • ISO-27001 v2022: A.8.8
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • CIS Controls 8.0: 16.7

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "local_infile", "value": "on".

  • Análisis en tiempo real: Sí
SQL log checkpoints disabled

Nombre de categoría en la API: SQL_LOG_CHECKPOINTS_DISABLED

Descripción de los hallazgos: La marca de la base de datos log_checkpoints para una instancia de Cloud SQL para PostgreSQL no está configurada como on.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.2.1
  • CIS GCP Foundation 1.2: 6.2.1

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "log_checkpoints", "value": "on".

  • Análisis en tiempo real: Sí
SQL log connections disabled

Nombre de categoría en la API: SQL_LOG_CONNECTIONS_DISABLED

Descripción de los hallazgos: La marca de la base de datos log_connections para una instancia de Cloud SQL para PostgreSQL no está configurada como on.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.2.2
  • CIS GCP Foundation 1.2: 6.2.3
  • CIS GCP Foundation 1.3: 6.2.2
  • CIS GCP Foundation 2.0: 6.2.2
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "log_connections", "value": "on".

  • Análisis en tiempo real: Sí
SQL log disconnections disabled

Nombre de categoría en la API: SQL_LOG_DISCONNECTIONS_DISABLED

Descripción de los hallazgos: La marca de la base de datos log_disconnections de una instancia de Cloud SQL para PostgreSQL no está configurada como on.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.2.3
  • CIS GCP Foundation 1.2: 6.2.4
  • CIS GCP Foundation 1.3: 6.2.3
  • CIS GCP Foundation 2.0: 6.2.3
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "log_disconnections", "value": "on".

  • Análisis en tiempo real: Sí
SQL log duration disabled

Nombre de categoría en la API: SQL_LOG_DURATION_DISABLED

Descripción de los hallazgos: La marca de la base de datos log_duration de una instancia de Cloud SQL para PostgreSQL no está configurada como on.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.2.5

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "log_duration", "value": "on".

  • Análisis en tiempo real: Sí
SQL log error verbosity

Nombre de categoría en la API: SQL_LOG_ERROR_VERBOSITY

Descripción del hallazgo: La marca de base de datos log_error_verbosity para un La instancia de Cloud SQL para PostgreSQL no está configurada en default ni verbose.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.2.2
  • CIS GCP Foundation 1.3: 6.2.1
  • CIS GCP Foundation 2.0: 6.2.1
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Comprueba si la propiedad databaseFlags de los metadatos de la instancia para el campo log_error_verbosity está configurada en default o verbose.

  • Análisis en tiempo real: Sí
SQL log lock waits disabled

Nombre de categoría en la API: SQL_LOG_LOCK_WAITS_DISABLED

Descripción de los hallazgos: La marca de la base de datos log_lock_waits para una instancia de Cloud SQL para PostgreSQL no está configurada como on.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.2.4
  • CIS GCP Foundation 1.2: 6.2.6

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "log_lock_waits", "value": "on".

  • Análisis en tiempo real: Sí
SQL log min duration statement enabled

Nombre de categoría en la API: SQL_LOG_MIN_DURATION_STATEMENT_ENABLED

Descripción de los hallazgos: La marca de la base de datos log_min_duration_statement de una instancia de Cloud SQL para PostgreSQL no está configurada como “-1”.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.2.7
  • CIS GCP Foundation 1.2: 6.2.16
  • CIS GCP Foundation 1.3: 6.2.8
  • CIS GCP Foundation 2.0: 6.2.7
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "log_min_duration_statement", "value": "-1".

  • Análisis en tiempo real: Sí
SQL log min error statement

Nombre de categoría en la API: SQL_LOG_MIN_ERROR_STATEMENT

Descripción de los hallazgos: La marca de la base de datos log_min_error_statement para una instancia de Cloud SQL para PostgreSQL no se configuró de forma adecuada.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.2.5

Comprueba si el campo log_min_error_statement de la propiedad databaseFlags se configura como uno de los siguientes valores: debug5, debug4, debug3, debug2, debug1, info, notice, warning o el valor predeterminado error.

  • Análisis en tiempo real: Sí
SQL log min error statement severity

Nombre de categoría en la API: SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY

Descripción de los resultados: La marca de la base de datos log_min_error_statement de una instancia de Cloud SQL para PostgreSQL no tiene un nivel de gravedad adecuado.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.2.14
  • CIS GCP Foundation 1.3: 6.2.7
  • CIS GCP Foundation 2.0: 6.2.6
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Comprueba si el campo log_min_error_statement de la propiedad databaseFlags está configurado en uno de los siguientes valores: error, log, fatal o panic.

  • Análisis en tiempo real: Sí
SQL log min messages

Nombre de categoría en la API: SQL_LOG_MIN_MESSAGES

Descripción del hallazgo: La marca de base de datos log_min_messages para Cloud SQL para PostgreSQL no está configurada en warning ni en otro valor recomendado.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.2.13
  • CIS GCP Foundation 1.3: 6.2.6
  • CIS GCP Foundation 2.0: 6.2.5
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Para garantizar una cobertura adecuada de los tipos de mensajes en los registros, emite un hallazgo si el El campo log_min_messages de la propiedad databaseFlags no es Establécelo en uno de los siguientes valores: debug5, debug4 y debug3 debug2, debug1 y info, notice o el valor predeterminado warning.

  • Análisis en tiempo real: Sí
SQL log executor stats enabled

Nombre de categoría en la API: SQL_LOG_EXECUTOR_STATS_ENABLED

Descripción de los hallazgos: La marca de la base de datos log_executor_stats para una instancia de Cloud SQL para PostgreSQL no está configurada como off.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.2.11

Comprueba si la propiedad databaseFlags de los metadatos de la instancia para el campo log_executor_stats está configurada como on.

  • Análisis en tiempo real: Sí
SQL log hostname enabled

Nombre de categoría en la API: SQL_LOG_HOSTNAME_ENABLED

Descripción de los hallazgos: La marca de la base de datos log_hostname para una instancia de Cloud SQL para PostgreSQL no está configurada como off.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.2.8

Comprueba si la propiedad databaseFlags de los metadatos de la instancia para el campo log_hostname está configurada como on.

  • Análisis en tiempo real: Sí
SQL log parser stats enabled

Nombre de categoría en la API: SQL_LOG_PARSER_STATS_ENABLED

Descripción de los hallazgos: La marca de la base de datos log_parser_stats para una instancia de Cloud SQL para PostgreSQL no está configurada como off.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.2.9

Comprueba si la propiedad databaseFlags de los metadatos de la instancia para el campo log_parser_stats está configurada como on.

  • Análisis en tiempo real: Sí
SQL log planner stats enabled

Nombre de categoría en la API: SQL_LOG_PLANNER_STATS_ENABLED

Descripción de los hallazgos: La marca de la base de datos log_planner_stats para una instancia de Cloud SQL para PostgreSQL no está configurada como off.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.2.10

Comprueba si la propiedad databaseFlags de los metadatos de la instancia para el campo log_planner_stats está configurada como on.

  • Análisis en tiempo real: Sí
SQL log statement

Nombre de categoría en la API: SQL_LOG_STATEMENT

Descripción de los resultados: La marca de la base de datos log_statement de una instancia de Cloud SQL para PostgreSQL no está configurada como ddl (todas las declaraciones de definición de datos).

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.2.7
  • CIS GCP Foundation 1.3: 6.2.4
  • CIS GCP Foundation 2.0: 6.2.4
  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS Controls 8.0: 8.5

Comprueba si la propiedad databaseFlags de los metadatos de la instancia para el campo log_statement está configurada como ddl.

  • Análisis en tiempo real: Sí
SQL log statement stats enabled

Nombre de categoría en la API: SQL_LOG_STATEMENT_STATS_ENABLED

Descripción de los hallazgos: La marca de la base de datos log_statement_stats para una instancia de Cloud SQL para PostgreSQL no está configurada como off.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.2.12

Comprueba si la propiedad databaseFlags de los metadatos de la instancia para el campo log_statement_stats está configurada como on.

  • Análisis en tiempo real: Sí
SQL log temp files

Nombre de categoría en la API: SQL_LOG_TEMP_FILES

Descripción de los hallazgos: La marca de la base de datos log_temp_files de una instancia de Cloud SQL para PostgreSQL no está configurada en “0”.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.2.6
  • CIS GCP Foundation 1.2: 6.2.15

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "log_temp_files", "value": "0".

  • Análisis en tiempo real: Sí
SQL no root password

Nombre de categoría en la API: SQL_NO_ROOT_PASSWORD

Descripción del resultado: Una base de datos de Cloud SQL que tiene una dirección IP pública no tiene contraseña configurada para la cuenta raíz. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 6.3
  • CIS GCP Foundation 1.1: 6.1.1
  • CIS GCP Foundation 1.2: 6.1.1
  • CIS GCP Foundation 1.3: 6.1.1
  • CIS GCP Foundation 2.0: 6.1.1
  • NIST 800-53 R4: AC-3
  • PCI-DSS v3.2.1: 2.1
  • ISO-27001 v2013: A.8.2.3, A.9.4.2
  • ISO-27001 v2022: A.8.5

Comprueba si la propiedad rootPassword de la cuenta raíz está vacía.

  • Permisos de IAM adicionales: roles/cloudsql.client
  • Entradas adicionales: Consultas instancias activas
  • Análisis en tiempo real: No
SQL public IP

Nombre de categoría en la API: SQL_PUBLIC_IP

Descripción de los hallazgos: Una base de datos de Cloud SQL tiene una dirección IP pública.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.1: 6.6
  • CIS GCP Foundation 1.2: 6.6
  • CIS GCP Foundation 1.3: 6.6
  • CIS GCP Foundation 2.0: 6.2.9, 6.6
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3, 4.6

Comprueba si el tipo de dirección IP de una base de datos de Cloud SQL está configurada como Primary, lo que indica que es pública.

  • Análisis en tiempo real: Sí
SQL remote access enabled

Nombre de categoría en la API: SQL_REMOTE_ACCESS_ENABLED

Descripción de los hallazgos: La marca de la base de datos remote access de una instancia de Cloud SQL para SQL Server no está configurada como off.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.3.5
  • CIS GCP Foundation 1.3: 6.3.5
  • CIS GCP Foundation 2.0: 6.3.5
  • NIST 800-53 R5: CM-6, CM-7
  • PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1
  • ISO-27001 v2022: A.8.9
  • SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4
  • CIS Controls 8.0: 4.8

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "remote access", "value": "off".

  • Análisis en tiempo real: Sí
SQL skip show database disabled

Nombre de categoría en la API: SQL_SKIP_SHOW_DATABASE_DISABLED

Descripción de los hallazgos: La marca de la base de datos skip_show_database de una instancia de Cloud SQL para MySQL no se configuró como on.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.1.2
  • CIS GCP Foundation 1.3: 6.1.2
  • CIS GCP Foundation 2.0: 6.1.2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "skip_show_database", "value": "on".

  • Análisis en tiempo real: Sí
SQL trace flag 3625

Nombre de categoría en la API: SQL_TRACE_FLAG_3625

Descripción de los hallazgos: La marca de la base de datos 3625 (trace flag) de una instancia de Cloud SQL para SQL Server no está configurada como on.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.3.6
  • CIS GCP Foundation 2.0: 6.3.6
  • NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.1, A.8.9
  • Cloud Controls Matrix 4: CCC-01
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9
  • CIS Controls 8.0: 4.1

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "3625 (trace flag)", "value": "on".

  • Análisis en tiempo real: Sí
SQL user connections configured

Nombre de categoría en la API: SQL_USER_CONNECTIONS_CONFIGURED

Descripción de los resultados: Se configura la marca de base de datos user connections de una instancia de Cloud SQL para SQL Server.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.3.3
  • CIS GCP Foundation 1.3: 6.3.3
  • CIS GCP Foundation 2.0: 6.3.3
  • NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.1, A.8.9
  • Cloud Controls Matrix 4: CCC-01
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9
  • CIS Controls 8.0: 4.1

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "user connections", "value": "0".

  • Análisis en tiempo real: Sí
SQL user options configured

Nombre de categoría en la API: SQL_USER_OPTIONS_CONFIGURED

Descripción de los resultados: Se configura la marca de base de datos user options de una instancia de Cloud SQL para SQL Server.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 6.3.4
  • CIS GCP Foundation 1.3: 6.3.4
  • CIS GCP Foundation 2.0: 6.3.4
  • NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.1, A.8.9
  • Cloud Controls Matrix 4: CCC-01
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9
  • CIS Controls 8.0: 4.1

Verifica la propiedad databaseFlags de los metadatos de la instancia del par clave-valor "name": "user options", "value": "" (vacío).

  • Análisis en tiempo real: Sí
SQL weak root password

Nombre de categoría en la API: SQL_WEAK_ROOT_PASSWORD

Descripción del resultado: Una base de datos de Cloud SQL que tiene una dirección IP pública también tiene una contraseña poco segura configurado para la cuenta raíz. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Nivel de precios: Premium

Recursos admitidos
sqladmin.googleapis.com/Instance

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Compara la contraseña de la cuenta raíz de tu base de datos de Cloud SQL con una lista de contraseñas comunes.

  • Permisos de IAM adicionales: roles/cloudsql.client
  • Entradas adicionales: Consultas instancias activas
  • Análisis en tiempo real: No

Resultados de las vulnerabilidades de Storage

Las vulnerabilidades de este tipo de detector se relacionan con las opciones de configuración de depósitos de Cloud Storage y pertenecen al tipo STORAGE_SCANNER.

Detector Resumen Configuración de análisis de elementos
Bucket CMEK disabled

Nombre de categoría en la API: BUCKET_CMEK_DISABLED

Descripción de los hallazgos: Un bucket no está encriptado con claves de encriptación administradas por el cliente (CMEK). Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita detectores.

Nivel de precios: Premium

Recursos admitidos
storage.googleapis.com/Bucket

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Comprueba el campo encryption en los metadatos del bucket para el nombre de recurso de tu CMEK.

  • Análisis en tiempo real: Sí
Bucket policy only disabled

Nombre de categoría en la API: BUCKET_POLICY_ONLY_DISABLED

Descripción del resultado: No se configuró el acceso uniforme a nivel de bucket, que antes se denominaba Solo política del bucket.

Nivel de precios: Premium

Recursos admitidos
storage.googleapis.com/Bucket

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.2: 5.2
  • CIS GCP Foundation 1.3: 5.2
  • CIS GCP Foundation 2.0: 5.2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Comprueba si la propiedad uniformBucketLevelAccess de un bucket está configurada en "enabled":false.

  • Análisis en tiempo real: Sí
Public bucket ACL

Nombre de categoría en la API: PUBLIC_BUCKET_ACL

Descripción del resultado:Un bucket de Cloud Storage es de acceso público.

Nivel de precios: Premium o Estándar

Recursos admitidos
storage.googleapis.com/Bucket

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 5.1
  • CIS GCP Foundation 1.1: 5.1
  • CIS GCP Foundation 1.2: 5.1
  • CIS GCP Foundation 1.3: 5.1
  • CIS GCP Foundation 2.0: 5.1
  • NIST 800-53 R4: AC-2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Verifica la política de permisos de IAM de un bucket roles públicos, allUsers o allAuthenticatedUsers

  • Análisis en tiempo real: Sí
Public log bucket

Nombre de categoría en la API: PUBLIC_LOG_BUCKET

Descripción del resultado:: Un bucket de almacenamiento que se usa como receptor de registros es de acceso público.

Este hallazgo no está disponible para activaciones a nivel de proyecto.

Nivel de precios: Premium o Estándar

Recursos admitidos
storage.googleapis.com/Bucket

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R4: AU-9
  • PCI-DSS v3.2.1: 10.5
  • ISO-27001 v2013: A.12.4.2, A.18.1.3, A.8.2.3

Verifica la política de permisos de IAM de un bucket para las principales allUsers o allAuthenticatedUsers, que otorgan acceso público.

  • Entradas adicionales: Lee el receptor de registros (el filtro y el destino del registro) para un bucket a fin de determinar si es un bucket de registro.
  • Análisis en tiempo real: Sí, pero solo si cambia la política de IAM en el bucket, no si se cambia el receptor de registros

Resultados de las vulnerabilidades de subred

Las vulnerabilidades de este tipo de detector se relacionan con las opciones de configuración de la subred de una organización y pertenecen al tipo SUBNETWORK_SCANNER.

Detector Resumen Configuración de análisis de elementos
Flow logs disabled

Nombre de categoría en la API: FLOW_LOGS_DISABLED

Descripción del resultado: Hay una subred de VPC que tiene los registros de flujo inhabilitados.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Subnetwork

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 3.9
  • CIS GCP Foundation 1.1: 3.8
  • CIS GCP Foundation 1.2: 3.8
  • NIST 800-53 R4: SI-4
  • PCI-DSS v3.2.1: 10.1, 10.2
  • ISO-27001 v2013: A.13.1.1

Comprueba si falta la propiedad enableFlowLogs de las subredes de Compute Engine, o si se configura como false.

  • Elementos excluidos de los análisis: Acceso al VPC sin servidores y subredes del balanceador de cargas
  • Análisis en tiempo real: Sí

Descripción del hallazgo: Para una subred de VPC, los registros de flujo de VPC están desactivados o no configurados de acuerdo con las recomendaciones de CIS Benchmark 1.3. Este detector requiere configuración adicional para habilitarlo. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Nivel de precios: Premium

Recursos admitidos
compute.googleapis.com/Subnetwork

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.3: 3.8
  • CIS GCP Foundation 2.0: 3.8
  • NIST 800-53 R5: SI-4
  • ISO-27001 v2022: A.8.15, A.8.16
  • Cloud Controls Matrix 4: IVS-03
  • NIST Cybersecurity Framework 1.0: DE-CM-1
  • SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4
  • CIS Controls 8.0: 13.6, 8.2

Verifica si la propiedad enableFlowLogs de subredes de VPC falta o está configurada en false Si los registros de flujo de VPC están habilitados, verifica la propiedad Aggregation Interval establecida en 5 SEC, el Include metadata establecido en true, el Sample rate en 100%.

  • Elementos excluidos de los análisis: Acceso al VPC sin servidores y subredes del balanceador de cargas
  • Análisis en tiempo real: Sí
Private Google access disabled

Nombre de categoría en la API: PRIVATE_GOOGLE_ACCESS_DISABLED

Descripción del resultado: Existen subredes privadas sin acceso a las API públicas de Google.

Nivel de precios: Premium

Recursos admitidos
storage.googleapis.com/Bucket
compute.googleapis.com/Subnetwork

Corregir este resultado

Estándares de cumplimiento:

  • CIS GCP Foundation 1.0: 3.8

Comprueba si la propiedad privateIpGoogleAccess de las subredes de Compute Engine está configurada en false.

  • Análisis en tiempo real: Sí

Hallazgos de AWS

Detector Resumen Configuración de análisis de elementos

AWS Cloud Shell Full Access Restricted

Nombre de categoría en la API: ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED

Descripción del hallazgo:

AWS Cloud Shell es una forma conveniente de ejecutar comandos de CLI con los servicios de AWS. una política de IAM administrada (“AWSCloudShellFullAccess”) proporciona acceso completo a Cloud Shell, lo que permite cargar y descargar archivos entre el sistema local del usuario y el entorno de Cloud Shell. Dentro del entorno de Cloud Shell, un usuario tiene permisos sudo y puede acceder a Internet. Por lo tanto, es factible instalar un software de transferencia de archivos (por ejemplo) y trasladar datos de Cloud Shell a servidores de Internet externos.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • CIS AWS Foundation 2.0.0: 1.22

Asegúrate de que el acceso a AWSCloudShellFullAccess esté restringido

  • Análisis en tiempo real: No

Access Keys Rotated Every 90 Days or Less

Nombre de categoría en la API: ACCESS_KEYS_ROTATED_90_DAYS_LESS

Descripción del hallazgo:

Las claves de acceso constan de un ID de clave de acceso y una clave de acceso secreta, que se usan para firmar las solicitudes programáticas que realizas a AWS. Los usuarios de AWS necesitan sus propias claves de acceso para realizar llamadas programáticas a AWS desde la interfaz de línea de comandos de AWS (CLI de AWS), Tools for Windows PowerShell, los SDK de AWS o llamadas HTTP directas mediante las API para servicios individuales de AWS. Se recomienda rotar todas las claves de acceso con regularidad.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-3(15)
  • PCI-DSS v3.2.1: 8.2.4
  • CIS AWS Foundation 2.0.0: 1.14
  • CIS Controls 8.0: 5

Asegúrate de que las claves de acceso se roten cada 90 días o menos

  • Análisis en tiempo real: No

All Expired Ssl Tls Certificates Stored Aws Iam Removed

Nombre de categoría en la API: ALL_EXPIRED_SSL_TLS_CERTIFICATES_STORED_AWS_IAM_REMOVED

Descripción del hallazgo:

Para habilitar las conexiones HTTPS a tu sitio web o aplicación en AWS, necesitas un certificado de servidor SSL/TLS. Puedes usar ACM o IAM para almacenar e implementar certificados de servidor.
Usa IAM como administrador de certificados solo cuando debas admitir conexiones HTTPS en una región que ACM no admita. IAM encripta de forma segura tus claves privadas y almacena la versión encriptada en el almacenamiento de certificados SSL de IAM. IAM admite la implementación de certificados de servidor en todas las regiones, pero debes obtener el certificado de un proveedor externo para usarlo con AWS. No puedes subir un certificado de ACM a IAM. Además, no puedes administrar tus certificados desde la consola de IAM.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AU-11, CM-12, SI-12
  • PCI-DSS v4.0: 9.4.2
  • ISO-27001 v2022: A.5.10, A.5.9, A.8.1
  • Cloud Controls Matrix 4: DSP-01
  • NIST Cybersecurity Framework 1.0: PR-IP-6
  • CIS AWS Foundation 2.0.0: 1.19
  • CIS Controls 8.0: 3.1

Asegúrate de quitar todos los certificados SSL o TLS vencidos que estén almacenados en IAM de AWS

  • Análisis en tiempo real: No

Autoscaling Group Elb Healthcheck Required

Nombre de categoría en la API: AUTOSCALING_GROUP_ELB_HEALTHCHECK_REQUIRED

Descripción del hallazgo:

Esto verifica si tus grupos de ajuste de escala automático asociados a un balanceador de cargas usan las verificaciones de estado de Elastic Load Balancing.

Esto garantiza que el grupo pueda determinar el estado de una instancia en función de las pruebas adicionales que proporciona el balanceador de cargas. El uso de las verificaciones de estado de Elastic Load Balancing puede ayudar a admitir la disponibilidad de aplicaciones que usan grupos de ajuste de escala automático de EC2.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-2

Verifica que todos los grupos de ajuste de escala automático asociados con un balanceador de cargas utilicen comprobaciones de estado

  • Análisis en tiempo real: No

Auto Minor Version Upgrade Feature Enabled Rds Instances

Nombre de categoría en la API: AUTO_MINOR_VERSION_UPGRADE_FEATURE_ENABLED_RDS_INSTANCES

Descripción del hallazgo:

Asegúrate de que las instancias de la base de datos de RDS tengan habilitada la marca de actualización automática de versión secundaria para recibir automáticamente actualizaciones menores del motor durante el período de mantenimiento especificado. Por lo tanto, las instancias de RDS pueden obtener las nuevas funciones, correcciones de errores y parches de seguridad para sus motores de base de datos.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: RA-5, RA-7, SI-2
  • ISO-27001 v2022: A.8.8
  • Cloud Controls Matrix 4: UEM-03
  • NIST Cybersecurity Framework 1.0: ID-RA-1
  • SOC2 v2017: CC7.1.1, CC7.1.2, CC7.1.3, CC7.1.4, CC7.1.5
  • CIS AWS Foundation 2.0.0: 2.3.2
  • CIS Controls 8.0: 7.4

Asegúrate de que la función de actualización de versión secundaria automática esté habilitada para las instancias de RDS

  • Análisis en tiempo real: No

Aws Config Enabled All Regions

Nombre de categoría en la API: AWS_CONFIG_ENABLED_ALL_REGIONS

Descripción del hallazgo:

AWS Config es un servicio web que realiza la administración de la configuración de los recursos de AWS admitidos dentro de su cuenta y le entrega archivos de registro. La información registrada incluye el elemento de configuración (recurso de AWS), las relaciones entre los elementos de configuración (recursos de AWS) y cualquier cambio de configuración entre los recursos. Se recomienda habilitar AWS Config en todas las regiones.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: CM-8, PM-5
  • PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1
  • ISO-27001 v2022: A.5.9, A.8.8
  • Cloud Controls Matrix 4: UEM-04
  • NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3
  • SOC2 v2017: CC3.2.6, CC6.1.1
  • HIPAA: 164.310(d)(2)(iii)
  • CIS AWS Foundation 2.0.0: 3.5
  • CIS Controls 8.0: 1.1

Asegúrate de que AWS Config esté habilitado en todas las regiones

  • Análisis en tiempo real: No

Aws Security Hub Enabled

Nombre de categoría en la API: AWS_SECURITY_HUB_ENABLED

Descripción del hallazgo:

El Centro de seguridad recopila datos de seguridad de todas las cuentas, los servicios y los productos de socios externos compatibles de AWS y te ayuda a analizar tus tendencias de seguridad para identificar los problemas de seguridad de mayor prioridad. Cuando habilitas el Centro de seguridad, comienza a consumir, agregar, organizar y priorizar los hallazgos de los servicios de AWS que hayas habilitado, como Amazon GuardDuty, Amazon Inspector y Amazon Macie. También puedes habilitar las integraciones en productos de seguridad de socios de AWS.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: CA-7
  • PCI-DSS v3.2.1: 11.5
  • CIS AWS Foundation 2.0.0: 4.16

Asegúrate de que el Security Hub de AWS esté habilitado

  • Análisis en tiempo real: No

Cloudtrail Logs Encrypted Rest Using Kms Cmks

Nombre de categoría en la API: CLOUDTRAIL_LOGS_ENCRYPTED_REST_USING_KMS_CMKS

Descripción del hallazgo:

AWS CloudTrail es un servicio web que registra las llamadas a la API de AWS para una cuenta y pone esos registros a disposición de los usuarios y los recursos de acuerdo con las políticas de IAM. El servicio de administración de claves (KMS) de AWS es un servicio administrado que ayuda a crear y controlar las claves de encriptación que se usan para encriptar los datos de la cuenta, y usa módulos de seguridad de hardware (Hardware Security Modules, HSM) para proteger la seguridad de las claves de encriptación. Los registros de CloudTrail se pueden configurar para aprovechar la encriptación del servidor (SSE) y las claves maestras (CMK) creadas por el cliente de KMS para proteger aún más los registros de CloudTrail. Se recomienda configurar CloudTrail para usar SSE-KMS.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: IA-5, SC-28, SI-7(6)
  • PCI-DSS v3.2.1: 10.5.2
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 3.7
  • CIS Controls 8.0: 3.11

Asegúrate de que los registros de CloudTrail estén encriptados en reposo con CMK de KMS

  • Análisis en tiempo real: No

Cloudtrail Log File Validation Enabled

Nombre de categoría en la API: CLOUDTRAIL_LOG_FILE_VALIDATION_ENABLED

Descripción del hallazgo:

La validación del archivo de registro de CloudTrail crea un archivo de resumen con firma digital que contiene un hash de cada registro que CloudTrail escribe en S3. Estos archivos de resumen se pueden usar para determinar si un archivo de registro se modificó, borró o se modificó después de que CloudTrail entrega el registro. Se recomienda habilitar la validación de archivos en todos los CloudTrails.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AU-6, AU-7, SI-7(7)
  • PCI-DSS v3.2.1: 11.5
  • PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3
  • ISO-27001 v2022: A.5.25
  • Cloud Controls Matrix 4: LOG-05
  • NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1
  • SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5
  • HIPAA: 164.308(a)(1)(ii), 164.312(b)
  • CIS AWS Foundation 2.0.0: 3.2
  • CIS Controls 8.0: 8.11

Asegúrate de que la validación del archivo de registro de CloudTrail esté habilitada

  • Análisis en tiempo real: No

Cloudtrail Trails Integrated Cloudwatch Logs

Nombre de categoría en la API: CLOUDTRAIL_TRAILS_INTEGRATED_CLOUDWATCH_LOGS

Descripción del hallazgo:

AWS CloudTrail es un servicio web que registra las llamadas a la API de AWS realizadas en una cuenta de AWS determinada. La información registrada incluye la identidad del llamador de la API, la hora de la llamada a la API, la dirección IP de origen del emisor de la API, los parámetros de la solicitud y los elementos de respuesta que muestra el servicio de AWS. CloudTrail usa Amazon S3 para almacenar y entregar archivos de registro, por lo que se almacenan de forma duradera. Además de capturar los registros de CloudTrail dentro de un bucket de S3 especificado para el análisis a largo plazo, el análisis en tiempo real se puede realizar configurando CloudTrail para enviar registros a los registros de CloudWatch. Para un registro habilitado en todas las regiones de una cuenta, CloudTrail envía archivos de registro de todas esas regiones a un grupo de registros de CloudWatch Logs. Se recomienda que los registros de CloudTrail se envíen a los registros de CloudWatch.

Nota: El objetivo de esta recomendación es garantizar que la actividad de la cuenta de AWS se capture y se supervise, y se active la alarma correspondiente. Los registros de CloudWatch son una forma nativa de lograr esto con los servicios de AWS, pero no excluyen el uso de una solución alternativa.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3
  • CIS AWS Foundation 2.0.0: 3.4
  • CIS Controls 8.0: 8.5, 8.9

Asegúrate de que los registros de CloudTrail estén incluidos en los registros de CloudWatch

  • Análisis en tiempo real: No

Cloudwatch Alarm Action Check

Nombre de categoría en la API: CLOUDWATCH_ALARM_ACTION_CHECK

Descripción del hallazgo:

Esto verifica si Amazon Cloudwatch tiene acciones definidas cuando una alarma pasa de los estados “OK”, “ALARM” e 'INSUFFICIENT_DATA'.

Configurar acciones para el estado de ALARMA en las alarmas de Amazon CloudWatch es muy importante para activar una respuesta inmediata cuando las métricas supervisadas cumplen con los umbrales de violación de la seguridad.
Garantiza una rápida resolución de problemas, reduce el tiempo de inactividad y permite soluciones automatizadas, lo que mantiene el estado del sistema y evita interrupciones.

Las alarmas tienen al menos una acción.
Las alarmas tienen al menos una acción cuando pasan a "INSUFFICIENT_DATA" de cualquier otro estado.
(Opcional) Las alarmas tienen al menos una acción cuando pasa al estado "OK" de cualquier otro estado.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-20

Verifica si las alarmas de CloudWatch tienen al menos una acción de alarma, una acción INSUFFICIENT_DATA o una acción OK habilitadas.

  • Análisis en tiempo real: No

Cloudwatch Log Group Encrypted

Nombre de categoría en la API: CLOUDWATCH_LOG_GROUP_ENCRYPTED

Descripción del hallazgo:

Esta verificación garantiza que los registros de CloudWatch estén configurados con KMS.

Los datos del grupo de registros siempre están encriptados en los registros de CloudWatch. De forma predeterminada, los registros de CloudWatch usan encriptación del lado del servidor para los datos de registro en reposo. Como alternativa, puedes usar AWS Key Management Service para esta encriptación. Si lo haces, la encriptación se realiza con una clave de KMS de AWS. La encriptación con AWS KMS se habilita a nivel del grupo de registros mediante la asociación de una clave de KMS a un grupo de registros, ya sea cuando creas el grupo de registros o después de que ya existe.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • PCI-DSS v3.2.1: 3.4

Verifica que todos los grupos de registros en Amazon CloudWatch Logs estén encriptados con KMS

  • Análisis en tiempo real: No

CloudTrail CloudWatch Logs Enabled

Nombre de categoría en la API: CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED

Descripción del hallazgo:

Este control verifica si los registros de CloudTrail están configurados para enviar registros a los registros de CloudWatch. El control falla si la propiedad CloudWatchLogsLogGroupArn del registro está vacía.

CloudTrail registra las llamadas a la API de AWS que se realizan en una cuenta determinada. La información registrada incluye lo siguiente:

  • La identidad del emisor de la API
  • La hora de la llamada a la API
  • La dirección IP de origen del emisor de la API
  • Los parámetros de la solicitud
  • Los elementos de respuesta que muestra el servicio de AWS

CloudTrail usa Amazon S3 para el almacenamiento y la entrega de archivos de registro. Puedes capturar registros de CloudTrail en un bucket de S3 específico para realizar un análisis a largo plazo. Si quieres realizar un análisis en tiempo real, puedes configurar CloudTrail para enviar registros a los registros de CloudWatch.

Para un registro habilitado en todas las regiones de una cuenta, CloudTrail envía archivos de registro de todas esas regiones a un grupo de registros de CloudWatch Logs.

El Centro de seguridad recomienda que envíes los registros de CloudTrail a los registros de CloudWatch. Ten en cuenta que esta recomendación tiene como objetivo garantizar que la actividad de la cuenta se capture y se supervise, y se alarme de manera adecuada. Puedes usar los registros de CloudWatch para configurar esta opción con tus servicios de AWS. Esta recomendación no excluye el uso de una solución diferente.

El envío de los registros de CloudTrail a los registros de CloudWatch facilita el registro de la actividad histórica y en tiempo real según el usuario, la API, el recurso y la dirección IP. Puedes usar este enfoque para establecer alarmas y notificaciones para actividades anómalas o sensibles de la cuenta.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-20
  • PCI-DSS v3.2.1: 10.5.3

Comprueba que todos los registros de CloudTrail estén configurados para enviar registros a CloudWatch de AWS

  • Análisis en tiempo real: No

No AWS Credentials in CodeBuild Project Environment Variables

Nombre de categoría en la API: CODEBUILD_PROJECT_ENVVAR_AWSCRED_CHECK

Descripción del hallazgo:

De esta manera, se verifica si el proyecto contiene las variables de entorno AWS_ACCESS_KEY_ID y AWS_SECRET_ACCESS_KEY.

Las credenciales de autenticación AWS_ACCESS_KEY_ID y AWS_SECRET_ACCESS_KEY nunca deben almacenarse en texto no encriptado, ya que esto podría provocar la exposición no deseada de los datos y el acceso no autorizado.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: IA-5, SA-3

Verifica que ningún proyecto con variables de entorno AWS_ACCESS_KEY_ID y AWS_SECRET_ACCESS_KEY esté en texto simple

  • Análisis en tiempo real: No

Codebuild Project Source Repo Url Check

Nombre de categoría en la API: CODEBUILD_PROJECT_SOURCE_REPO_URL_CHECK

Descripción del hallazgo:

Esto verifica si la URL del repositorio de código fuente de Bitbucket de un proyecto de AWS CodeBuild contiene tokens de acceso personal o un nombre de usuario y una contraseña. El control falla si la URL del repositorio de código fuente de Bitbucket contiene tokens de acceso personal o un nombre de usuario y una contraseña.

Las credenciales de acceso no se deben almacenar ni transmitir en texto no encriptado ni aparecer en la URL del repositorio de origen. En lugar de tokens de acceso personales o credenciales de acceso, debes acceder a tu proveedor de origen en CodeBuild y cambiar la URL del repositorio de código fuente para que contenga solo la ruta de acceso a la ubicación del repositorio de Bitbucket. El uso de tokens de acceso personales o credenciales de acceso puede provocar la exposición no deseada de datos o el acceso no autorizado.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Verifica que todos los proyectos que usen GitHub o Bitbucket como fuente utilicen OAuth

  • Análisis en tiempo real: No

Credentials Unused 45 Days Greater Disabled

Nombre de categoría en la API: CREDENTIALS_UNUSED_45_DAYS_GREATER_DISABLED

Descripción del hallazgo:

Los usuarios de IAM de AWS pueden acceder a los recursos de AWS con diferentes tipos de credenciales, como contraseñas o claves de acceso. Se recomienda desactivar o quitar todas las credenciales que no se hayan usado en 45 días o más.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-2
  • PCI-DSS v4.0: 8.3.7
  • NIST Cybersecurity Framework 1.0: PR-AC-1
  • CIS AWS Foundation 2.0.0: 1.12
  • CIS Controls 8.0: 5.3

Asegúrate de que las credenciales que no se usen durante 45 días o más estén inhabilitadas

  • Análisis en tiempo real: No

Default Security Group Vpc Restricts All Traffic

Nombre de categoría en la API: DEFAULT_SECURITY_GROUP_VPC_RESTRICTS_ALL_TRAFFIC

Descripción del hallazgo:

Una VPC incluye un grupo de seguridad predeterminado cuya configuración inicial rechaza todo el tráfico entrante, permite todo el tráfico saliente y permite todo el tráfico entre instancias asignadas al grupo de seguridad. Si no especificas un grupo de seguridad cuando inicias una instancia, esta se asigna automáticamente a este grupo de seguridad predeterminado. Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que el grupo de seguridad predeterminado restrinja todo el tráfico.

La VPC predeterminada en cada región debe tener su grupo de seguridad predeterminado actualizado para cumplir con los requisitos. Todas las VPC recién creadas contendrán automáticamente un grupo de seguridad predeterminado que necesitará correcciones para cumplir con esta recomendación.

NOTA: Cuando implementas esta recomendación, el registro de flujo de VPC es muy útil para determinar el acceso al puerto con privilegio mínimo que requieren los sistemas para funcionar correctamente, ya que puede registrar todas las aceptaciones y rechazos de paquetes que ocurren en los grupos de seguridad actuales. Esto reduce drásticamente la barrera principal de la ingeniería de privilegio mínimo, ya que se descubren los puertos mínimos requeridos por los sistemas en el entorno. Incluso si la recomendación de registro de flujo de VPC en esta comparativa no se adopta como una medida de seguridad permanente, se debería usar durante cualquier período de descubrimiento e ingeniería para los grupos de seguridad con menos privilegios.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 5.4
  • CIS Controls 8.0: 3.3

Asegúrate de que el grupo de seguridad predeterminado de cada VPC restrinja todo el tráfico

  • Análisis en tiempo real: No

Dms Replication Not Public

Nombre de categoría en la API: DMS_REPLICATION_NOT_PUBLIC

Descripción del hallazgo:

Verifica si las instancias de replicación de AWS DMS son públicas. Para ello, examina el valor del campo PubliclyAccessible.

Una instancia de replicación privada tiene una dirección IP privada a la que no puedes acceder fuera de la red de replicación. Una instancia de replicación debe tener una dirección IP privada cuando las bases de datos de origen y de destino están en la misma red. La red también debe estar conectada a la VPC de la instancia de replicación a través de una VPN, AWS Direct Connect o intercambio de tráfico entre VPC. Para obtener más información sobre las instancias de replicación públicas y privadas, consulta Instancias de replicación públicas y privadas en la guía del usuario de AWS Database Migration Service.

También debes asegurarte de que el acceso a la configuración de tu instancia de AWS DMS se limite solo a los usuarios autorizados. Para ello, restringe las conexiones Permisos de IAM para modificar la configuración y los recursos de AWS DMS.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Verifica si las instancias de replicación de AWS Database Migration Service son públicas

  • Análisis en tiempo real: No

Do Setup Access Keys During Initial User Setup All Iam Users Console

Nombre de categoría en la API: DO_SETUP_ACCESS_KEYS_DURING_INITIAL_USER_SETUP_ALL_IAM_USERS_CONSOLE

Descripción del hallazgo:

La consola de AWS no tiene ninguna casilla de verificación predeterminada cuando se crea un usuario de IAM nuevo. Cuando creas las credenciales de usuario de IAM, debes determinar qué tipo de acceso requieren.

Acceso programático: Es posible que el usuario IAM necesite realizar llamadas a la API, usar la CLI de AWS o usar Tools for Windows PowerShell. En ese caso, crea una clave de acceso (ID de clave de acceso y clave de acceso secreta) para ese usuario.

Acceso a la consola de administración de AWS: si el usuario necesita acceder a la consola de administración de AWS, crea una contraseña para el usuario.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 1.11
  • CIS Controls 8.0: 3.3, 5.4

No establezcas claves de acceso durante la configuración inicial de ningún usuario de IAM que tenga una contraseña de la consola

  • Análisis en tiempo real: No

Dynamodb Autoscaling Enabled

Nombre de categoría en la API: DYNAMODB_AUTOSCALING_ENABLED

Descripción del hallazgo:

Esto verifica si una tabla de Amazon DynamoDB puede escalar su capacidad de lectura y escritura según sea necesario. Este control se aprueba si la tabla usa el modo de capacidad a pedido o el modo aprovisionado con el ajuste de escala automático configurado. Escalar la capacidad con demanda evita las excepciones de limitación, lo que ayuda a mantener la disponibilidad de las aplicaciones.

Las tablas de DynamoDB en el modo de capacidad a pedido solo están limitadas por las cuotas predeterminadas de la tabla de la capacidad de procesamiento de DynamoDB. Para aumentar estas cuotas, puedes enviar un ticket de asistencia a través del equipo de asistencia de AWS.

Las tablas de DynamoDB en modo aprovisionado con ajuste de escala automático ajustan la capacidad de procesamiento aprovisionada de forma dinámica en respuesta a los patrones de tráfico. Para obtener información adicional sobre la limitación de solicitudes de DynamoDB, consulta Limitación de solicitudes y capacidad de aumento de actividad en la Guía para desarrolladores de Amazon DynamoDB.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-13(5)

Las tablas de DynamoDB deben ajustar la escala de la capacidad automáticamente según la demanda

  • Análisis en tiempo real: No

Dynamodb In Backup Plan

Nombre de categoría en la API: DYNAMODB_IN_BACKUP_PLAN

Descripción del hallazgo:

Este control evalúa si una tabla de DynamoDB está cubierta por un plan de copias de seguridad. El control falla si una tabla de DynamoDB no está cubierta por un plan de copias de seguridad. Este control solo evalúa las tablas de DynamoDB que tienen el estado ACTIVO.

Las copias de seguridad te ayudan a recuperarte más rápido de un incidente de seguridad. También fortalecen la resiliencia de tus sistemas. Incluir tablas de DynamoDB en un plan de copias de seguridad te ayuda a proteger tus datos de pérdidas o eliminaciones no deseadas.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-13(5)

Las tablas de DynamoDB deben estar protegidas por un plan de copias de seguridad

  • Análisis en tiempo real: No

Dynamodb Pitr Enabled

Nombre de categoría en la API: DYNAMODB_PITR_ENABLED

Descripción del hallazgo:

La recuperación de un momento determinado (PITR) es uno de los mecanismos disponibles para crear copias de seguridad de tablas de DynamoDB.

Las copias de seguridad de un momento determinado se guardan durante 35 días. Si tu requisito es una retención más prolongada, consulta Configura copias de seguridad programadas para Amazon DynamoDB con la Copia de seguridad de AWS en la documentación de AWS.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-13(5)

Verifica que la recuperación de un momento determinado (PITR) esté habilitada para todas las tablas de AWS DynamoDB

  • Análisis en tiempo real: No

Dynamodb Table Encrypted Kms

Nombre de categoría en la API: DYNAMODB_TABLE_ENCRYPTED_KMS

Descripción del hallazgo:

Verifica si todas las tablas de DynamoDB están encriptadas con una clave de KMS administrada por el cliente (no predeterminada).

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(6)

Verifica que todas las tablas de DynamoDB estén encriptadas con el servicio de administración de claves (KMS) de AWS

  • Análisis en tiempo real: No

Ebs Optimized Instance

Nombre de categoría en la API: EBS_OPTIMIZED_INSTANCE

Descripción del hallazgo:

Verifica si la optimización de EBS está habilitada para las instancias de EC2 que se pueden optimizar para EBS

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-5(2)

Comprueba que la optimización de EBS esté habilitada para todas las instancias que admiten la optimización de EBS

  • Análisis en tiempo real: No

Ebs Snapshot Public Restorable Check

Nombre de categoría en la API: EBS_SNAPSHOT_PUBLIC_RESTORABLE_CHECK

Descripción del hallazgo:

Verifica si las instantáneas de Amazon Elastic Block Store no son públicas. El control falla si alguien puede restablecer las instantáneas de Amazon EBS.

Las instantáneas de EBS se usan para crear copias de seguridad de los datos de tus volúmenes de EBS en Amazon S3 en un momento específico. Puedes usar las instantáneas para restablecer los estados anteriores de los volúmenes de EBS. Rara vez es aceptable compartir una instantánea con el público. Por lo general, la decisión de compartir una instantánea públicamente se tomó por error o sin comprender completamente las implicaciones. Esta verificación ayuda a garantizar que el uso compartido se haya planificado por completo de forma intencional.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Las instantáneas de Amazon EBS no deben poder restablecerse públicamente

  • Análisis en tiempo real: No

Ebs Volume Encryption Enabled All Regions

Nombre de categoría en la API: EBS_VOLUME_ENCRYPTION_ENABLED_ALL_REGIONS

Descripción del hallazgo:

Elastic Compute Cloud (EC2) admite la encriptación en reposo cuando se usa el servicio Elastic Block Store (EBS). Aunque está inhabilitado de forma predeterminada, se admite forzar la encriptación cuando se cree el volumen de EBS.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: IA-5, SC-28, SI-7(6)
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.2.1
  • CIS Controls 8.0: 3.11

Asegúrate de que la encriptación de volumen de EBS esté habilitada en todas las regiones

  • Análisis en tiempo real: No

Ec2 Instances In Vpc

Nombre de categoría en la API: EC2_INSTANCES_IN_VPC

Descripción del hallazgo:

Amazon VPC ofrece más funciones de seguridad que EC2 Classic. Se recomienda que todos los nodos pertenezcan a una VPC de Amazon.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7

Garantiza que todas las instancias pertenezcan a una VPC

  • Análisis en tiempo real: No

Ec2 Instance No Public Ip

Nombre de categoría en la API: EC2_INSTANCE_NO_PUBLIC_IP

Descripción del hallazgo:

Las instancias de EC2 que tienen una dirección IP pública tienen un riesgo mayor de compromiso. Se recomienda que las instancias de EC2 no se configuren con una dirección IP pública.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Garantiza que ninguna instancia tenga una IP pública

  • Análisis en tiempo real: No

Ec2 Managedinstance Association Compliance Status Check

Nombre de categoría en la API: EC2_MANAGEDINSTANCE_ASSOCIATION_COMPLIANCE_STATUS_CHECK

Descripción del hallazgo:

Una asociación de administrador de estado es una configuración que se asigna a tus instancias administradas. La configuración define el estado que deseas mantener en tus instancias. Por ejemplo, una asociación puede especificar que se debe instalar y ejecutar software antivirus en tus instancias, o que ciertos puertos deben estar cerrados. Las instancias de EC2 que están asociadas con AWS Systems Manager están bajo la administración de Systems Manager, lo que facilita la aplicación de parches, la corrección de configuraciones incorrectas y la respuesta a eventos de seguridad.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • PCI-DSS v3.2.1: 6.2

Verifica el estado de cumplimiento de la asociación de AWS Systems Manager

  • Análisis en tiempo real: No

Ec2 Managedinstance Patch Compliance Status Check

Nombre de categoría en la API: EC2_MANAGEDINSTANCE_PATCH_COMPLIANCE_STATUS_CHECK

Descripción del hallazgo:

Este control verifica si el estado del cumplimiento de la asociación de AWS Systems Manager es CUMPLIANT o NON_COMPLIANT después de que la asociación se ejecuta en una instancia. El control falla si el estado de cumplimiento de la asociación es NON_COMPLIANT.

Una asociación de administrador de estado es una configuración que se asigna a tus instancias administradas. La configuración define el estado que deseas mantener en tus instancias. Por ejemplo, una asociación puede especificar que se debe instalar y ejecutar software antivirus en tus instancias o que ciertos puertos deben estar cerrados.

Después de crear una o más asociaciones de Administrador de estado, la información del estado de cumplimiento se encuentra disponible de inmediato. Puedes ver el estado de cumplimiento en la consola o en respuesta a los comandos de la CLI de AWS o las acciones correspondientes de la API de Systems Manager. En el caso de las asociaciones, la sección Cumplimiento de la configuración muestra el estado de cumplimiento (Conforme o No conforme). También muestra el nivel de gravedad asignado a la asociación, como Crítico o Medio.

Para obtener más información sobre el cumplimiento de asociaciones de State Manager, consulta Acerca del cumplimiento de asociaciones de State Manager en la guía del usuario de AWS Systems Manager.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-2
  • PCI-DSS v3.2.1: 6.2

Verifica el estado de cumplimiento de parches de AWS Systems Manager

  • Análisis en tiempo real: No

Ec2 Metadata Service Allows Imdsv2

Nombre de categoría en la API: EC2_METADATA_SERVICE_ALLOWS_IMDSV2

Descripción del hallazgo:

Al habilitar el servicio de metadatos en instancias EC2 de AWS, los usuarios tienen la opción de utilizar la versión del servicio de metadatos de la instancia 1 (IMDSv1, un método de solicitud/respuesta) o la versión 2 del servicio de metadatos de la instancia (IMDSv2, un método orientado a la sesión).

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-6
  • CIS AWS Foundation 2.0.0: 5.6

Garantiza que el servicio de metadatos de EC2 solo permita IMDSv2

  • Análisis en tiempo real: No

Ec2 Volume Inuse Check

Nombre de categoría en la API: EC2_VOLUME_INUSE_CHECK

Descripción del hallazgo:

Identificar y quitar los volúmenes no adjuntos (sin usar) de Elastic Block Store (EBS) de tu cuenta de AWS para reducir el costo de tu factura mensual de AWS Borrar volúmenes de EBS sin usar también reduce el riesgo de que los datos confidenciales o sensibles salgan de tus instalaciones. Además, este control también verifica si las instancias de EC2 archivadas y configuradas para borrar volúmenes en el momento de la finalización.

De forma predeterminada, las instancias de EC2 están configuradas para borrar los datos en cualquier volumen de EBS asociado con la instancia y para borrar el volumen de EBS raíz de la instancia. Sin embargo, cualquier volumen de EBS no raíz conectado a la instancia, en el inicio o durante la ejecución, se conserva después de la finalización de forma predeterminada.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: CM-2

Verifica si los volúmenes de EBS están adjuntos a instancias de EC2 y configurados para la eliminación en cuanto finalice la instancia

  • Análisis en tiempo real: No

Efs Encrypted Check

Nombre de categoría en la API: EFS_ENCRYPTED_CHECK

Descripción del hallazgo:

Amazon EFS admite dos formas de encriptación para sistemas de archivos: la encriptación de datos en tránsito y la encriptación en reposo. De esta manera, se verifica que todos los sistemas de archivos EFS estén configurados con encriptación en reposo en todas las regiones habilitadas de la cuenta.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1

Verifica si EFS está configurado para encriptar datos de archivos con KMS

  • Análisis en tiempo real: No

Efs In Backup Plan

Nombre de categoría en la API: EFS_IN_BACKUP_PLAN

Descripción del hallazgo:

En las prácticas recomendadas de Amazon, se sugiere configurar copias de seguridad para tus sistemas de archivos Elastic (EFS). De esta manera, se verifican todas las EFS de cada región habilitada en tu cuenta de AWS para ver si hay copias de seguridad habilitadas.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-13(5)

Verifica si los sistemas de archivos EFS están incluidos en los planes de copias de seguridad de AWS

  • Análisis en tiempo real: No

Elb Acm Certificate Required

Nombre de categoría en la API: ELB_ACM_CERTIFICATE_REQUIRED

Descripción del hallazgo:

Verifica si el balanceador de cargas clásico usa certificados HTTPS/SSL proporcionados por AWS Certificate Manager (ACM). El control falla si el balanceador de cargas clásico configurado con el objeto de escucha HTTPS/SSL no usa un certificado proporcionado por ACM.

Para crear un certificado, puedes usar ACM o una herramienta que admita los protocolos SSL y TLS, como OpenSSL. El Centro de seguridad recomienda que uses ACM para crear o importar certificados para tu balanceador de cargas.

ACM se integra en los balanceadores de cargas clásicos para que puedas implementar el certificado en tu balanceador de cargas. También debes renovar automáticamente estos certificados.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-17, AC-4, IA-5, SC-12, SC-13, SC-23, SC-7, SC-8, SI-7, SI-7(6)

Verifica que todos los balanceadores de cargas clásicos utilicen los certificados SSL proporcionados por AWS Certificate Manager

  • Análisis en tiempo real: No

Elb Deletion Protection Enabled

Nombre de categoría en la API: ELB_DELETION_PROTECTION_ENABLED

Descripción del hallazgo:

Verifica si un balanceador de cargas de aplicaciones tiene habilitada la protección contra la eliminación. El control falla si no se configura la protección contra la eliminación.

Habilita la protección contra la eliminación para evitar que se elimine tu balanceador de cargas de aplicaciones.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-5(2)

La protección contra eliminaciones del balanceador de cargas de aplicaciones debería estar habilitada

  • Análisis en tiempo real: No

Elb Logging Enabled

Nombre de categoría en la API: ELB_LOGGING_ENABLED

Descripción del hallazgo:

Esto verifica si el balanceador de cargas de aplicaciones y el balanceador de cargas clásico tienen habilitado el registro. El control falla si access_logs.s3.enabled es falso.

Elastic Load Balancing proporciona registros de acceso que capturan información detallada sobre las solicitudes enviadas a tu balanceador de cargas. Cada registro contiene información como la hora en que se recibió la solicitud, la dirección IP del cliente, las latencias, las rutas de las solicitudes y las respuestas del servidor. Puedes usar estos registros de acceso para analizar patrones de tráfico y solucionar problemas.

Para obtener más información, consulta Registros de acceso de tu balanceador de cargas clásico en la Guía del usuario de balanceadores de cargas clásicos.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1

Verifica si los balanceadores de cargas clásicos y de aplicaciones tienen el registro habilitado

  • Análisis en tiempo real: No

Elb Tls Https Listeners Only

Nombre de categoría en la API: ELB_TLS_HTTPS_LISTENERS_ONLY

Descripción del hallazgo:

Esta verificación garantiza que todos los balanceadores de cargas clásicos estén configurados para usar una comunicación segura.

Un objeto de escucha es un proceso que comprueba si hay solicitudes de conexión. Se configura con un protocolo y un puerto para conexiones de frontend (cliente a balanceador de cargas), y un protocolo y un puerto para conexiones de backend (balanceador de cargas a instancia). Para obtener información sobre los puertos, los protocolos y las configuraciones de los objetos de escucha compatibles con Elastic Load Balancing, consulta Objetos de escucha para tu balanceador de cargas clásico.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(6)

Verifica que todos los balanceadores de cargas clásicos estén configurados con objetos de escucha SSL o HTTPS

  • Análisis en tiempo real: No

Encrypted Volumes

Nombre de categoría en la API: ENCRYPTED_VOLUMES

Descripción del hallazgo:

Comprueba si los volúmenes de EBS que están adjuntos están encriptados. Para aprobar esta verificación, los volúmenes de EBS deben estar en uso y encriptados. Si el volumen de EBS no está conectado, no estará sujeto a esta verificación.

Para agregar una capa de seguridad adicional a tus datos sensibles en los volúmenes de EBS, debes habilitar la encriptación en reposo de EBS. La encriptación de Amazon EBS ofrece una solución de encriptación sencilla para tus recursos de EBS que no requiere que compiles, mantengas ni protejas tu propia infraestructura de administración de claves. Usa claves de KMS cuando crea instantáneas y volúmenes encriptados.

Para obtener más información sobre la encriptación de Amazon EBS, consulta la encriptación de Amazon EBS en la guía del usuario de Amazon EC2 para instancias de Linux.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1

Los volúmenes de Amazon EBS adjuntos deben estar encriptados en reposo

  • Análisis en tiempo real: No

Encryption At Rest Enabled Rds Instances

Nombre de categoría en la API: ENCRYPTION_AT_REST_ENABLED_RDS_INSTANCES

Descripción del hallazgo:

Las instancias de base de datos encriptadas de Amazon RDS usan el algoritmo de encriptación estándar de la industria AES-256 para encriptar tus datos en el servidor que aloja tus instancias de base de datos de Amazon RDS. Una vez que tus datos están encriptados, Amazon RDS maneja la autenticación del acceso y la desencriptación de tus datos con transparencia, con un impacto mínimo en el rendimiento.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: IA-5, SC-28, SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.3.1
  • CIS Controls 8.0: 3.11

Garantiza que la encriptación en reposo esté habilitada para las instancias de RDS

  • Análisis en tiempo real: No

Encryption Enabled Efs File Systems

Nombre de categoría en la API: ENCRYPTION_ENABLED_EFS_FILE_SYSTEMS

Descripción del hallazgo:

Los datos de EFS se deben encriptar en reposo con AWS KMS (Key Management Service).

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.4.1
  • CIS Controls 8.0: 3.11

Asegúrate de que la encriptación esté habilitada para los sistemas de archivos EFS

  • Análisis en tiempo real: No

Iam Password Policy

Nombre de categoría en la API: IAM_PASSWORD_POLICY

Descripción del hallazgo:

AWS permite que las políticas de contraseñas personalizadas en tu cuenta de AWS especifiquen los requisitos de complejidad y los períodos de rotación obligatorios para los usuarios de IAM contraseñas. Si no configuras una política de contraseñas personalizada, las contraseñas de usuario de IAM deben cumplir con la política de contraseñas predeterminada de AWS. Las prácticas recomendadas de seguridad de AWS sugieren los siguientes requisitos de complejidad para las contraseñas:

  • Se requiere al menos un carácter en mayúscula en la contraseña.
  • Se requiere al menos un carácter en minúscula en las contraseñas.
  • Se requiere al menos un símbolo en las contraseñas.
  • Exigir al menos un número en las contraseñas
  • La contraseña debe tener al menos 14 caracteres de longitud.
  • Se requieren al menos 24 contraseñas antes de permitir la reutilización.
  • Requerir al menos 90 antes de que caduque la contraseña

Este control verifica todos los requisitos especificados de la política de contraseñas.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: IA-5(1)
  • PCI-DSS v3.2.1: 8.2.5

Verifica si la política de contraseñas de la cuenta para los usuarios de IAM cumple con los requisitos especificados

  • Análisis en tiempo real: No

Iam Password Policy Prevents Password Reuse

Nombre de categoría en la API: IAM_PASSWORD_POLICY_PREVENTS_PASSWORD_REUSE

Descripción del hallazgo:

Las políticas de contraseñas de IAM pueden impedir que un mismo usuario reutilice una contraseña determinada. Se recomienda que la política de contraseñas evite la reutilización de contraseñas.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: IA-5
  • PCI-DSS v4.0: 2.2.2, 8.3.5, 8.3.6, 8.6.3
  • ISO-27001 v2022: A.5.17
  • Cloud Controls Matrix 4: IAM-02
  • SOC2 v2017: CC6.1.3, CC6.1.8, CC6.1.9
  • CIS AWS Foundation 2.0.0: 1.9
  • CIS Controls 8.0: 5.2

Asegúrate de que la política de contraseñas de IAM evite la reutilización de contraseñas

  • Análisis en tiempo real: No

Iam Password Policy Requires Minimum Length 14 Greater

Nombre de categoría en la API: IAM_PASSWORD_POLICY_REQUIRES_MINIMUM_LENGTH_14_GREATER

Descripción del hallazgo:

Las políticas de contraseñas se usan, en parte, para aplicar de manera forzosa los requisitos de complejidad de contraseñas. Las políticas de contraseñas de IAM se pueden usar para garantizar que las contraseñas tengan al menos una longitud determinada. Se recomienda que la política de contraseñas requiera una longitud mínima de 14 contraseñas.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • CIS AWS Foundation 2.0.0: 1.8
  • CIS Controls 8.0: 5, 5.2

Asegúrate de que la política de contraseñas de IAM requiera una longitud mínima de 14 caracteres

  • Análisis en tiempo real: No

Iam Policies Allow Full Administrative Privileges Attached

Nombre de categoría en la API: IAM_POLICIES_ALLOW_FULL_ADMINISTRATIVE_PRIVILEGES_ATTACHED

Descripción del hallazgo:

Las políticas de IAM son los medios a través de los cuales se otorgan privilegios a usuarios, grupos o roles. Se recomienda y se considera un consejo de seguridad estándar otorgar privilegio mínimo, es decir, otorgar solo los permisos necesarios para realizar una tarea. Determina lo que deben hacer los usuarios y, luego, crea políticas para ellos que les permitan realizar solo esas tareas, en lugar de tener privilegios administrativos completos.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 1.16
  • CIS Controls 8.0: 3.3

Asegúrate de que no se adjunten políticas de IAM que permitan privilegios administrativos completos de “*:*”

  • Análisis en tiempo real: No

Iam Users Receive Permissions Groups

Nombre de categoría en la API: IAM_USERS_RECEIVE_PERMISSIONS_GROUPS

Descripción del hallazgo:

A los usuarios de IAM se les otorga acceso a servicios, funciones y datos a través de políticas de IAM. Existen cuatro maneras de definir políticas para un usuario: 1) Editar la política del usuario directamente, también conocida como política intercalada, o usuario. 2) Adjuntar una política directamente a un usuario. 3) Agregar el usuario a un grupo de IAM que tenga una política adjunta 4) Agrega el usuario a un grupo de IAM que tenga una política intercalada.

Solo se recomienda la tercera implementación.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-2, AC-5, AC-6, AU-9
  • PCI-DSS v4.0: 10.3.1, 7.1.1, 7.2.1, 7.2.2, 7.2.4, 7.2.6, 7.3.1, 7.3.2
  • ISO-27001 v2022: A.5.15, A.5.3, A.8.2, A.8.3
  • Cloud Controls Matrix 4: IAM-04
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.3.1, CC6.3.2, CC6.3.3
  • HIPAA: 164.308(a)(3)(ii), 164.308(a)(4)(i), 164.308(a)(4)(ii)
  • CIS AWS Foundation 2.0.0: 1.15
  • CIS Controls 8.0: 6.8

Asegúrate de que los usuarios de IAM reciban permisos solo a través de grupos

  • Análisis en tiempo real: No

Iam User Group Membership Check

Nombre de categoría en la API: IAM_USER_GROUP_MEMBERSHIP_CHECK

Descripción del hallazgo:

Los usuarios de IAM siempre deben ser parte de un grupo de IAM para cumplir con las prácticas recomendadas de seguridad de IAM.

Cuando se agregan usuarios a un grupo, es posible compartir políticas entre tipos de usuarios.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-6

Verifica si los usuarios de IAM son miembros de al menos un grupo de IAM

  • Análisis en tiempo real: No

Iam User Mfa Enabled

Nombre de categoría en la API: IAM_USER_MFA_ENABLED

Descripción del hallazgo:

La autenticación de varios factores (MFA) es una práctica recomendada que agrega una capa adicional de protección al nombre de usuario y contraseña. Con la MFA, cuando un usuario accede a la Consola de administración de AWS, debe proporcionar un código de autenticación urgente, proporcionado por un dispositivo virtual o físico registrado.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • PCI-DSS v3.2.1: 8.3.2

Comprueba si los usuarios de IAM de AWS tienen habilitada la autenticación de varios factores (MFA)

  • Análisis en tiempo real: No

Iam User Unused Credentials Check

Nombre de categoría en la API: IAM_USER_UNUSED_CREDENTIALS_CHECK

Descripción del hallazgo:

Esto verifica si hay contraseñas de IAM o claves de acceso activas que no se hayan usado en los últimos 90 días.

En las prácticas recomendadas, se recomienda quitar, desactivar o rotar todas las credenciales que no se usen durante 90 días o más. Esto reduce la ventana de oportunidad para que se utilicen las credenciales asociadas a una cuenta comprometida o abandonada.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-6
  • PCI-DSS v3.2.1: 8.1.4

Verifica que todos los usuarios de IAM de AWS tengan contraseñas o claves de acceso activas que no se hayan usado en maxCredentialUsageAge días (valor predeterminado: 90)

  • Análisis en tiempo real: No

Kms Cmk Not Scheduled For Deletion

Nombre de categoría en la API: KMS_CMK_NOT_SCHEDULED_FOR_DELETION

Descripción del hallazgo:

Con este control, se verifica si se programa la eliminación de las claves de KMS. El control falla si se programa la eliminación de una clave de KMS.

Las claves de KMS no se pueden recuperar una vez que se borran. Los datos encriptados con una clave de KMS también son irrecuperables de forma permanente si esta se borra. Si se encriptaron datos significativos con una clave de KMS programada para su eliminación, considera desencriptarlos o volver a encriptarlos con una clave de KMS nueva, a menos que realices un borrado criptográfico de manera intencional.

Cuando se programa la eliminación de una clave de KMS, se aplica un período de espera obligatorio que permite que se revierta la eliminación, si se programó por error. El período de espera predeterminado es de 30 días, pero se puede reducir a 7 días cuando se programa la eliminación de la clave de KMS. Durante el período de espera, se puede cancelar la eliminación programada y no se borrará la clave de KMS.

Para obtener información adicional sobre la eliminación de claves de KMS, consulta Borra claves de KMS en la guía para desarrolladores del servicio de administración de claves de AWS.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-12

Verifica que ninguna clave de CMK esté programada para su eliminación

  • Análisis en tiempo real: No

Lambda Concurrency Check

Nombre de categoría en la API: LAMBDA_CONCURRENCY_CHECK

Descripción del hallazgo:

Verifica si la función lambda está configurada con un límite de ejecución simultáneo a nivel de la función. La regla es NON_COMPLIANT si la función Lambda no está configurada con un límite de ejecución simultáneo a nivel de la función.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Verifica si las funciones lambda están configuradas con un límite de ejecución simultáneo a nivel del rol

  • Análisis en tiempo real: No

Lambda Dlq Check

Nombre de categoría en la API: LAMBDA_DLQ_CHECK

Descripción del hallazgo:

Comprueba si una función Lambda está configurada con una cola de mensajes no entregados. La regla es NON_COMPLIANT si la función Lambda no está configurada con una cola de mensajes no entregados.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-2

Comprueba si las funciones Lambda están configuradas con una fila de mensajes no entregados

  • Análisis en tiempo real: No

Lambda Function Public Access Prohibited

Nombre de categoría en la API: LAMBDA_FUNCTION_PUBLIC_ACCESS_PROHIBITED

Descripción del hallazgo:

En las prácticas recomendadas de AWS, no se debe exponer públicamente la función Lambda. Esta política verifica todas las funciones Lambda implementadas en todas las regiones habilitadas de tu cuenta y fallará si están configuradas para permitir el acceso público.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Verifica si la política adjunta a la función lambda prohíbe el acceso público

  • Análisis en tiempo real: No

Lambda Inside Vpc

Nombre de categoría en la API: LAMBDA_INSIDE_VPC

Descripción del hallazgo:

Comprueba si una función Lambda está en una VPC. Es posible que veas resultados fallidos para los recursos de Lambda@Edge.

No evalúa la configuración del enrutamiento de la subred de VPC para determinar la accesibilidad pública.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Comprueba si las funciones Lambda existen en una VPC

  • Análisis en tiempo real: No

Mfa Delete Enabled S3 Buckets

Nombre de categoría en la API: MFA_DELETE_ENABLED_S3_BUCKETS

Descripción del hallazgo:

Una vez que la eliminación MFA esté habilitada en tu bucket de S3 sensible y clasificado, el usuario deberá tener dos formas de autenticación.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 2.1.2
  • CIS Controls 8.0: 3.3, 6.5

Asegúrate de que la eliminación MFA esté habilitada en los buckets de S3

  • Análisis en tiempo real: No

Mfa Enabled Root User Account

Nombre de categoría en la API: MFA_ENABLED_ROOT_USER_ACCOUNT

Descripción del hallazgo:

La "raíz" de usuario es el usuario con más privilegios en una cuenta de AWS. La autenticación de varios factores (MFA) agrega una capa adicional de protección al nombre de usuario y contraseña. Con la MFA habilitada, cuando un usuario inicie sesión en un sitio web de AWS, se le pedirá su nombre de usuario y contraseña, así como un código de autenticación desde su dispositivo de MFA de AWS.

Nota: Cuando se usa la MFA virtual para “raíz” cuentas, se recomienda que el dispositivo utilizado NO sea personal, sino un dispositivo móvil dedicado (tablet o teléfono) que se administra para mantenerse cargado y protegido independientemente de cualquier dispositivo personal individual. ("MFA virtual no personal") Esto disminuye los riesgos de perder el acceso a la MFA debido a la pérdida o intercambio de dispositivos, o si la persona que posee el dispositivo ya no trabaja en la empresa.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: IA-2, IA-2(8)
  • PCI-DSS v3.2.1: 8.3.2
  • PCI-DSS v4.0: 2.2.7, 8.4.1
  • ISO-27001 v2022: A.8.2
  • Cloud Controls Matrix 4: IAM-10
  • NIST Cybersecurity Framework 1.0: PR-AC-7
  • SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8
  • CIS AWS Foundation 2.0.0: 1.5
  • CIS Controls 8.0: 6.5

Asegúrate de que la MFA esté habilitada para la cuenta de usuario “raíz”

  • Análisis en tiempo real: No

Multi Factor Authentication Mfa Enabled All Iam Users Console

Nombre de categoría en la API: MULTI_FACTOR_AUTHENTICATION_MFA_ENABLED_ALL_IAM_USERS_CONSOLE

Descripción del hallazgo:

La autenticación de varios factores (MFA) agrega una capa adicional de garantía de autenticación más allá de las credenciales tradicionales. Con la MFA habilitada, cuando un usuario inicie sesión en la consola de AWS, se le solicitará su nombre de usuario y contraseña, así como también un código de autenticación desde su token MFA físico o virtual. Se recomienda que la MFA esté habilitada para todas las cuentas que tengan una contraseña de consola.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: IA-2, IA-2(8)
  • PCI-DSS v3.2.1: 8.3.2
  • PCI-DSS v4.0: 2.2.7, 8.4.1
  • ISO-27001 v2022: A.8.2
  • Cloud Controls Matrix 4: IAM-10
  • NIST Cybersecurity Framework 1.0: PR-AC-7
  • SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8
  • CIS AWS Foundation 2.0.0: 1.10
  • CIS Controls 8.0: 6.5

Asegúrate de que la autenticación de varios factores (MFA) esté habilitada para todos los usuarios de IAM que tengan una contraseña de la consola

  • Análisis en tiempo real: No

No Network Acls Allow Ingress 0 0 0 0 Remote Server Administration

Nombre de categoría en la API: NO_NETWORK_ACLS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION

Descripción del hallazgo:

La función Lista de control de acceso a la red (NACL) proporciona un filtrado sin estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ningún NACL permita el acceso de entrada sin restricciones a los puertos de administración del servidor remoto, como SSH al puerto 22 y RDP al puerto 3389, mediante los protocolos TDP (6), UDP (17) o ALL (-1).

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • CIS AWS Foundation 2.0.0: 5.1

Asegúrate de que ninguna LCA de red permita la entrada de 0.0.0.0/0 a los puertos de administración del servidor remoto

  • Análisis en tiempo real: No

No Root User Account Access Key Exists

Nombre de categoría en la API: NO_ROOT_USER_ACCOUNT_ACCESS_KEY_EXISTS

Descripción del hallazgo:

La "raíz" de usuario es el usuario con más privilegios en una cuenta de AWS. Las claves de acceso de AWS proporcionan acceso programático a una cuenta determinada de AWS. Se recomienda que todas las claves de acceso asociadas con el atributo "raíz" cuenta de usuario final.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 8.1.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 1.4
  • CIS Controls 8.0: 3.3, 5.4

Asegúrate de que no exista una clave de acceso a una cuenta de usuario “raíz”

  • Análisis en tiempo real: No

No Security Groups Allow Ingress 0 0 0 0 Remote Server Administration

Nombre de categoría en la API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION

Descripción del hallazgo:

Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones a los puertos de administración del servidor remoto, como SSH al puerto 22 y RDP al puerto 3389, mediante los protocolos TDP (6), UDP (17) o TODOS (-1).

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • CIS AWS Foundation 2.0.0: 5.2

Asegúrate de que ningún grupo de seguridad permita la entrada de 0.0.0.0/0 a los puertos de administración del servidor remoto

  • Análisis en tiempo real: No

No Security Groups Allow Ingress 0 Remote Server Administration

Nombre de categoría en la API: NO_SECURITY_GROUPS_ALLOW_INGRESS_0_REMOTE_SERVER_ADMINISTRATION

Descripción del hallazgo:

Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Se recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones a los puertos de administración del servidor remoto, como SSH al puerto 22 y RDP al puerto 3389.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • CIS AWS Foundation 2.0.0: 5.3

Asegúrate de que ningún grupo de seguridad permita la entrada de ::/0 a los puertos de administración del servidor remoto

  • Análisis en tiempo real: No

One Active Access Key Available Any Single Iam User

Nombre de categoría en la API: ONE_ACTIVE_ACCESS_KEY_AVAILABLE_ANY_SINGLE_IAM_USER

Descripción del hallazgo:

Las claves de acceso son credenciales a largo plazo para un usuario de IAM o la cuenta "raíz" de AWS usuario. Puedes usar claves de acceso para firmar solicitudes programáticas en la CLI o la API de AWS (directamente o con el SDK de AWS)

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • CIS AWS Foundation 2.0.0: 1.13
  • CIS Controls 8.0: 5

Asegúrate de que solo haya disponible una clave de acceso activa para cada usuario de IAM

  • Análisis en tiempo real: No

Public Access Given Rds Instance

Nombre de categoría en la API: PUBLIC_ACCESS_GIVEN_RDS_INSTANCE

Descripción del hallazgo:

Asegúrate y verifica que las instancias de base de datos RDS aprovisionadas en tu cuenta de AWS restrinjan el acceso no autorizado para minimizar los riesgos de seguridad. Para restringir el acceso a cualquier instancia de base de datos de RDS de acceso público, debes inhabilitar la marca de acceso público de la base de datos y actualizar el grupo de seguridad de VPC asociado con la instancia.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7
  • PCI-DSS v3.2.1: 2.2.2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 2.3.3
  • CIS Controls 8.0: 3.3

Garantiza que no se otorgue acceso público a la Instancia de RDS

  • Análisis en tiempo real: No

Rds Enhanced Monitoring Enabled

Nombre de categoría en la API: RDS_ENHANCED_MONITORING_ENABLED

Descripción del hallazgo:

La supervisión mejorada proporciona métricas en tiempo real sobre el sistema operativo en el que se ejecuta la instancia de RDS, a través de un agente instalado en la instancia.

Para obtener más detalles, consulta Supervisa las métricas del SO con la supervisión mejorada.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-2

Comprueba si la supervisión mejorada está habilitada para todas las instancias de base de datos de RDS

  • Análisis en tiempo real: No

Rds Instance Deletion Protection Enabled

Nombre de categoría en la API: RDS_INSTANCE_DELETION_PROTECTION_ENABLED

Descripción del hallazgo:

Habilitar la protección contra la eliminación de instancias es una capa adicional de protección contra la eliminación accidental de bases de datos o la eliminación por parte de una entidad no autorizada.

Mientras la protección contra la eliminación está habilitada, no se puede borrar una instancia de base de datos de RDS. Antes de que una solicitud de eliminación se pueda realizar correctamente, la protección contra la eliminación debe estar inhabilitada.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-13(5)

Comprueba si todas las instancias de RDS tienen la protección contra la eliminación habilitada

  • Análisis en tiempo real: No

Rds In Backup Plan

Nombre de categoría en la API: RDS_IN_BACKUP_PLAN

Descripción del hallazgo:

Esta verificación evalúa si las instancias de base de datos de Amazon RDS están cubiertas por un plan de copias de seguridad. Este control falla si una instancia de base de datos de RDS no está cubierta por un plan de copias de seguridad.

AWS Backup es un servicio de copias de seguridad completamente administrado que centraliza y automatiza la creación de copias de seguridad de los datos a través de los servicios de AWS. Con AWS Backup, puedes crear políticas de copia de seguridad llamadas planes de copia de seguridad. Puedes usar estos planes para definir tus requisitos de copia de seguridad; por ejemplo, con qué frecuencia hacer copias de seguridad de tus datos y por cuánto tiempo retenerlas. Incluir instancias de bases de datos de RDS en un plan de copias de seguridad te ayuda a proteger tus datos de pérdidas o eliminaciones no deseadas.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-13(5)

Las instancias de base de datos de RDS deben estar protegidas por un plan de copias de seguridad

  • Análisis en tiempo real: No

Rds Logging Enabled

Nombre de categoría en la API: RDS_LOGGING_ENABLED

Descripción del hallazgo:

Esto verifica si los siguientes registros de Amazon RDS están habilitados y enviados a CloudWatch.

Las bases de datos de RDS deben tener habilitados los registros relevantes. El registro de bases de datos proporciona registros detallados de las solicitudes que se realizan a RDS. Los registros de la base de datos pueden ayudar con las auditorías de seguridad y acceso, y pueden ayudar a diagnosticar problemas de disponibilidad.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(8)

Comprueba si los registros exportados están habilitados para todas las instancias de base de datos de RDS

  • Análisis en tiempo real: No

Rds Multi Az Support

Nombre de categoría en la API: RDS_MULTI_AZ_SUPPORT

Descripción del hallazgo:

Las instancias de base de datos de RDS se deben configurar para múltiples zonas de disponibilidad (AZ). Esto garantiza la disponibilidad de los datos almacenados. Las implementaciones de Multi-AZ permiten automatizar la conmutación por error si hay un problema con la disponibilidad de la zona de disponibilidad y durante el mantenimiento habitual de RDS.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-13(5)

Comprueba si la alta disponibilidad está habilitada para todas las instancias de la base de datos de RDS

  • Análisis en tiempo real: No

Redshift Cluster Configuration Check

Nombre de categoría en la API: REDSHIFT_CLUSTER_CONFIGURATION_CHECK

Descripción del hallazgo:

De esta manera, se verifican elementos esenciales de un clúster de Redshift, como la encriptación en reposo, el registro y el tipo de nodo.

Estos elementos de configuración son importantes para el mantenimiento de un clúster de Redshift seguro y observable.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1

Verifica que todos los clústeres de Redshift tengan la encriptación en reposo, el registro y el tipo de nodo configurados.

  • Análisis en tiempo real: No

Redshift Cluster Maintenancesettings Check

Nombre de categoría en la API: REDSHIFT_CLUSTER_MAINTENANCESETTINGS_CHECK

Descripción del hallazgo:

Las actualizaciones automáticas de las versiones principales se realizan de acuerdo con el período de mantenimiento.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-2

Verifica que todos los clústeres de Redshift tengan allowVersionUpgrade habilitado, y preferredMaintenanceWindow y automatedSnapshotRetentionPeriod configurados

  • Análisis en tiempo real: No

Redshift Cluster Public Access Check

Nombre de categoría en la API: REDSHIFT_CLUSTER_PUBLIC_ACCESS_CHECK

Descripción del hallazgo:

El atributo de acceso público de la configuración del clúster de Amazon Redshift indica si el clúster es de acceso público. Cuando el clúster se configura con Publicly accesible establecido en verdadero, es una instancia orientada a Internet que tiene un nombre de DNS que se puede resolver de forma pública, lo que se resuelve en una dirección IP pública.

Cuando el clúster no es de acceso público, es una instancia interna con un nombre de DNS que se resuelve en una dirección IP privada. A menos que desees que tu clúster sea de acceso público, no se debe configurar con Publiclyaccesible establecido en verdadero.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Verifica si se puede acceder públicamente a los clústeres de Redshift

  • Análisis en tiempo real: No

Restricted Common Ports

Nombre de categoría en la API: RESTRICTED_COMMON_PORTS

Descripción del hallazgo:

Esto verifica si se puede acceder al tráfico entrante sin restricción para los grupos de seguridad a los puertos especificados que tienen el riesgo más alto. Este control falla si alguna de las reglas de un grupo de seguridad permite el tráfico de entrada desde “0.0.0.0/0”. o '::/0' para esos puertos.

El acceso sin restricciones (0.0.0.0/0) aumenta las oportunidades de actividad maliciosa, como hackeos, ataques de denegación del servicio y pérdida de datos.

Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS. Ningún grupo de seguridad debe permitir el acceso de entrada sin restricciones a los siguientes puertos:

  • 20, 21 (FTP)
  • 22 (SSH)
  • 23 (Telnet)
  • 25 (SMTP)
  • 110 (POP3)
  • 135 (RPC)
  • 143 (IMAP)
  • 445 (CIFS)
  • 1433, 1434 (MSSQL)
  • 3000 (frameworks de desarrollo web para Go, Node.js y Ruby)
  • 3306 (mySQL)
  • 3389 (RDP)
  • 4333 (ahsp)
  • 5000 (frameworks de desarrollo web de Python)
  • 5432 (postgresql)
  • 5500 (fcp-addr-srvr1)
  • 5601 (Paneles de OpenSearch)
  • 8080 (proxy)
  • 8088 (puerto HTTP heredado)
  • 8888 (puerto HTTP alternativo)
  • 9200 o 9300 (OpenSearch)

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Los grupos de seguridad no deben permitir el acceso sin restricciones a puertos de alto riesgo

  • Análisis en tiempo real: No

Restricted Ssh

Nombre de categoría en la API: RESTRICTED_SSH

Descripción del hallazgo:

Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a los recursos de AWS.

CIS recomienda que ningún grupo de seguridad permita el acceso de entrada sin restricciones al puerto 22. Quitar la conectividad ilimitada a los servicios de consola remota, como SSH, reduce la exposición del servidor a riesgos.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Los grupos de seguridad no deben permitir la entrada de 0.0.0.0/0 al puerto 22

  • Análisis en tiempo real: No

Rotation Customer Created Cmks Enabled

Nombre de categoría en la API: ROTATION_CUSTOMER_CREATED_CMKS_ENABLED

Descripción del hallazgo:

Verifica si la rotación automática de claves está habilitada para cada clave y coincide con el ID de la clave de KMS de AWS creada por el cliente. La regla es NON_COMPLIANT si el rol de registrador de AWS Config para un recurso no tiene el permiso kms:DescribeKey.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Asegúrate de que esté habilitada la rotación de los CMK creados por el cliente

  • Análisis en tiempo real: No

Rotation Customer Created Symmetric Cmks Enabled

Nombre de categoría en la API: ROTATION_CUSTOMER_CREATED_SYMMETRIC_CMKS_ENABLED

Descripción del hallazgo:

El servicio de administración de claves (KMS) de AWS permite a los clientes rotar la clave de copia de seguridad, que es el material de clave almacenado dentro del KMS, que está vinculado al ID de la clave maestra de cliente (CMK) creada por el cliente. Es la clave de copia de seguridad que se usa para realizar operaciones criptográficas como la encriptación y la desencriptación. Actualmente, la rotación automatizada de claves retiene todas las claves de copia de seguridad anteriores para que la desencriptación de los datos encriptados se pueda realizar con transparencia. Se recomienda habilitar la rotación de claves de CMK para las claves simétricas. No se puede habilitar la rotación de claves para ninguna CMK asimétrica.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 3.8
  • CIS Controls 8.0: 3.11

Asegúrate de que esté habilitada la rotación de los CMK simétricos creados por el cliente

  • Análisis en tiempo real: No

Routing Tables Vpc Peering Are Least Access

Nombre de categoría en la API: ROUTING_TABLES_VPC_PEERING_ARE_LEAST_ACCESS

Descripción del hallazgo:

Verifica si las tablas de rutas para el intercambio de tráfico entre VPC están configuradas con la principal de privilegio mínimo.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Asegúrate de que las tablas de enrutamiento del intercambio de tráfico entre VPC sea de “mínimo acceso”

  • Análisis en tiempo real: No

S3 Account Level Public Access Blocks

Nombre de categoría en la API: S3_ACCOUNT_LEVEL_PUBLIC_ACCESS_BLOCKS

Descripción del hallazgo:

El bloqueo de acceso público de Amazon S3 proporciona una configuración de puntos de acceso, buckets y cuentas para ayudarte a administrar el acceso público a los recursos de Amazon S3. De forma predeterminada, los buckets, puntos de acceso y objetos nuevos no permiten el acceso público.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

Esta categoría de hallazgo no está asignada a ningún control estándar de cumplimiento.

Verifica si están configurados los parámetros requeridos del bloqueo de acceso público de S3 a nivel de la cuenta

  • Análisis en tiempo real: No

S3 Buckets Configured Block Public Access Bucket And Account Settings

Nombre de categoría en la API: S3_BUCKETS_CONFIGURED_BLOCK_PUBLIC_ACCESS_BUCKET_AND_ACCOUNT_SETTINGS

Descripción del hallazgo:

Amazon S3 proporciona Block public access (bucket settings) y Block public access (account settings) para ayudarte a administrar el acceso público a los recursos de Amazon S3. De forma predeterminada, los buckets y objetos de S3 se crean con el acceso público inhabilitado. Sin embargo, una principal de IAM de AWS con suficientes permisos de S3 puede habilitar el acceso público a nivel de objeto o bucket. Cuando está habilitada, Block public access (bucket settings) evita que un bucket individual y sus objetos contenidos sean de acceso público. De manera similar, Block public access (account settings) evita que todos los buckets y objetos contenidos sean de acceso público en toda la cuenta.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS AWS Foundation 2.0.0: 2.1.4
  • CIS Controls 8.0: 3.3

Asegúrate de que los buckets de S3 estén configurados con Block public access (bucket settings).

  • Análisis en tiempo real: No

S3 Bucket Access Logging Enabled Cloudtrail S3 Bucket

Nombre de categoría en la API: S3_BUCKET_ACCESS_LOGGING_ENABLED_CLOUDTRAIL_S3_BUCKET

Descripción del hallazgo:

El registro de acceso al bucket de S3 genera un registro que contiene los registros de acceso para cada solicitud que se realiza a tu bucket de S3. Un registro de acceso contiene detalles sobre la solicitud, como el tipo de solicitud, los recursos especificados en la solicitud trabajada y la fecha y hora en que se procesó la solicitud. Se recomienda habilitar el registro de acceso al bucket en el bucket de S3 de CloudTrail.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-6, AU-12, AU-2
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1
  • ISO-27001 v2022: A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • SOC2 v2017: CC6.1.1, CC6.1.10, CC6.1.11, CC6.1.12, CC6.1.13, CC6.1.2, CC6.1.3, CC6.1.4, CC6.1.5, CC6.1.6, CC6.1.7, CC6.1.8, CC6.1.9
  • HIPAA: 164.312(b), 164.312(c)(1), 164.312(c)(2)
  • CIS AWS Foundation 2.0.0: 3.6
  • CIS Controls 8.0: 3.14, 8.2

Asegúrate de que el registro de acceso al bucket de S3 esté habilitado en el bucket de S3 de CloudTrail

  • Análisis en tiempo real: No

S3 Bucket Logging Enabled

Nombre de categoría en la API: S3_BUCKET_LOGGING_ENABLED

Descripción del hallazgo:

La función AWS S3 Server Access Logging registra las solicitudes de acceso a los buckets de almacenamiento, lo que es útil para las auditorías de seguridad. De forma predeterminada, el registro de acceso del servidor no está habilitado para los buckets de S3.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1

Verifica si el registro está habilitado en todos los buckets de S3

  • Análisis en tiempo real: No

S3 Bucket Policy Set Deny Http Requests

Nombre de categoría en la API: S3_BUCKET_POLICY_SET_DENY_HTTP_REQUESTS

Descripción del hallazgo:

En el nivel de bucket de Amazon S3, puedes configurar los permisos a través de una política de bucket que permita el acceso a los objetos solo a través de HTTPS.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-17, IA-5, SC-8
  • PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2
  • ISO-27001 v2022: A.5.14
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-2
  • SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii)
  • CIS AWS Foundation 2.0.0: 2.1.1
  • CIS Controls 8.0: 3.10

Asegúrate de que la política de buckets de S3 esté configurada para rechazar solicitudes HTTP

  • Análisis en tiempo real: No

S3 Bucket Replication Enabled

Nombre de categoría en la API: S3_BUCKET_REPLICATION_ENABLED

Descripción del hallazgo:

Este control verifica si un bucket de Amazon S3 tiene habilitada la replicación entre regiones. El control falla si el bucket no tiene habilitada la replicación entre regiones o si también está habilitada la replicación en la misma región.

La replicación es la copia automática y asíncrona de objetos en buckets en la misma región de AWS o en diferentes. La replicación copia los objetos creados recientemente y las actualizaciones de objetos de un bucket de origen a uno o varios buckets de destino. Las prácticas recomendadas de AWS sugieren la replicación de los buckets de origen y de destino que pertenecen a la misma cuenta de AWS. Además de la disponibilidad, deberías considerar otros parámetros de configuración de endurecimiento de los sistemas.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-13(5)

Verifica si los buckets de S3 tienen habilitada la replicación entre regiones

  • Análisis en tiempo real: No

S3 Bucket Server Side Encryption Enabled

Nombre de categoría en la API: S3_BUCKET_SERVER_SIDE_ENCRYPTION_ENABLED

Descripción del hallazgo:

Esto verifica que tu bucket de S3 tenga habilitada la encriptación predeterminada de Amazon S3 o que la política de bucket de S3 rechace de forma explícita las solicitudes de objetos put sin encriptación del servidor.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 10.5.2

Asegúrate de que todos los buckets de S3 utilicen la encriptación en reposo

  • Análisis en tiempo real: No

S3 Bucket Versioning Enabled

Nombre de categoría en la API: S3_BUCKET_VERSIONING_ENABLED

Descripción del hallazgo:

Amazon S3 es un medio para mantener múltiples variantes de un objeto en el mismo bucket y puede ayudarte a recuperarte con mayor facilidad de acciones no deseadas de los usuarios y de fallas de la aplicación.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-13(5)
  • PCI-DSS v3.2.1: 10.5.5

Verifica que el control de versiones esté habilitado en todos los buckets de S3

  • Análisis en tiempo real: No

S3 Default Encryption Kms

Nombre de categoría en la API: S3_DEFAULT_ENCRYPTION_KMS

Descripción del hallazgo:

Verifica si los buckets de Amazon S3 están encriptados con AWS Key Management Service (AWS KMS)

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(6)

Verifica que todos los buckets estén encriptados con KMS

  • Análisis en tiempo real: No

Sagemaker Notebook Instance Kms Key Configured

Nombre de categoría en la API: SAGEMAKER_NOTEBOOK_INSTANCE_KMS_KEY_CONFIGURED

Descripción del hallazgo:

Verifica si una clave de AWS Key Management Service (AWS KMS) está configurada para una instancia de notebook de Amazon SageMaker. La regla es NON_COMPLIANT si el campo "KmsKeyId" no se especificó para la instancia de notebook de SageMaker.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(6)
  • PCI-DSS v3.2.1: 8.2.1

Verifica que todas las instancias de notebooks de SageMaker estén configuradas para usar KMS

  • Análisis en tiempo real: No

Sagemaker Notebook No Direct Internet Access

Nombre de categoría en la API: SAGEMAKER_NOTEBOOK_NO_DIRECT_INTERNET_ACCESS

Descripción del hallazgo:

Verifica si el acceso directo a Internet está inhabilitado para una instancia de notebook de SageMaker. Para ello, comprueba si el campo DirectInternetAccess está inhabilitado en la instancia de notebook.

Si configuras tu instancia de SageMaker sin una VPC, se habilitará de forma predeterminada el acceso directo a Internet en tu instancia. Deberías configurar tu instancia con una VPC y cambiar el parámetro de configuración predeterminado a Inhabilitar: acceder a Internet a través de una VPC.

Para entrenar o alojar modelos desde un notebook, necesitas acceso a Internet. Para habilitar el acceso a Internet, asegúrate de que tu VPC tenga una puerta de enlace NAT y de que tu grupo de seguridad permita las conexiones salientes. Para obtener más información sobre cómo conectar una instancia de notebook a los recursos de una VPC, consulta la sección sobre cómo conectar una instancia de notebook a los recursos de una VPC en la Guía para desarrolladores de Amazon SageMaker.

Además, debes asegurarte de que el acceso a tu configuración de SageMaker se limite solo a los usuarios autorizados. Restringir la configuración Permisos de IAM para modificar la configuración y los recursos de SageMaker.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Verifica si el acceso directo a Internet está inhabilitado para todas las instancias de notebooks de SageMaker de Amazon

  • Análisis en tiempo real: No

Secretsmanager Rotation Enabled Check

Nombre de categoría en la API: SECRETSMANAGER_ROTATION_ENABLED_CHECK

Descripción del hallazgo:

Verifica si un Secret almacenado en AWS Secrets Manager está configurado con rotación automática. El control falla si el Secret no está configurado con rotación automática. Si proporcionas un valor personalizado para el parámetro maximumAllowedRotationFrequency, el control solo se aprueba si el secreto se rota automáticamente dentro del período especificado.

Secrets Manager te ayuda a mejorar la postura de seguridad de tu organización. Los Secrets incluyen credenciales de bases de datos, contraseñas y claves de API de terceros. Puedes usar Secrets Manager para almacenar los secretos de forma centralizada, encriptarlos de forma automática, controlar el acceso a estos y rotarlos de forma segura y automática.

Secret Manager puede rotar los secretos. Puedes usar la rotación para reemplazar los secretos a largo plazo por otros a corto plazo. La rotación de tus secretos limita el tiempo que un usuario no autorizado puede usar un secreto vulnerado. Por este motivo, debes rotar tus secretos con frecuencia. Para obtener más información sobre la rotación, consulta Rota los secretos de AWS Secret Manager en la Guía del usuario de AWS Secrets Manager.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: AC-3(15)
  • PCI-DSS v3.2.1: 8.2.4

Verifica que todos los secretos de AWS Secrets Manager tengan la rotación habilitada

  • Análisis en tiempo real: No

Sns Encrypted Kms

Nombre de categoría en la API: SNS_ENCRYPTED_KMS

Descripción del hallazgo:

Verifica si un tema de SNS está encriptado en reposo con AWS KMS. Los controles fallan si un tema de SNS no usa una clave de KMS para la encriptación del servidor (SSE).

Encriptar los datos en reposo reduce el riesgo de que un usuario no autenticado en AWS acceda a los datos almacenados en el disco. También agrega otro conjunto de controles de acceso para limitar la capacidad de usuarios no autorizados de acceder a los datos. Por ejemplo, se requieren permisos de API para desencriptar los datos antes de que se puedan leer. Los temas de SNS deben encriptarse en reposo para agregar una capa de seguridad adicional.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-7(6)

Verifica que todos los temas de SNS estén encriptados con KMS

  • Análisis en tiempo real: No

Vpc Default Security Group Closed

Nombre de categoría en la API: VPC_DEFAULT_SECURITY_GROUP_CLOSED

Descripción del hallazgo:

Este control verifica si el grupo de seguridad predeterminado de una VPC permite el tráfico entrante o saliente. El control falla si el grupo de seguridad permite el tráfico entrante o saliente.

Las reglas del grupo de seguridad predeterminado permiten todo el tráfico entrante y saliente de las interfaces de red (y sus instancias asociadas) asignadas al mismo grupo de seguridad. Te recomendamos que no uses el grupo de seguridad predeterminado. Debido a que el grupo de seguridad predeterminado no se puede borrar, debes cambiar la configuración de las reglas predeterminadas del grupo de seguridad para restringir el tráfico entrante y saliente. Esto evita el tráfico no deseado si el grupo de seguridad predeterminado se configura accidentalmente para recursos como instancias de EC2.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Asegúrate de que el grupo de seguridad predeterminado de cada VPC restrinja todo el tráfico

  • Análisis en tiempo real: No

Vpc Flow Logging Enabled All Vpcs

Nombre de categoría en la API: VPC_FLOW_LOGGING_ENABLED_ALL_VPCS

Descripción del hallazgo:

Los registros de flujo de VPC son una función que te permite capturar información sobre el tráfico IP desde y hacia las interfaces de red de tu VPC. Después de crear un registro de flujo, puedes ver y recuperar sus datos en Amazon CloudWatch Logs. Se recomienda que los registros de flujo de VPC estén habilitados para el paquete “Rechazos” para las VPC.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-4, SI-7(8)
  • PCI-DSS v3.2.1: 10.3.1
  • ISO-27001 v2022: A.8.15, A.8.16
  • Cloud Controls Matrix 4: IVS-03
  • NIST Cybersecurity Framework 1.0: DE-CM-1
  • SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4
  • CIS AWS Foundation 2.0.0: 3.9
  • CIS Controls 8.0: 13.6, 8.2

Asegúrate de que el registro de flujo de VPC esté habilitado en todas las VPC

  • Análisis en tiempo real: No

Vpc Sg Open Only To Authorized Ports

Nombre de categoría en la API: VPC_SG_OPEN_ONLY_TO_AUTHORIZED_PORTS

Descripción del hallazgo:

Este control verifica si un grupo de seguridad de Amazon EC2 permite el tráfico entrante sin restricciones desde puertos no autorizados. El estado del control se determina de la siguiente manera:

Si usas el valor predeterminado para authorTcpPorts, el control falla si el grupo de seguridad permite el tráfico entrante sin restricciones desde cualquier puerto que no sea los puertos 80 y 443.

Si proporcionas valores personalizados para AuthorizedTcpPorts o autorizadosUdpPorts, el control falla si el grupo de seguridad permite el tráfico entrante sin restricciones desde cualquier puerto no listado.

Si no se usa ningún parámetro, el control falla para cualquier grupo de seguridad que tenga una regla de tráfico entrante sin restricciones.

Los grupos de seguridad proporcionan filtrado con estado del tráfico de red de entrada y salida a AWS. Las reglas del grupo de seguridad deben seguir la principal del acceso de privilegio mínimo. El acceso no restringido (dirección IP con el sufijo /0) aumenta las posibilidades de que se produzcan actividades maliciosas, como hackeos, ataques de denegación del servicio y pérdida de datos. A menos que se permita específicamente un puerto, este debe denegar el acceso sin restricciones.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SC-7
  • PCI-DSS v3.2.1: 2.2.2

Verifica que los grupos de seguridad con 0.0.0.0/0 de todas las VPC solo permitan tráfico de TCP/UDP entrante específico

  • Análisis en tiempo real: No

Both VPC VPN Tunnels Up

Nombre de categoría en la API: VPC_VPN_2_TUNNELS_UP

Descripción del hallazgo:

Un túnel VPN es un vínculo encriptado en el que los datos pueden pasar de la red del cliente hacia o desde AWS dentro de una conexión de VPN de sitio a sitio de AWS. Cada conexión de VPN incluye dos túneles VPN que puedes usar simultáneamente para obtener alta disponibilidad. Asegurarse de que ambos túneles VPN están habilitados para una conexión de VPN es importante para confirmar una conexión segura y con alta disponibilidad entre una VPC de AWS y su red remota.

Este control verifica que ambos túneles VPN proporcionados por la VPN de sitio a sitio de AWS estén en estado UP. El control falla si uno o ambos túneles están DISPONIBLES.

Nivel de precios: Enterprise

Corregir este resultado

Estándares de cumplimiento:

  • NIST 800-53 R5: SI-13(5)

Verifica que estén configurados los túneles VPN de AWS proporcionados por AWS entre sitios

  • Análisis en tiempo real: No

Resultados de Web Security Scanner

Los análisis personalizados y administrados de Web Security Scanner identifican los siguientes tipos de resultados. En la En el nivel Estándar, Web Security Scanner es compatible con análisis personalizados de aplicaciones implementadas con las direcciones IP y las URL que no están detrás de un firewall.

Categoría Descripción del resultado Los 10 mejores de OWASP de 2017 Los 10 mejores de OWASP de 2021

Accessible Git repository

Nombre de categoría en la API: ACCESSIBLE_GIT_REPOSITORY

Un repositorio de Git se expone públicamente. Para resolver este hallazgo, quita los errores involuntarios acceso público al repositorio de GIT.

Nivel de precios: Estándar

Corregir este hallazgo

A5 A01

Accessible SVN repository

Nombre de categoría en la API: ACCESSIBLE_SVN_REPOSITORY

Un repositorio de SVN se expone públicamente. Para resolver este resultado, quita el elemento público acceso involuntario al repositorio de SVN.

Nivel de precios: Estándar

Corregir este hallazgo

A5 A01

Cacheable password input

Nombre de categoría en la API: CACHEABLE_PASSWORD_INPUT

Las contraseñas ingresadas en la aplicación web se pueden almacenar en la caché de un navegador normal. de un almacenamiento seguro de contraseñas.

Nivel de precios: Premium

Corregir este hallazgo

A3 A04

Clear text password

Nombre de categoría en la API: CLEAR_TEXT_PASSWORD

Las contraseñas se transmiten en texto claro y se pueden interceptar. Para solucionar este problema, sigue estos pasos: y, así, encriptar la contraseña transmitida a través de la red.

Nivel de precios: Estándar

Corregir este hallazgo

A3 A02

Insecure allow origin ends with validation

Nombre de categoría en la API: INSECURE_ALLOW_ORIGIN_ENDS_WITH_VALIDATION

Un extremo HTTP o HTTPS entre sitios valida solo un sufijo de Origin. encabezado de la solicitud antes de reflejarlo en Access-Control-Allow-Origin encabezado de respuesta. Para resolver este hallazgo, valida que el dominio raíz esperado sea parte del valor del encabezado Origin antes de reflejarlo en el Encabezado de respuesta Access-Control-Allow-Origin. Para los comodines de subdominio, anteponga el punto al dominio raíz, por ejemplo, .endsWith(".google.com")

Nivel de precios: Premium

Corregir este hallazgo

A5 A01

Insecure allow origin starts with validation

Nombre de categoría en la API: INSECURE_ALLOW_ORIGIN_STARTS_WITH_VALIDATION

Un extremo HTTP o HTTPS entre sitios valida solo un prefijo del Origin. encabezado de la solicitud antes de reflejarlo en Access-Control-Allow-Origin encabezado de respuesta. Para resolver este hallazgo, valida que el dominio esperado coincida por completo el valor del encabezado Origin antes de reflejarlo en el Encabezado de respuesta Access-Control-Allow-Origin, por ejemplo, .equals(".google.com")

Nivel de precios: Premium

Corregir este hallazgo

A5 A01

Invalid content type

Nombre de categoría en la API: INVALID_CONTENT_TYPE

Se cargó un recurso que no coincide con el encabezado HTTP de tipo de contenido de la respuesta Para resolver este hallazgo, establece el encabezado HTTP X-Content-Type-Options con el valor.

Nivel de precios: Estándar

Corregir este hallazgo

A6 A05

Invalid header

Nombre de categoría en la API: INVALID_HEADER

Un encabezado de seguridad tiene un error de sintaxis y los navegadores lo ignoran. Para resolver este hallazgo, los encabezados de seguridad HTTP correctamente.

Nivel de precios: Estándar

Corregir este hallazgo

A6 A05

Mismatching security header values

Nombre de categoría en la API: MISMATCHING_SECURITY_HEADER_VALUES

Un encabezado de seguridad tiene valores duplicados y no coincidentes, lo que da como resultado un comportamiento indefinido. Para resolver este hallazgo, configura los encabezados de seguridad HTTP correctamente.

Nivel de precios: Estándar

Corregir este hallazgo

A6 A05

Misspelled security header name

Nombre de categoría en la API: MISSPELLED_SECURITY_HEADER_NAME

Un encabezado de seguridad está mal escrito y se ignora. Para resolver este hallazgo, configura HTTP encabezados de seguridad correctos.

Nivel de precios: Estándar

Corregir este hallazgo

A6 A05

Mixed content

Nombre de categoría en la API: MIXED_CONTENT

Los recursos se envían a través de HTTP en una página HTTPS. Para resolver este hallazgo, asegúrate de que todos los recursos se entreguen a través de HTTPS.

Nivel de precios: Estándar

Corregir este hallazgo

A6 A05

Outdated library

Nombre de categoría en la API: OUTDATED_LIBRARY

Se detectó una biblioteca que tiene vulnerabilidades conocidas. Para resolver este hallazgo, actualiza bibliotecas a una versión más reciente.

Nivel de precios: Estándar

Corregir este hallazgo

A9 A06

Server side request forgery

Nombre de categoría en la API: SERVER_SIDE_REQUEST_FORGERY

Se detectó una vulnerabilidad de falsificación de solicitudes del servidor (SSRF). Para resolver este hallazgo, usar una lista de entidades permitidas para limitar los dominios y las direcciones IP que la aplicación web puede hacer a las que envían solicitudes.

Nivel de precios: Estándar

Corregir este hallazgo

No aplicable A10

Session ID leak

Nombre de categoría en la API: SESSION_ID_LEAK

Cuando se realiza una solicitud multidominio, la aplicación web incluye la sesión del usuario identificador en su encabezado de solicitud Referer. Esta vulnerabilidad le brinda que reciben acceso al dominio al identificador de la sesión, que puede usarse para suplantar o identificar de manera inequívoca al usuario.

Nivel de precios: Premium

Corregir este hallazgo

A2 A07

SQL injection

Nombre de categoría en la API: SQL_INJECTION

Se detectó una posible vulnerabilidad de inyección de SQL. Para resolver este hallazgo, usa consultas con parámetros para evitar que las entradas del usuario influyan en la estructura del SQL para cada búsqueda.

Nivel de precios: Premium

Corregir este hallazgo

A1 A03

Struts insecure deserialization

Nombre de categoría en la API: STRUTS_INSECURE_DESERIALIZATION

El uso de una versión vulnerable de Apache Struts se detectó. Para resolver este resultado, actualiza Apache Stuuts a la versión más reciente.

Nivel de precios: Premium

Corregir este hallazgo

A8 A08

XSS

Nombre de categoría en la API: XSS

Un campo en esta aplicación web es vulnerable a un ataque de secuencias de comandos entre sitios (XSS). Para resolver este hallazgo, validar y escapar de los datos que no son de confianza proporcionados por los usuarios.

Nivel de precios: Estándar

Corregir este hallazgo

A7 A03

XSS angular callback

Nombre de categoría en la API: XSS_ANGULAR_CALLBACK

La string proporcionada por el usuario no está escapadas y AngularJS puede interpolarla. Para solucionar este problema, sigue estos pasos: Buscar, validar y escapar los datos que no son de confianza proporcionados por los usuarios y que administra Angular en un framework de aplicaciones.

Nivel de precios: Estándar

Corregir este hallazgo

A7 A03

XSS error

Nombre de categoría en la API: XSS_ERROR

Un campo en esta aplicación web es vulnerable a un ataque de secuencia de comandos entre sitios. Para resolver este hallazgo, validar y escapar de los datos que no son de confianza proporcionados por los usuarios.

Nivel de precios: Estándar

Corregir este hallazgo

A7 A03

XXE reflected file leakage

Nombre de categoría en la API: XXE_REFLECTED_FILE_LEAKAGE

Se detectó una vulnerabilidad XML External Entity (XXE). Esta vulnerabilidad puede causar filtrar un archivo en el host. Para resolver este hallazgo, configura tu XML analizadores para inhabilitar entidades externas.

Nivel de precios: Premium

Corregir este hallazgo

A4 A05

Prototype pollution

Nombre de categoría en la API: PROTOTYPE_POLLUTION

La aplicación es vulnerable a la contaminación prototípica. Esta vulnerabilidad surge cuando se pueden asignar propiedades del objeto Object.prototype que el atacante puede controlar. Los valores colocados en estos prototipos se asumen universalmente. para traducir en secuencia de comandos entre sitios o vulnerabilidades similares del cliente, así como errores lógicos.

Nivel de precios: Estándar

Corregir este hallazgo

A1 A03

Hallazgos del recomendador de IAM

En la siguiente tabla, se enumeran los hallazgos de Security Command Center generados por Recomendador de IAM.

Cada hallazgo del recomendador de IAM contiene recomendaciones específicas para quitar o reemplaza un rol que incluya permisos excesivos de una principal en tu entorno de Google Cloud.

Los hallazgos que genera el recomendador de IAM corresponden recomendaciones que aparecen en la consola de Google Cloud en la Página IAM del proyecto afectado carpeta u organización.

Para obtener más información sobre la integración del recomendador de IAM con Security Command Center, consulta Fuentes de seguridad.

Detector Resumen

IAM role has excessive permissions

Nombre de categoría en la API: IAM_ROLE_HAS_EXCESSIVE_PERMISSIONS

Descripción del hallazgo: El recomendador de IAM detectó una cuenta de servicio con uno o más roles de IAM que otorgan permisos excesivos al usuario de servicio predeterminada.

Nivel de precios: Premium

Recursos admitidos:

Corrige este resultado :

Usa el recomendador de IAM para aplicar la corrección recomendada para este resultado de la siguiente manera: estos pasos:

  1. En la sección Próximos pasos de los detalles de los hallazgos en la consola de Google Cloud, Copia y pega la URL de la página de IAM en la dirección del navegador. y presiona Intro. Se carga la página IAM.
  2. En el lado derecho de la parte superior de la página IAM, haz clic en Consulta las recomendaciones en la tabla. Las recomendaciones se muestran en una tabla.
  3. En la columna Estadísticas de seguridad, haz clic en cualquier recomendación relacionada con lo siguiente: permisos excesivos. Se abrirá el panel de detalles de las recomendaciones.
  4. Revisa las recomendaciones sobre las acciones que puedes realizar para resolver el problema.
  5. Haz clic en Aplicar.

Una vez que se soluciona el problema, el recomendador de IAM actualiza el estado del hallazgo a INACTIVE en un plazo de 24 horas.

Service agent role replaced with basic role

Nombre de categoría en la API: SERVICE_AGENT_ROLE_REPLACED_WITH_BASIC_ROLE

Descripción del hallazgo: El recomendador de IAM detectó que el valor predeterminado original El rol de IAM otorgado a un agente de servicio se reemplazó por uno de los Roles de IAM: Propietario, Editor o Visualizador Los roles básicos son roles heredados demasiado permisivos y no deberían otorgarse a agentes de servicio.

Nivel de precios: Premium

Recursos admitidos:

Corrige este resultado :

Usa el recomendador de IAM para aplicar la corrección recomendada para este resultado de la siguiente manera: estos pasos:

  1. En la sección Próximos pasos de los detalles de los hallazgos en la consola de Google Cloud, Copia y pega la URL de la página de IAM en la barra de direcciones del navegador. y presiona Intro. Se carga la página IAM.
  2. En el lado derecho de la parte superior de la página IAM, haz clic en Consulta las recomendaciones en la tabla. Las recomendaciones se muestran en una tabla.
  3. En la columna Estadísticas de seguridad, haz clic en cualquier permiso que se relacione con el exceso. permisos. Se abrirá el panel de detalles de las recomendaciones.
  4. Revisa los permisos no utilizados.
  5. Haz clic en Aplicar.

Una vez que se soluciona el problema, el recomendador de IAM actualiza el estado del hallazgo a INACTIVE en un plazo de 24 horas.

Service agent granted basic role

Nombre de categoría en la API: SERVICE_AGENT_GRANTED_BASIC_ROLE

Descripción del hallazgo: El recomendador de IAM detectó que se le otorgó uno a un agente de servicio de los roles básicos de IAM: Propietario, Editor o Visualizador. Los roles básicos son roles heredados demasiado permisivos y no se deben otorgar a los agentes.

Nivel de precios: Premium

Recursos admitidos:

Corrige este resultado :

Usa el recomendador de IAM para aplicar la corrección recomendada para este resultado de la siguiente manera: estos pasos:

  1. En la sección Próximos pasos de los detalles de los hallazgos en la consola de Google Cloud, Copia y pega la URL de la página de IAM en la barra de direcciones del navegador. y presiona Intro. Se carga la página IAM.
  2. En el lado derecho de la parte superior de la página IAM, haz clic en Consulta las recomendaciones en la tabla. Las recomendaciones se muestran en una tabla.
  3. En la columna Estadísticas de seguridad, haz clic en cualquier permiso que se relacione con el exceso. permisos. Se abrirá el panel de detalles de las recomendaciones.
  4. Revisa los permisos no utilizados.
  5. Haz clic en Aplicar.

Una vez que se soluciona el problema, el recomendador de IAM actualiza el estado del hallazgo a INACTIVE en un plazo de 24 horas.

Unused IAM role

Nombre de categoría en la API: UNUSED_IAM_ROLE

Descripción del hallazgo: El recomendador de IAM detectó una cuenta de usuario que tiene un Rol de IAM que no se usó en los últimos 90 días.

Nivel de precios: Premium

Recursos admitidos:

Corrige este resultado :

Usa el recomendador de IAM para aplicar la corrección recomendada para este resultado de la siguiente manera: estos pasos:

  1. En la sección Próximos pasos de los detalles de los hallazgos en la consola de Google Cloud, Copia y pega la URL de la página de IAM en la barra de direcciones del navegador. y presiona Intro. Se carga la página IAM.
  2. En el lado derecho de la parte superior de la página IAM, haz clic en Consulta las recomendaciones en la tabla. Las recomendaciones se muestran en una tabla.
  3. En la columna Estadísticas de seguridad, haz clic en cualquier permiso que se relacione con el exceso. permisos. Se abrirá el panel de detalles de las recomendaciones.
  4. Revisa los permisos no utilizados.
  5. Haz clic en Aplicar.

Una vez que se soluciona el problema, el recomendador de IAM actualiza el estado del hallazgo a INACTIVE en un plazo de 24 horas.

Hallazgos del CIEM

En la siguiente tabla, se enumeran los hallazgos sobre la identidad y el acceso de Security Command Center para AWS que se generan a través de la administración de derechos de infraestructura de nube (CIEM).

Los hallazgos del CIEM contienen recomendaciones específicas para quitar o reemplazar las políticas de IAM de AWS altamente permisivas asociadas con las identidades supuestas, usuarios o grupos en tu entorno de AWS.

Para obtener más información sobre CIEM, consulta Descripción general de la administración de derechos de la infraestructura de nube.

Detector Resumen

Assumed identity has excessive permissions

Nombre de categoría en la API: ASSUMED_IDENTITY_HAS_EXCESSIVE_PERMISSIONS

Descripción del resultado: En tu entorno de AWS, CIEM detectó un rol de IAM supuesto que tiene una o más políticas muy permisivas que infringen la de principio de privilegio mínimo y aumentar los riesgos de seguridad.

Nivel de precios: Enterprise

Corrige este resultado :

Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes acciones tareas de corrección:

  • Quita la política altamente permisiva.
  • Crea una nueva política que tenga los permisos mínimos necesarios para el usuario, grupo o rol. Luego, adjunta la política nueva al usuario, grupo o rol, y quita la política altamente permisiva.

Consulta los detalles del hallazgo para conocer los pasos de corrección específicos.

Group has excessive permissions

Nombre de categoría en la API: GROUP_HAS_EXCESSIVE_PERMISSIONS

Descripción del hallazgo: En tu entorno de AWS, CIEM detectó un problema de IAM que tiene una o más políticas muy permisivas que infringen el principio de los privilegios y aumentar los riesgos de seguridad.

Nivel de precios: Enterprise

Corrige este resultado :

Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes acciones tareas de corrección:

  • Quita la política altamente permisiva.
  • Crea una nueva política que tenga los permisos mínimos necesarios para el usuario, grupo o rol. Luego, adjunta la política nueva al usuario, grupo o rol, y quita la política altamente permisiva.

Consulta los detalles del hallazgo para conocer los pasos de corrección específicos.

User has excessive permissions

Nombre de categoría en la API: USER_HAS_EXCESSIVE_PERMISSIONS

Descripción del hallazgo: En tu entorno de AWS, CIEM detectó un problema de IAM usuario que tiene una o más políticas muy permisivas que infringen el principio de privilegios y aumentar los riesgos de seguridad.

Nivel de precios: Enterprise

Corrige este resultado :

Según el hallazgo, usa la consola de administración de AWS para realizar una de las siguientes acciones tareas de corrección:

  • Quita la política altamente permisiva.
  • Crea una nueva política que tenga los permisos mínimos necesarios para el usuario, grupo o rol. Luego, adjunta la política nueva al usuario, grupo o rol, y quita la política altamente permisiva.

Consulta los detalles del hallazgo para conocer los pasos de corrección específicos.

Hallazgos del servicio de postura de seguridad

En la siguiente tabla, se enumeran los hallazgos de Security Command Center generados por el servicio de postura de seguridad.

Cada hallazgo del servicio de postura de seguridad identifica una instancia de desviación de tu postura de seguridad definida.

Buscando Resumen

SHA Canned Module Drifted

Nombre de categoría en la API: SECURITY_POSTURE_DETECTOR_DRIFT

Descripción del hallazgo: El servicio de postura de seguridad detectó un cambio en un Detector de Security Health Analytics que ocurrió fuera de una actualización de postura.

Nivel de precios: Premium

Corrige este resultado :

Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que el del detector en tu postura y en tu entorno. Tienes dos opciones para resuelve este hallazgo: puedes actualizar el detector de Security Health Analytics o y la implementación de la postura.

Para revertir el cambio, actualiza el detector de Security Health Analytics en la consola de Google Cloud. Para obtener instrucciones, consulta Inhabilita y habilita los detectores.

Para aceptar el cambio, haz lo siguiente:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

SHA Custom Module Drifted

Nombre de categoría en la API: SECURITY_POSTURE_DETECTOR_DRIFT

Descripción del hallazgo: El servicio de postura de seguridad detectó un cambio en un Módulo personalizado de Security Health Analytics que ocurrió fuera de una actualización de postura.

Nivel de precios: Premium

Corrige este resultado :

Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que la campaña de los módulos en tu postura y en tu entorno. Tienes dos opciones para resuelve este hallazgo: puedes actualizar el módulo personalizado de Security Health Analytics o y la implementación de la postura.

Para revertir el cambio, actualiza el módulo personalizado de Estadísticas del estado de seguridad en la Consola de Google Cloud Para obtener instrucciones, consulta Actualiza un módulo personalizado.

Para aceptar el cambio, haz lo siguiente:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

SHA Custom Module Deleted

Nombre de categoría en la API: SECURITY_POSTURE_DETECTOR_DELETE

Descripción del hallazgo: El servicio de postura de seguridad detectó que un Se borró el módulo personalizado de Security Health Analytics. Esta eliminación se produjo fuera de una postura actualización.

Nivel de precios: Premium

Corrige este resultado :

Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que la campaña de los módulos en tu postura y en tu entorno. Tienes dos opciones para resuelve este hallazgo: puedes actualizar el módulo personalizado de Security Health Analytics o y la implementación de la postura.

Para revertir el cambio, actualiza el módulo personalizado de Estadísticas del estado de seguridad en la Consola de Google Cloud Para obtener instrucciones, consulta Actualiza un módulo personalizado.

Para aceptar el cambio, haz lo siguiente:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Org Policy Canned Constraint Drifted

Nombre de categoría en la API: SECURITY_POSTURE_POLICY_DRIFT

Descripción del hallazgo: El servicio de postura de seguridad detectó un cambio en un política de la organización que ocurrieron fuera de una actualización de postura.

Nivel de precios: Premium

Corrige este resultado :

Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que el las definiciones de las políticas de la organización en tu postura y en tu entorno. Tienes dos para resolver este hallazgo: puedes actualizar la política de la organización o actualizar y su implementación.

Para revertir el cambio, actualiza la política de la organización en la consola de Google Cloud. Para consulta las instrucciones Crear y editar políticas

Para aceptar el cambio, haz lo siguiente:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Org Policy Canned Constraint Deleted

Nombre de categoría en la API: SECURITY_POSTURE_POLICY_DELETE

Descripción del hallazgo: El servicio de postura de seguridad detectó que un se borró la política de la organización. Esta eliminación se produjo fuera de una actualización de postura.

Nivel de precios: Premium

Corrige este resultado :

Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que el las definiciones de las políticas de la organización en tu postura y en tu entorno. Tienes dos para resolver este hallazgo: puedes actualizar la política de la organización o actualizar y su implementación.

Para revertir el cambio, actualiza la política de la organización en la consola de Google Cloud. Para consulta las instrucciones Crear y editar políticas

Para aceptar el cambio, haz lo siguiente:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Org Policy Custom Constraint Drifted

Nombre de categoría en la API: SECURITY_POSTURE_POLICY_DRIFT

Descripción del hallazgo: El servicio de postura de seguridad detectó un cambio en un una política de la organización personalizada que ocurrió fuera de una actualización de postura.

Nivel de precios: Premium

Corrige este resultado :

Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que la campaña las definiciones de las políticas de la organización en tu postura y en tu entorno. Tienes dos para resolver este hallazgo: puedes actualizar la política de la organización personalizada o y actualizar la postura y el Deployment de la postura.

Para revertir el cambio, actualiza la política personalizada de la organización en Consola de Google Cloud Para obtener instrucciones, consulta Actualiza una restricción personalizada.

Para aceptar el cambio, haz lo siguiente:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Org Policy Custom Constraint Deleted

Nombre de categoría en la API: SECURITY_POSTURE_POLICY_DELETE

Descripción del hallazgo: El servicio de postura de seguridad detectó que una imagen se borró la política de la organización. Esta eliminación se produjo fuera de una actualización de postura.

Nivel de precios: Premium

Corrige este resultado :

Este hallazgo requiere que aceptes el cambio o lo reviertas, de modo que la campaña las definiciones de las políticas de la organización en tu postura y en tu entorno. Tienes dos para resolver este hallazgo: puedes actualizar la política de la organización personalizada o y actualizar la postura y el Deployment de la postura.

Para revertir el cambio, actualiza la política personalizada de la organización en Consola de Google Cloud Para obtener instrucciones, consulta Actualiza una restricción personalizada.

Para aceptar el cambio, haz lo siguiente:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

En la siguiente tabla, se enumeran los hallazgos de la postura de seguridad que identifican infracciones de recursos contra tu postura de seguridad definida.

Buscando Resumen

Disable VPC External IPv6

Nombre de categoría en la API: DISABLE_VPC_EXTERNAL_IP_V6_ORG_POLICY

Descripción del hallazgo: El servicio de postura de seguridad detectó que un subred tiene una dirección IPv6 externa habilitada.

Nivel de precios: Premium

Corrige este resultado :

Tienes dos opciones para resolver este hallazgo: borrar el recurso infractor o puedes actualizar la postura y volver a implementarla.

Para borrar el recurso, completa los siguientes pasos:

  1. Abre el resumen de resultados.
  2. Revisa la sección de recursos afectados y busca el nombre completo del recurso que incumple las políticas la política de postura.
  3. Haz clic en el nombre completo del recurso para abrir sus detalles.
  4. Borra el recurso.

Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Disable VPC Internal IPv6

Nombre de categoría en la API: DISABLE_VPC_INTERNAL_IP_V6_ORG_POLICY

Descripción del hallazgo: El servicio de postura de seguridad detectó que un subred tiene una dirección IPv6 interna habilitada.

Nivel de precios: Premium

Corrige este resultado :

Tienes dos opciones para resolver este hallazgo: borrar el recurso infractor o puedes actualizar la postura y volver a implementarla.

Para borrar el recurso, completa los siguientes pasos:

  1. Abre el resumen de resultados.
  2. Revisa la sección de recursos afectados y busca el nombre completo del recurso que incumple las políticas la política de postura.
  3. Haz clic en el nombre completo del recurso para abrir sus detalles.
  4. Borra el recurso.

Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Require OS Login

Nombre de categoría en la API: REQUIRE_OS_LOGIN_ORG_POLICY

Descripción del hallazgo: El servicio de postura de seguridad detectó que Acceso al SO está inhabilitada en una instancia de VM.

Nivel de precios: Premium

Corrige este resultado :

Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla.

Para actualizar el recurso, completa los siguientes pasos:

  1. Abre el resumen de resultados.
  2. Revisa la sección de recursos afectados y busca el nombre completo del recurso que incumple las políticas la política de postura.
  3. Haz clic en el nombre completo del recurso para abrir sus detalles.
  4. Edita el recurso. Encontrar la sección de metadatos y cambiar la entrada con la clave De enable-oslogin a TRUE.
  5. Guarda el recurso.

Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Restrict Authorized Networks

Nombre de categoría en la API: RESTRICT_AUTHORIZED_NETWORKS_ORG_POLICY

Descripción del hallazgo: El servicio de postura de seguridad detectó que un una red autorizada a una instancia de SQL.

Nivel de precios: Premium

Corrige este resultado :

Este hallazgo requiere que corrijas el incumplimiento o actualices la postura. Tienes dos para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla.

Para actualizar el recurso, completa los siguientes pasos:

  1. Abre el resumen de resultados.
  2. Revisa la sección de recursos afectados y busca el nombre completo del recurso que incumple las políticas la política de postura.
  3. Haz clic en el nombre completo del recurso para abrir sus detalles.
  4. Edita el recurso. Buscar la sección de red autorizada en Conexiones borrar todas sus entradas.
  5. Guarda el recurso.

Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Require VPC Connector

Nombre de categoría en la API: REQUIRE_VPC_CONNECTOR_ORG_POLICY

Descripción del hallazgo: El servicio de postura de seguridad detectó que una VPC el conector no está habilitado para una instancia de Cloud Run.

Nivel de precios: Premium

Corrige este resultado :

Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla.

Para actualizar el recurso, completa los siguientes pasos:

  1. Abre el resumen de resultados.
  2. Revisa la sección de recursos afectados y busca el nombre completo del recurso que incumple las políticas la política de postura.
  3. Haz clic en el nombre completo del recurso para abrir sus detalles.
  4. Haz clic en Edit.
  5. Haz clic en la pestaña Conexiones.
  6. Busca la sección Configuración de salida. En el menú Red, selecciona una el conector de VPC adecuado.
  7. Haz clic en Siguiente.
  8. Haz clic en Implementar.

Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Disabled Serial Port Access

Nombre de categoría en la API: DISABLED_SERIAL_PORT_ACCESS_ORG_POLICY

Descripción del hallazgo: El servicio de postura de seguridad detectó que el número de el acceso de puerto a una instancia de VM.

Nivel de precios: Premium

Corrige este resultado :

Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla.

Para actualizar el recurso, completa los siguientes pasos:

  1. Abre el resumen de resultados.
  2. Revisa la sección de recursos afectados y busca el nombre completo del recurso que incumple las políticas la política de postura.
  3. Haz clic en el nombre completo del recurso para abrir sus detalles.
  4. Edita el recurso. Busca la sección Acceso remoto y desmarca el Casilla de verificación Habilitar la conexión a los puertos en serie.
  5. Guarda el recurso.

Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Skip Default Network Creation

Nombre de categoría en la API: SKIP_DEFAULT_NETWORK_CREATION_ORG_POLICY

Descripción del hallazgo: El servicio de postura de seguridad detectó que un valor predeterminado red de VPC.

Nivel de precios: Premium

Corrige este resultado :

Tienes dos opciones para resolver este hallazgo: borrar el recurso infractor o puedes actualizar la postura y volver a implementarla.

Para borrar el recurso, completa los siguientes pasos:

  1. Abre el resumen de resultados.
  2. Revisa la sección de recursos afectados y busca el nombre completo del recurso que incumple las políticas la política de postura.
  3. Haz clic en el nombre completo del recurso para abrir sus detalles.
  4. Borra el recurso.

Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Allowed Ingress

Nombre de categoría en la API: ALLOWED_INGRESS_ORG_POLICY

Descripción del hallazgo: El servicio de postura de seguridad detectó que un El servicio de Cloud Run no cumple con la configuración de entrada especificada.

Nivel de precios: Premium

Corrige este resultado :

Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla.

Para actualizar el recurso, completa los siguientes pasos:

  1. Abre el resumen de resultados.
  2. Revisa la sección de recursos afectados y busca el nombre completo del recurso que incumple las políticas la política de postura.
  3. Haz clic en el nombre completo del recurso para abrir sus detalles.
  4. Haz clic en la pestaña Herramientas de redes. Cambia la configuración para que coincida con la entrada permitida política de la empresa.
  5. Guarda el recurso.

Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Uniform Bucket Level Access

Nombre de categoría en la API: UNIFORM_BUCKET_LEVEL_ACCESS_ORG_POLICY

Descripción del hallazgo: El servicio de postura de seguridad detectó que un el acceso a nivel de bucket es detallado, no uniforme.

Nivel de precios: Premium

Corrige este resultado :

Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla.

Para actualizar el recurso, completa los siguientes pasos:

  1. Abre el resumen de resultados.
  2. Revisa la sección de recursos afectados y busca el nombre completo del recurso que incumple las políticas la política de postura.
  3. Haz clic en el nombre completo del recurso para abrir sus detalles.
  4. Haz clic en la pestaña Permisos. En la tarjeta Control de acceso, haz clic en Cambia a la versión uniforme.
  5. Selecciona uniforme y guarda los cambios.

Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

Allowed VPC Egress

Nombre de categoría en la API: ALLOWED_VPC_EGRESS_ORG_POLICY

Descripción del hallazgo: El servicio de postura de seguridad detectó que un El servicio de Cloud Run no cumple con la configuración de salida especificada.

Nivel de precios: Premium

Corrige este resultado :

Tienes dos opciones para resolver este hallazgo: puedes actualizar el recurso infractor o puedes actualizar la postura y volver a implementarla.

Para actualizar el recurso, completa los siguientes pasos:

  1. Abre el resumen de resultados.
  2. Revisa la sección de recursos afectados y busca el nombre completo del recurso que incumple las políticas la política de postura.
  3. Haz clic en el nombre completo del recurso para abrir sus detalles.
  4. Haz clic en Editar y implementar una revisión nueva y, luego, hacer clic en la pestaña Herramientas de redes. Cambia la configuración de Enrutamiento de tráfico en la Conéctate a una VPC para el tráfico saliente de modo que coincida con la salida permitida política de la empresa.
  5. Implementa el recurso.

Si quieres mantener el recurso en la misma configuración, debes actualizar el de seguridad y garantizar la postura de seguridad en general. Para actualizar la postura, completa los siguientes pasos:

  1. Actualiza el archivo posture.yaml con el cambio.
  2. Ejecuta el comando gcloud scc postures update. Para obtener instrucciones, consulta Actualiza las definiciones de la política en una postura.
  3. Implementa la postura actualizada con el nuevo ID de revisión. Para obtener instrucciones, consulta Actualiza una implementación de postura.

VM Manager

VM Manager es un conjunto de herramientas que se pueden usar en la administración de sistemas operativos para flotas de máquinas virtuales (VM) grandes que ejecutan Windows y Linux en Compute Engine.

Si habilitas VM Manager con Security Command Center Premium a nivel de la organización, VM Manager escribe los hallazgos de sus informes de vulnerabilidades, que están en vista previa, a Security Command Center. Los informes identifican vulnerabilidades en sistemas operativos instalados en las VMs, como Vulnerabilidades y exposiciones comunes (CVE).

Para usar VM Manager con activaciones a nivel de proyecto de Security Command Center Premium, activa Security Command Center Standard organización principal.

Los informes de vulnerabilidad no están disponibles para la versión estándar de Security Command Center.

Los resultados simplifican el proceso de usar la función de cumplimiento de parches de VM Manager, que está en vista previa. La función te permite realizar administración de parches a nivel de la organización en todos tus proyectos.

La gravedad de los hallazgos de vulnerabilidades que se reciben desde VM Manager siempre es CRITICAL o HIGH.

Resultados de VM Manager

Las vulnerabilidades de este tipo se relacionan con paquetes instalados de sistema operativo en las VM de Compute Engine compatibles.

Detector Resumen Configuración de análisis de elementos

OS vulnerability

Nombre de categoría en la API: OS_VULNERABILITY

Descripción del hallazgo: VM Manager detectó una vulnerabilidad en el un paquete de sistema operativo (SO) instalado para una VM de Compute Engine.

Nivel de precios: Premium

Recursos admitidos

compute.googleapis.com/Instance

Corrige este hallazgo

VM Manager informes de vulnerabilidad detallan vulnerabilidades en paquetes de sistemas operativos instalados para Compute Engine VMs, incluidas Vulnerabilidades y exposiciones comunes (CVE).

Para obtener una lista completa de los sistemas operativos compatibles, consulta Detalles del sistema operativo.

Los hallazgos aparecen en Security Command Center poco después de que se detectan vulnerabilidades. Los informes de vulnerabilidad en VM Manager se generan de la siguiente manera:

  • Cuando se instala o actualiza un paquete en el sistema operativo de una VM, verás Vulnerabilidades y exposiciones comunes (CVE) información para la VM en Security Command Center dentro de las dos horas posteriores al cambio.
  • Cuando se publican nuevos avisos de seguridad para un sistema operativo, se actualizan las CVE normalmente disponible en un plazo de 24 horas a partir de la publicación del proveedor del sistema operativo de seguridad.

Solución de los resultados de VM Manager

Un hallazgo de OS_VULNERABILITY indica que VM Manager encontró una vulnerabilidad en los paquetes del sistema operativo instalados en una VM de Compute Engine.

Para solucionar el problema, haz lo siguiente:

  1. Ve a la página Configuración en Security Command Center.

    Ir a hallazgos

  2. Si es necesario, selecciona tu organización o proyecto de Google Cloud.

  3. En la subsección Categoría de Filtros rápidos, selecciona Vulnerabilidad del SO. Los resultados de la búsqueda se filtran para mostrar solo los hallazgos de vulnerabilidades del SO.

  4. En la columna Categoría de la lista Resultados de la búsqueda, haz clic en nombre de categoría del hallazgo que estás solucionando. La página de detalles del Se abrirá la vulnerabilidad del SO.

  5. Haz clic en la pestaña JSON. Se muestra el JSON de este hallazgo.

  6. Copia el valor del campo externalUri. Este valor es el URI del página Información del SO de la instancia de VM de Compute Engine en la que un sistema operativo vulnerable.

  7. Aplica todos los parches adecuados para el SO que se muestra en la sección Información básica. sección. Para obtener instrucciones sobre la implementación de parches, consulta Crea trabajos de aplicación de parches.

Más información sobre los los recursos admitidos y la configuración del análisis.

Revisa los resultados en la consola de Google Cloud

Usa el siguiente procedimiento para revisar los resultados en la consola de Google Cloud:

  1. Ve a la pestaña Resultados de Security Command Center en la consola de Google Cloud.

    Ir a hallazgos

  2. Si es necesario, selecciona tu organización o proyecto de Google Cloud.

  3. En la sección Filtros rápidos, en la subsección Nombre visible de origen, selecciona VM Manager.

    La tabla se propaga con los resultados de VM Manager.

  4. Para ver los detalles de un resultado específico, haz clic en el nombre del resultado en Category. Se abre el panel de detalles para el hallazgo y se muestra La pestaña Resumen

  5. En la pestaña Resumen, revisa la información sobre el hallazgo, incluidos los siguientes: información sobre lo que se detectó, el recurso afectado y más.

Para obtener información sobre cómo corregir los resultados de VM Manager, consulta Soluciona los resultados de VM Manager.

Silenciar los resultados de VM Manager

Es posible que quieras ocultar algunos o todos los resultados de VM Manager en Security Command Center si no son relevantes para tus requisitos de seguridad.

Puedes ocultar los resultados de VM Manager de las siguientes maneras: crear una regla de silenciamiento y agregar atributos de consulta específicos de los hallazgos de VM Manager que quieres ocultar.

Para crear una regla de silencio para VM Manager con el La consola de Google Cloud, haz lo siguiente:

  1. En la consola de Google Cloud, ve a la página Hallazgos de Security Command Center.

    Ir a hallazgos

  2. Si es necesario, selecciona tu organización o proyecto de Google Cloud.

  3. Haz clic en Opciones de silencio y, luego, selecciona Crear regla de silencio.

  4. Ingresa un ID de regla de silenciamiento. Es obligatorio ingresar este valor.

  5. Ingresa una descripción de la regla de silencio que proporcione contexto sobre por qué se muestran los resultados. silenciado. Este valor es opcional, pero se recomienda.

  6. Para confirmar el alcance de la regla de silencio, consulta el Recurso superior. valor.

  7. En el campo Consulta de resultados, crea tus instrucciones de consulta. Para ello, haz clic en Agrega un filtro. También puedes escribir las instrucciones de la consulta manualmente.

    1. En el diálogo Seleccionar filtro, elige Hallazgo > Nombre visible de la fuente > VM Manager

    2. Haz clic en Aplicar.

    3. Repite estos pasos hasta que la consulta silenciada contenga todos los atributos que deseas ocultar.

    Por ejemplo, si quieres ocultar IDs de CVE específicos en el Hallazgos de vulnerabilidades de VM Manager, selecciona Vulnerabilidad > ID de CVE y, luego, selecciona los IDs de CVE que deseas ocultar.

    La consulta de hallazgo es similar a la siguiente:

    Silenciar los resultados de VM Manager

  8. Haz clic en Obtener vista previa de los resultados coincidentes.

    En una tabla, se muestran los resultados que coinciden con tu consulta.

  9. Haz clic en Guardar.

Protección de datos sensibles

En esta sección, se describen los hallazgos de vulnerabilidades Sensitive Data Protection genera, los estándares de cumplimiento que admite y cómo corregir los hallazgos.

Sensitive Data Protection también envía hallazgos observacionales a Security Command Center. Para obtener más información sobre los hallazgos de la observación y Sensitive Data Protection, consulta Protección de datos sensibles.

Para obtener información sobre cómo ver los resultados, consulta Revisa los hallazgos de Sensitive Data Protection en la consola de Google Cloud.

El servicio de descubrimiento de Sensitive Data Protection te ayuda a determinar si: para almacenar datos muy sensibles que no están protegidos.

Categoría Resumen

Public sensitive data

Nombre de la categoría en la API:

PUBLIC_SENSITIVE_DATA

Descripción del resultado: el recurso especificado tiene datos de alta sensibilidad al que todos pueden acceder desde Internet.

Recursos admitidos:

  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket de Amazon S3

Solución:

Para los datos de Google Cloud, quita allUsers y allAuthenticatedUsers de la política de IAM del recurso de datos.

Para los datos de Amazon S3, establecer la configuración del bloqueo de acceso público o actualizar la LCA del objeto para denegar el acceso de lectura pública.

Estándares de cumplimiento: Sin asignación

Secrets in environment variables

Nombre de la categoría en la API:

SECRETS_IN_ENVIRONMENT_VARIABLES

Descripción del hallazgo: Hay Secret, como como contraseñas, tokens de autenticación y credenciales de Google Cloud, en Variables de entorno de las funciones de Cloud Run.

Para habilitar este detector, consulta Informa los secretos en las variables de entorno a Security Command Center en la documentación de Protección de datos sensibles.

Recursos admitidos: cloudfunctions.googleapis.com/CloudFunction

Solución: Quita el secreto de la variable de entorno y guárdalo en Secret Manager en su lugar.

Estándares de cumplimiento:

  • CIS para GCP Foundation 1.3: 1.18
  • CIS para GCP Foundation 2.0: 1.18

Secrets in storage

Nombre de la categoría en la API:

SECRETS_IN_STORAGE

Descripción del hallazgo: Hay Secret, como contraseñas, tokens de autenticación y credenciales de nube, en el recurso.

Recursos admitidos:

  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket de Amazon S3

Solución:

  1. En el caso de los datos de Google Cloud, usa Sensitive Data Protection para ejecutar un análisis de inspección profunda del recurso especificado para identificar todos los recursos afectados. Para los datos de Cloud SQL, expórtalos a un archivo CSV. o AVRO en un bucket de Cloud Storage y ejecutar un análisis de inspección bucket.

    Para los datos de Amazon S3, inspecciona de forma manual el bucket especificado.

  2. Quita los secretos detectados.
  3. Considera restablecer las credenciales.
  4. Para los datos de Google Cloud, considera almacenar los secretos detectados en Secret Manager en su lugar.

Estándares de cumplimiento: Sin asignación

Policy Controller

Controlador de políticas permite la aplicación de políticas programables para tu Clústeres de Kubernetes registrados como membresías de flota. Estas políticas actúan como resguardos y pueden ayudar con las prácticas recomendadas, la seguridad y el cumplimiento de los clústeres y la flota.

En esta página, no se enumeran todos los resultados individuales de Policy Controller, pero información sobre los resultados de la clase Misconfiguration que el controlador de políticas las escrituras en Security Command Center son las mismas que las infracciones del clúster documentadas para cada paquete de Policy Controller. Documentación para el individuo Los tipos de resultados de Policy Controller se encuentran en los siguientes paquetes de Policy Controller:

Esta función no es compatible con los perímetros de servicio de los Controles del servicio de VPC en torno a la API de Stackdriver.

Encuentra y soluciona los hallazgos de Policy Controller

Las categorías de Policy Controller corresponden a los nombres de las restricciones que se enumeran en en la documentación de paquetes de Policy Controller. Por ejemplo, un require-namespace-network-policies hallazgo indica que un espacio de nombres infringe la política de que cada espacio de nombres en un tiene un NetworkPolicy.

Para corregir un hallazgo, haz lo siguiente:

  1. Ve a la página Configuración en Security Command Center.

    Ir a hallazgos

  2. Si es necesario, selecciona tu organización o proyecto de Google Cloud.

  3. En la subsección Categoría de Filtros rápidos, selecciona el nombre de la Se encontró el controlador de políticas que deseas corregir. Los resultados de la consulta de resultados se filtran para mostrar solo los resultados de esa categoría.

  4. En la columna Categoría de la lista Resultados de la búsqueda, haz clic en nombre de categoría del hallazgo que estás solucionando. La página de detalles del se abre.

  5. En la pestaña Resumen, revisa la información sobre el hallazgo, incluidos los siguientes: información sobre lo que se detectó, el recurso afectado y más.

  6. En el encabezado Próximos pasos, revisa la información sobre cómo solucionar el hallazgo, incluidos los vínculos a la documentación de Kubernetes sobre el problema.

¿Qué sigue?