Detektor Security Health Analytics dan Web Security Scanner menghasilkan temuan kerentanan yang tersedia di Security Command Center. Jika diaktifkan di Security Command Center, layanan terintegrasi, seperti VM Manager, juga menghasilkan temuan kerentanan.
Kemampuan Anda untuk melihat dan mengedit temuan ditentukan oleh peran dan izin Identity and Access Management (IAM) yang ditetapkan kepada Anda. Untuk mengetahui informasi selengkapnya tentang peran IAM di Security Command Center, lihat Kontrol akses.
Detektor dan kepatuhan
Security Command Center memantau kepatuhan Anda dengan detektor yang dipetakan ke kontrol berbagai standar keamanan.
Untuk setiap standar keamanan yang didukung, Security Command Center memeriksa subset kontrol. Untuk kontrol yang dicentang, Security Command Center akan menunjukkan jumlah kontrol yang lulus. Untuk kontrol yang tidak lulus, Security Command Center akan menampilkan daftar temuan yang menjelaskan kegagalan kontrol.
CIS meninjau dan mensertifikasi pemetaan detektor Security Command Center ke setiap versi Tolok Ukur Dasar-Dasar CIS yang didukung. Google Cloud Pemetaan kepatuhan tambahan disertakan hanya untuk tujuan referensi.
Security Command Center menambahkan dukungan untuk versi dan standar tolok ukur baru secara berkala. Versi lama tetap didukung, tetapi pada akhirnya tidak akan digunakan lagi. Sebaiknya gunakan tolok ukur atau standar terbaru yang didukung.
Dengan layanan postur keamanan, Anda dapat memetakan kebijakan organisasi dan detektor Security Health Analytics ke standar dan kontrol yang berlaku untuk bisnis Anda. Setelah membuat postur keamanan, Anda dapat memantau setiap perubahan pada lingkungan yang dapat memengaruhi kepatuhan bisnis Anda.
Untuk mengetahui informasi selengkapnya tentang cara mengelola kepatuhan, lihat Menilai dan melaporkan kepatuhan terhadap standar keamanan.
Standar keamanan yang didukung
Google Cloud
Security Command Center memetakan detektor untuk Google Cloud ke satu atau beberapa standar kepatuhan berikut:
- CIS Controls 8.0
- CIS Google Cloud Computing Foundations Benchmark v2.0.0, v1.3.0, v1.2.0, v1.1.0, dan v1.0.0
- CIS Kubernetes Benchmark v1.5.1
- Cloud Controls Matrix (CCM) 4
- Health Insurance Portability and Accountability Act (HIPAA)
- International Organization for Standardization (ISO) 27001, 2022 dan 2013
- National Institute of Standards and Technology (NIST) 800-53 R5 dan R4
- National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF) 1.0
- Open Web Application Security Project (OWASP) Top Ten, 2021 dan 2017
- Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS) 4.0 dan 3.2.1
- System and Organization Controls (SOC) 2 2017 Trust Services Criteria (TSC)
AWS
Security Command Center memetakan detektor untuk Amazon Web Services (AWS) ke satu atau beberapa standar kepatuhan berikut:
- CIS Amazon Web Services Foundations 2.0.0
- CIS Critical Security Controls Versi 8.0
- Cloud Controls Matrix (CCM) 4
- Health Insurance Portability and Accountability Act (HIPAA)
- International Organization for Standardization (ISO) 27001, 2022
- National Institute of Standards and Technology (NIST) 800-53 R5
- National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF) 1.0
- Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS) 4.0 dan 3.2.1
- System and Organization Controls (SOC) 2 2017 Trusted Services Criteria (TSC)
Untuk mengetahui petunjuk tentang cara melihat dan mengekspor laporan kepatuhan, lihat Menilai dan melaporkan kepatuhan terhadap standar keamanan.
Menemukan penonaktifan setelah perbaikan
Setelah Anda memperbaiki temuan kerentanan atau kesalahan konfigurasi, layanan Security Command Center yang mendeteksi temuan tersebut akan otomatis menyetel status temuan menjadi INACTIVE pada saat layanan deteksi memindai temuan tersebut berikutnya. Durasi yang diperlukan Security Command Center untuk menyetel temuan yang telah diperbaiki ke
INACTIVE bergantung pada jadwal pemindaian yang mendeteksi temuan tersebut.
Layanan Security Command Center juga menetapkan status temuan kerentanan atau kesalahan konfigurasi menjadi INACTIVE saat pemindaian mendeteksi bahwa resource yang terpengaruh oleh temuan tersebut dihapus.
Untuk mengetahui informasi selengkapnya tentang interval pemindaian, lihat topik berikut:
Temuan Security Health Analytics
Detektor Security Health Analytics memantau subset resource dari Inventaris Aset Cloud (CAI), menerima notifikasi tentang perubahan kebijakan IAM dan resource. Beberapa detektor mengambil data dengan memanggil langsung API Google Cloud , seperti yang ditunjukkan dalam tabel di halaman ini.
Untuk mengetahui informasi selengkapnya tentang Security Health Analytics, jadwal pemindaian, dan dukungan Security Health Analytics untuk detektor modul bawaan dan kustom, lihat Ringkasan Security Health Analytics.
Tabel berikut menjelaskan detektor Security Health Analytics, aset dan standar kepatuhan yang didukungnya, setelan yang digunakan untuk pemindaian, dan jenis temuan yang dihasilkan. Anda dapat memfilter temuan menurut berbagai atribut di halaman berikut di konsol Google Cloud :
- Di paket Standar dan Premium, halaman Kerentanan.
- Di tingkat Enterprise, halaman Risk > Overview. Pilih tampilan Kerentanan CVE.
Untuk mengetahui petunjuk tentang cara memperbaiki temuan dan melindungi resource Anda, lihat Memperbaiki temuan Security Health Analytics.
Temuan kerentanan kunci API
Detektor API_KEY_SCANNER mengidentifikasi kerentanan yang terkait dengan
kunci API yang digunakan dalam deployment cloud Anda.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Ada kunci API yang digunakan terlalu luas. Untuk mengatasi hal ini, batasi penggunaan kunci API agar hanya API yang diperlukan oleh aplikasi yang diizinkan. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Mengambil properti
|
|
Deskripsi temuan: Ada kunci API yang digunakan tanpa batasan, sehingga memungkinkan penggunaan oleh aplikasi yang tidak tepercaya. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Mengambil properti
|
|
Deskripsi temuan: Project menggunakan kunci API, bukan autentikasi standar. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Mengambil semua kunci API yang dimiliki oleh project.
|
|
Deskripsi temuan: Kunci API belum dirotasi selama lebih dari 90 hari. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Mengambil stempel waktu yang ada dalam
properti
|
Temuan kerentanan Inventaris Aset Cloud
Semua kerentanan jenis detektor ini terkait dengan konfigurasi Cloud Asset Inventory dan termasuk dalam jenis CLOUD_ASSET_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Pengambilan Google Cloud resource dan kebijakan IAM oleh Inventaris Aset Cloud memungkinkan analisis keamanan, pelacakan perubahan resource, dan audit kepatuhan. Sebaiknya layanan Inventaris Aset Cloud diaktifkan untuk semua project. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah layanan Inventaris Aset Cloud diaktifkan.
|
Temuan kerentanan penyimpanan
Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi Bucket Cloud Storage, dan termasuk dalam jenisSTORAGE_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Bucket tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk petunjuk, lihat Mengaktifkan dan menonaktifkan detektor. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa kolom
|
|
Deskripsi temuan: Akses level bucket yang seragam, yang sebelumnya disebut Khusus Kebijakan Bucket, tidak dikonfigurasi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah
properti
|
|
Deskripsi temuan: Bucket Cloud Storage dapat diakses secara publik. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izin IAM bucket untuk
peran publik,
|
|
Deskripsi temuan: Bucket penyimpanan yang digunakan sebagai sink log dapat diakses secara publik. Temuan ini tidak tersedia untuk aktivasi level project. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izinkan IAM bucket untuk
akun utama
|
Temuan kerentanan gambar Compute
Detektor COMPUTE_IMAGE_SCANNER mengidentifikasi kerentanan terkait konfigurasi imageGoogle Cloud .
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Image Compute Engine dapat diakses secara publik. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa kebijakan izin IAM di metadata resource untuk akun utama
|
Temuan kerentanan instance Compute
Detektor COMPUTE_INSTANCE_SCANNER mengidentifikasi kerentanan yang terkait dengan konfigurasi instance Compute Engine.
Detektor COMPUTE_INSTANCE_SCANNER tidak melaporkan temuan pada instance Compute Engine yang dibuat oleh GKE. Instance tersebut memiliki nama yang
diawali dengan "gke-", yang tidak dapat diedit oleh pengguna. Untuk mengamankan instance ini, lihat
bagian Temuan kerentanan container.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Confidential Computing dinonaktifkan di instance Compute Engine. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa
properti
|
|
Deskripsi temuan: Kunci SSH di seluruh project digunakan, sehingga memungkinkan login ke semua instance dalam project. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa objek
|
|
Deskripsi temuan: Shielded VM ini tidak mengaktifkan Booting Aman. Penggunaan Booting Aman membantu melindungi instance mesin virtual dari ancaman tingkat lanjut seperti rootkit dan bootkit. Tingkat harga: Premium Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa properti
|
|
Deskripsi temuan: Port serial diaktifkan untuk instance, sehingga memungkinkan koneksi ke konsol serial instance. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa objek
|
|
Deskripsi temuan: Instance dikonfigurasi untuk menggunakan akun layanan default. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Disk di VM ini tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa kolom
|
|
Deskripsi temuan: Disk di VM ini tidak dienkripsi dengan Kunci Enkripsi yang Disediakan Pelanggan (CSEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Detektor kasus khusus. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kolom
|
|
Deskripsi temuan: Instance dikonfigurasi untuk menggunakan akun layanan default dengan akses penuh ke semua Google Cloud API. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Mengambil kolom
|
|
Deskripsi temuan: Instance menggunakan load balancer yang dikonfigurasi untuk menggunakan proxy HTTP target, bukan proxy HTTPS target. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Menentukan apakah properti
|
|
Deskripsi temuan: Login OS dinonaktifkan di instance ini. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung
Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Penerusan IP diaktifkan pada instance. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Login OS dinonaktifkan di project ini. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa objek
|
|
Deskripsi temuan: Instance memiliki alamat IP publik. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Shielded VM dinonaktifkan pada instance ini. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Instance memiliki kebijakan SSL yang lemah. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah
|
Temuan kerentanan container
Semua jenis temuan ini terkait dengan konfigurasi penampung GKE,
dan termasuk dalam jenis detektor CONTAINER_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Fitur cluster alfa diaktifkan untuk cluster GKE. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Fitur perbaikan otomatis cluster GKE, yang menjaga node dalam keadaan berjalan dengan baik, dinonaktifkan. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Fitur upgrade otomatis cluster GKE, yang mempertahankan cluster dan node pool pada versi Kubernetes stabil terbaru, dinonaktifkan. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Otorisasi Biner dinonaktifkan di cluster GKE atau kebijakan Otorisasi Biner dikonfigurasi untuk mengizinkan semua image di-deploy. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa hal berikut:
|
|
Deskripsi temuan: Logging tidak diaktifkan untuk cluster GKE. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Pemantauan dinonaktifkan di cluster GKE. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Host cluster tidak dikonfigurasi untuk menggunakan hanya alamat IP internal dan pribadi untuk mengakses Google API. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Enkripsi secret lapisan aplikasi dinonaktifkan di cluster GKE. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Node GKE yang Terlindungi tidak diaktifkan untuk cluster. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: VM Compute Engine tidak menggunakan Container-Optimized OS yang dirancang untuk menjalankan container Docker secara aman di Google Cloud . Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Pemantauan integritas dinonaktifkan untuk cluster GKE. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Visibilitas intranode dinonaktifkan untuk cluster GKE. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Cluster GKE dibuat dengan rentang IP alias dinonaktifkan. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
|
Deskripsi temuan: Otorisasi Lama diaktifkan di cluster GKE. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Metadata lama diaktifkan di cluster GKE. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Jaringan yang Diizinkan Bidang Kontrol tidak diaktifkan di cluster GKE. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Kebijakan jaringan dinonaktifkan di cluster GKE. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kolom
|
|
Deskripsi temuan: Boot disk di node pool ini tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa properti
|
|
Deskripsi temuan: Booting Aman dinonaktifkan untuk cluster GKE. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Akun layanan memiliki akses project yang terlalu luas dalam cluster. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Mengevaluasi properti
|
|
Deskripsi temuan: Akun layanan node memiliki cakupan akses yang luas. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah cakupan akses yang tercantum dalam
properti config.oauthScopes dari node pool adalah
cakupan akses akun layanan terbatas:
https://www.googleapis.com/auth/devstorage.read_only,
https://www.googleapis.com/auth/logging.write,
atau
https://www.googleapis.com/auth/monitoring.
|
|
Deskripsi temuan: PodSecurityPolicy dinonaktifkan di cluster GKE. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Cluster GKE memiliki Cluster pribadi yang dinonaktifkan. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
|
Deskripsi temuan: Cluster GKE tidak berlangganan ke saluran rilis. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: UI web (dasbor) GKE diaktifkan. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa kolom
|
|
Deskripsi temuan: Workload Identity dinonaktifkan di cluster GKE. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
Temuan kerentanan Dataproc
Semua kerentanan jenis pendeteksi ini terkait dengan Dataproc dan termasuk dalam jenis pendeteksi DATAPROC_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Cluster Dataproc dibuat tanpa konfigurasi enkripsi CMEK. Dengan CMEK, kunci yang Anda buat dan kelola di Cloud Key Management Service akan menggabungkan kunci yang digunakan Google Cloud untuk mengenkripsi data Anda, sehingga Anda memiliki lebih banyak kontrol terhadap akses ke data Anda. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
|
Deskripsi temuan: Cluster Dataproc dibuat dengan versi image Dataproc yang terpengaruh oleh kerentanan keamanan di utilitas Apache Log4j 2 (CVE-2021-44228 dan CVE-2021-45046). Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa apakah kolom
|
Temuan kerentanan set data
Semua kerentanan jenis detektor ini terkait dengan konfigurasi Set Data BigQuery, dan termasuk dalam jenis detektor DATASET_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Tabel BigQuery tidak dikonfigurasi untuk menggunakan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
|
Deskripsi temuan: Set data BigQuery tidak dikonfigurasi untuk menggunakan CMEK default. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
|
Deskripsi temuan: Set data dikonfigurasi agar terbuka untuk akses publik. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izin IAM di metadata resource untuk akun utama
|
Temuan kerentanan DNS
Kerentanan jenis pendeteksi ini semuanya terkait dengan konfigurasi Cloud DNS,
dan termasuk dalam jenis pendeteksi DNS_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: DNSSEC dinonaktifkan untuk zona Cloud DNS. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
|
Deskripsi temuan: RSASHA1 digunakan untuk penandatanganan kunci di zona Cloud DNS. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah objek
|
Temuan kerentanan firewall
Semua kerentanan jenis pendeteksi ini terkait dengan konfigurasi firewall, dan
termasuk dalam jenis pendeteksi FIREWALL_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Aturan penolakan keluar tidak ditetapkan pada firewall. Aturan penolakan keluar harus ditetapkan untuk memblokir traffic keluar yang tidak diinginkan. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Logging aturan firewall dinonaktifkan. Logging aturan firewall harus diaktifkan agar Anda dapat mengaudit akses jaringan. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port Cassandra terbuka yang memungkinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port CISCOSECURE_WEBSM terbuka yang mengizinkan akses umum. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port DIRECTORY_SERVICES terbuka yang memungkinkan akses umum. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port DNS terbuka yang mengizinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port ELASTICSEARCH terbuka yang memungkinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar terbuka untuk akses publik. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port FTP terbuka yang mengizinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi untuk memiliki port HTTP terbuka yang mengizinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port LDAP terbuka yang mengizinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port MEMCACHED terbuka yang memungkinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port MONGODB terbuka yang mengizinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port MYSQL terbuka yang mengizinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port NETBIOS terbuka yang memungkinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port ORACLEDB terbuka yang memungkinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port POP3 terbuka yang mengizinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port PostgreSQL terbuka yang memungkinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port RDP terbuka yang mengizinkan akses umum. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port REDIS terbuka yang mengizinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port SMTP terbuka yang mengizinkan akses umum. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port SSH terbuka yang mengizinkan akses umum. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Firewall dikonfigurasi agar memiliki port TELNET terbuka yang mengizinkan akses umum. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
Temuan kerentanan IAM
Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi Identity and Access Management (IAM), dan termasuk dalam jenis detektor IAM_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Google Cloud Transparansi Akses dinonaktifkan untuk organisasi Anda. Transparansi Akses mencatat log saat karyawan mengakses project di organisasi Anda untuk memberikan dukungan. Google Cloud Aktifkan Transparansi Akses untuk mencatat siapa dari Google Cloud yang mengakses informasi Anda, kapan, dan mengapa. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah organisasi Anda telah mengaktifkan Transparansi Akses.
|
|
Deskripsi temuan: Akun layanan memiliki hak istimewa Admin, Pemilik, atau Editor. Peran ini tidak boleh ditetapkan ke akun layanan yang dibuat pengguna. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izinkan IAM dalam metadata
resource untuk akun layanan yang dibuat pengguna (ditunjukkan
oleh awalan iam.gserviceaccount.com),
yang diberi
|
|
Deskripsi temuan: Organisasi Anda belum menunjuk orang atau grup untuk menerima notifikasi dari Google Cloud tentang peristiwa penting seperti serangan, kerentanan, dan insiden data dalam organisasi Google Cloud Anda. Sebaiknya Anda menetapkan satu atau beberapa orang atau grup di organisasi bisnis Anda sebagai Kontak Penting. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kontak ditentukan untuk kategori kontak penting berikut:
|
|
Deskripsi temuan: Separasi tugas tidak diterapkan, dan ada pengguna yang memiliki salah satu peran Cloud Key Management Service (Cloud KMS) berikut secara bersamaan: CryptoKey Encrypter/Decrypter, Encrypter, atau Decrypter. Temuan ini tidak tersedia untuk aktivasi level project. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izin IAM dalam metadata resource
dan mengambil akun utama yang diberi salah satu
peran berikut secara bersamaan:
roles/cloudkms.cryptoKeyEncrypterDecrypter,
roles/cloudkms.cryptoKeyEncrypter, dan
roles/cloudkms.cryptoKeyDecrypter,
roles/cloudkms.signer,
roles/cloudkms.signerVerifier,
roles/cloudkms.publicKeyViewer.
|
|
Deskripsi temuan: Ada pengguna yang tidak menggunakan kredensial organisasi. Berdasarkan CIS GCP Foundations 1.0, saat ini, hanya identitas dengan alamat email @gmail.com yang memicu detektor ini. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Membandingkan alamat email @gmail.com di kolom
|
|
Deskripsi temuan: Akun Google Grup yang dapat diikuti tanpa persetujuan digunakan sebagai akun utama kebijakan izin IAM. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa kebijakan IAM dalam metadata resource untuk mengetahui binding yang berisi anggota (akun utama) yang diawali dengan group. grup adalah grup terbuka, Security Health Analytics akan menghasilkan temuan ini.
|
|
Deskripsi temuan: Pengguna memiliki peran Pengguna Akun Layanan atau Pembuat Token Akun Layanan di level project, bukan untuk akun layanan tertentu. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izin IAM dalam metadata resource untuk semua akun utama yang diberi roles/iam.serviceAccountUser atau roles/iam.serviceAccountTokenCreator di level project.
|
|
Deskripsi temuan: Pengguna memiliki salah satu peran dasar berikut:
Peran ini terlalu permisif dan tidak boleh digunakan. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izin IAM di metadata
resource untuk setiap akun utama yang diberi peran
|
|
Deskripsi temuan: Peran IAM Redis ditetapkan di tingkat organisasi atau folder. Temuan ini tidak tersedia untuk aktivasi level project. Tingkat harga: Premium
Aset yang didukung
Standar kepatuhan:
|
Memeriksa kebijakan izinkan IAM dalam metadata resource untuk prinsipal yang ditetapkan
|
|
Deskripsi temuan: Pengguna telah diberi peran Service Account Admin dan Service Account User. Hal ini melanggar prinsip "Pemisahan Tugas". Temuan ini tidak tersedia untuk aktivasi level project. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izin IAM di metadata
resource untuk semua akun utama yang ditetapkan
roles/iam.serviceAccountUser dan
roles/iam.serviceAccountAdmin.
|
|
Deskripsi temuan: Kunci akun layanan belum dirotasi selama lebih dari 90 hari. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Mengevaluasi stempel waktu pembuatan kunci yang dicatat dalam
properti
|
|
Deskripsi temuan: Pengguna mengelola kunci akun layanan. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
Temuan kerentanan KMS
Kerentanan jenis pendeteksi ini semuanya terkait dengan konfigurasi Cloud KMS, dan termasuk dalam jenis pendeteksi KMS_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Rotasi tidak dikonfigurasi pada kunci enkripsi Cloud KMS. Kunci harus dirotasi dalam jangka waktu 90 hari. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa metadata resource untuk mengetahui keberadaan properti
|
|
Deskripsi temuan: Pengguna memiliki izin Pemilik di project yang memiliki kunci kriptografis. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izin IAM dalam metadata project untuk akun utama yang diberi
|
|
Deskripsi temuan: Kunci kriptografis Cloud KMS dapat diakses secara publik. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izin IAM di metadata resource untuk akun utama
|
|
Deskripsi temuan: Ada lebih dari tiga pengguna kunci kriptografi. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izin IAM untuk keyring, project, dan organisasi, serta mengambil prinsipal dengan peran yang memungkinkan mereka mengenkripsi, mendekripsi, atau menandatangani data menggunakan kunci Cloud KMS: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, dan roles/cloudkms.signerVerifier.
|
Mencatat temuan kerentanan
Semua kerentanan jenis pendeteksi ini terkait dengan konfigurasi logging, dan
termasuk dalam jenis pendeteksi LOGGING_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Pencatatan audit telah dinonaktifkan untuk resource ini. Temuan ini tidak tersedia untuk aktivasi level project. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kebijakan izin IAM di metadata resource untuk mengetahui keberadaan objek
|
|
Deskripsi temuan: Ada bucket penyimpanan yang tidak mengaktifkan logging. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
|
Deskripsi temuan: Kebijakan retensi yang terkunci tidak ditetapkan untuk log. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
|
Deskripsi temuan: Ada resource yang tidak memiliki konfigurasi tujuan log yang sesuai. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung
Standar kepatuhan:
|
Mengambil objek
|
|
Deskripsi temuan: Pembuatan versi objek tidak diaktifkan pada bucket penyimpanan tempat sink dikonfigurasi. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
Memantau temuan kerentanan
Semua kerentanan jenis detektor ini terkait dengan konfigurasi pemantauan,
dan termasuk dalam jenis MONITORING_SCANNER. Semua properti temuan pendeteksi Pemantauan mencakup:
-
RecommendedLogFilteryang akan digunakan dalam membuat metrik log. -
QualifiedLogMetricNamesyang mencakup kondisi yang tercantum dalam filter log yang direkomendasikan. -
AlertPolicyFailureReasonsyang menunjukkan apakah project tidak memiliki kebijakan pemberitahuan yang dibuat untuk metrik log yang memenuhi syarat atau kebijakan pemberitahuan yang ada tidak memiliki setelan yang direkomendasikan.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Metrik dan pemberitahuan log tidak dikonfigurasi untuk memantau perubahan Konfigurasi Audit. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti filter dari
resource LogsMetric project ditetapkan ke
protoPayload.methodName="SetIamPolicy" AND
protoPayload.serviceData.policyDelta.auditConfigDeltas:*,
dan jika resource.type ditentukan, apakah nilainya adalah global.
Detektor juga menelusuri resource
alertPolicy yang sesuai, memeriksa apakah properti
conditions dan
notificationChannels dikonfigurasi dengan benar.
|
|
Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan izin IAM Cloud Storage. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti filter dari
resource LogsMetric project ditetapkan ke
resource.type=gcs_bucket AND
protoPayload.methodName="storage.setIamPermissions".
Detektor juga menelusuri resource
alertPolicy yang sesuai, memeriksa apakah properti
conditions dan
notificationChannels dikonfigurasi dengan benar.
|
|
Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan Peran Khusus. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti filter dari
resource LogsMetric project ditetapkan ke
resource.type="iam_role" AND
(protoPayload.methodName="google.iam.admin.v1.CreateRole"
OR
protoPayload.methodName="google.iam.admin.v1.DeleteRole"
OR
protoPayload.methodName="google.iam.admin.v1.UpdateRole").
Detektor juga menelusuri resource
alertPolicy yang sesuai, memeriksa apakah properti
conditions dan
notificationChannels dikonfigurasi dengan benar.
|
|
Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan aturan Firewall Jaringan Virtual Private Cloud (VPC). Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti filter dari
resource LogsMetric project ditetapkan ke
resource.type="gce_firewall_rule"
AND (protoPayload.methodName:"compute.firewalls.insert"
OR protoPayload.methodName:"compute.firewalls.patch"
OR protoPayload.methodName:"compute.firewalls.delete").
Detektor juga menelusuri resource
alertPolicy yang sesuai, memeriksa apakah properti
conditions dan
notificationChannels dikonfigurasi dengan benar.
|
|
Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan jaringan VPC. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti filter dari
resource LogsMetric project ditetapkan ke
resource.type="gce_network"
AND (protoPayload.methodName:"compute.networks.insert"
OR protoPayload.methodName:"compute.networks.patch"
OR protoPayload.methodName:"compute.networks.delete"
OR protoPayload.methodName:"compute.networks.removePeering"
OR protoPayload.methodName:"compute.networks.addPeering").
Detektor juga menelusuri resource
alertPolicy yang sesuai, memeriksa apakah properti
conditions dan
notificationChannels dikonfigurasi dengan benar.
|
|
Deskripsi temuan: Metrik dan pemberitahuan log tidak dikonfigurasi untuk memantau penetapan atau perubahan Kepemilikan Project. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti filter dari
resource LogsMetric project ditetapkan ke
(protoPayload.serviceName="cloudresourcemanager.googleapis.com")
AND (ProjectOwnership OR projectOwnerInvitee) OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner")
OR
(protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD"
AND
protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner"),
dan jika resource.type ditentukan, apakah nilainya adalah global.
Detektor juga menelusuri resource
alertPolicy yang sesuai, memeriksa apakah properti
conditions dan
notificationChannels dikonfigurasi dengan benar.
|
|
Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan rute jaringan VPC. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti filter dari
resource LogsMetric project ditetapkan ke
resource.type="gce_route"
AND (protoPayload.methodName:"compute.routes.delete"
OR protoPayload.methodName:"compute.routes.insert").
Detektor juga menelusuri resource
alertPolicy yang sesuai, memeriksa apakah properti
conditions dan
notificationChannels dikonfigurasi dengan benar.
|
|
Deskripsi temuan: Metrik log dan pemberitahuan tidak dikonfigurasi untuk memantau perubahan konfigurasi instance Cloud SQL. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti filter dari
resource LogsMetric project ditetapkan ke
protoPayload.methodName="cloudsql.instances.update"
OR protoPayload.methodName="cloudsql.instances.create"
OR protoPayload.methodName="cloudsql.instances.delete",
dan jika resource.type ditentukan, apakah nilainya adalah global.
Detektor juga menelusuri resource
alertPolicy yang sesuai, memeriksa apakah properti
conditions dan
notificationChannels dikonfigurasi dengan benar.
|
Temuan autentikasi multi-faktor
Detektor MFA_SCANNER mengidentifikasi kerentanan terkait autentikasi multi-faktor untuk pengguna.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Ada pengguna yang tidak menggunakan Verifikasi 2 Langkah. Google Workspace memungkinkan Anda menentukan masa tenggang pendaftaran untuk pengguna baru selama mereka harus mendaftar ke Verifikasi 2 Langkah. Detektor ini membuat temuan untuk pengguna selama periode masa tenggang pendaftaran. Temuan ini tidak tersedia untuk aktivasi level project. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Mengevaluasi kebijakan pengelolaan identitas di organisasi dan setelan pengguna untuk akun terkelola di Cloud Identity.
|
Temuan kerentanan jaringan
Semua kerentanan jenis detektor ini terkait dengan konfigurasi jaringan organisasi, dan termasuk dalam jenisNETWORK_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Jaringan default ada dalam project. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Logging DNS di jaringan VPC tidak diaktifkan. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa semua
|
|
Deskripsi temuan: Jaringan lama ada dalam project. Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa metadata jaringan untuk mengetahui keberadaan properti
|
|
Deskripsi temuan: Logging dinonaktifkan untuk load balancer. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
Temuan kerentanan Kebijakan Organisasi
Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi batasan
Kebijakan Organisasi, dan termasuk dalam jenis ORG_POLICY.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan:
Resource Compute Engine tidak mematuhi
kebijakan organisasi
constraints/compute.restrictNonConfidentialComputing. Untuk mengetahui informasi selengkapnya tentang batasan kebijakan organisasi ini, lihat Menerapkan batasan kebijakan organisasi di Confidential VM.
Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa apakah properti
|
|
Deskripsi temuan:
Resource Compute Engine tidak mematuhi batasan
constraints/gcp.resourceLocations. Untuk mengetahui informasi selengkapnya tentang batasan kebijakan organisasi ini, lihat Menerapkan batasan kebijakan organisasi.
Untuk aktivasi level project pada paket Premium Security Command Center, temuan ini hanya tersedia jika paket Standar diaktifkan di organisasi induk. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa properti
|
|
Aset yang didukung untuk ORG_POLICY_LOCATION_RESTRICTION
Compute Engine
GKE
Cloud Storage
Cloud KMS
Dataproc
BigQuery
Dataflow
Cloud SQL
Cloud Composer
Logging
Pub/Sub
Vertex AI
Artifact Registry 1 Karena aset Cloud KMS tidak dapat dihapus, aset tidak dianggap berada di luar region jika data aset telah dihancurkan. 2 Karena tugas impor Cloud KMS memiliki siklus proses yang terkontrol dan tidak dapat dihentikan lebih awal, ImportJob tidak dianggap berada di luar region jika tugas telah berakhir dan tidak dapat lagi digunakan untuk mengimpor kunci. 3 Karena siklus proses tugas Dataflow tidak dapat dikelola, Tugas tidak dianggap berada di luar region setelah mencapai status akhir (dihentikan atau dikuras), sehingga tidak dapat lagi digunakan untuk memproses data. |
||
Temuan kerentanan Pub/Sub
Semua kerentanan jenis detektor ini terkait dengan konfigurasi Pub/Sub, dan termasuk dalam jenis PUBSUB_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Topik Pub/Sub tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa kolom
|
Temuan kerentanan SQL
Bagian berikut menjelaskan temuan kerentanan untuk AlloyDB for PostgreSQL dan Cloud SQL.
Temuan kerentanan AlloyDB untuk PostgreSQL
Semua kerentanan jenis detektor ini terkait dengan konfigurasi AlloyDB untuk PostgreSQL dan termasuk dalam jenis SQL_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Cluster AlloyDB untuk PostgreSQL tidak mengaktifkan pencadangan otomatis. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Cluster AlloyDB untuk PostgreSQL tidak mengaktifkan pencadangan. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Cluster AlloyDB tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK). Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa kolom
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Untuk memastikan cakupan jenis pesan yang memadai dalam log, menghasilkan temuan jika kolom
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Untuk memastikan cakupan jenis pesan yang memadai dalam log, menghasilkan temuan jika kolom
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Untuk memastikan cakupan jenis pesan yang memadai dalam log, menghasilkan temuan jika kolom
|
|
Deskripsi temuan: Instance database AlloyDB untuk PostgreSQL memiliki alamat IP publik. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
|
Deskripsi temuan: Instance database AlloyDB for PostgreSQL tidak mewajibkan semua koneksi masuk untuk menggunakan SSL. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
Temuan kerentanan Cloud SQL
Semua kerentanan jenis detektor ini terkait dengan konfigurasi Cloud SQL dan termasuk dalam jenis SQL_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Database Cloud SQL tidak mengaktifkan pencadangan otomatis. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Instance database Cloud SQL menerima koneksi dari semua alamat IP. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Instance database Cloud SQL tidak mewajibkan semua koneksi masuk untuk menggunakan SSL. Tingkat harga: Premium atau Standar
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Instance database SQL tidak dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK). Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa kolom
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah kolom
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Untuk memastikan cakupan jenis pesan yang memadai dalam log, menghasilkan temuan jika kolom
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Database Cloud SQL yang memiliki alamat IP publik tidak memiliki sandi yang dikonfigurasi untuk akun root. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Database Cloud SQL memiliki alamat IP publik. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah jenis alamat IP database Cloud SQL ditetapkan ke
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan:
Flag database Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa properti
|
|
Deskripsi temuan: Database Cloud SQL yang memiliki alamat IP publik juga memiliki sandi lemah yang dikonfigurasi untuk akun root. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Membandingkan sandi untuk akun root database Cloud SQL Anda dengan daftar sandi umum.
|
Temuan kerentanan subnetwork
Kerentanan jenis detektor ini semuanya terkait dengan konfigurasi subnetwork organisasi, dan termasuk dalam jenisSUBNETWORK_SCANNER.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: Ada subnetwork VPC yang menonaktifkan log alur. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Untuk subnetwork VPC, VPC Flow Logs tidak aktif atau tidak dikonfigurasi sesuai dengan rekomendasi CIS Benchmark 1.3. Detektor ini memerlukan konfigurasi tambahan untuk diaktifkan. Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
|
Deskripsi temuan: Ada subjaringan pribadi tanpa akses ke Google API publik. Tingkat harga: Premium
Aset yang didukung Standar kepatuhan:
|
Memeriksa apakah properti
|
Temuan AWS
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: AWS CloudShell adalah cara yang mudah untuk menjalankan perintah CLI terhadap layanan AWS; kebijakan IAM terkelola ('AWSCloudShellFullAccess') memberikan akses penuh ke CloudShell, yang memungkinkan kemampuan upload dan download file antara sistem lokal pengguna dan lingkungan CloudShell. Dalam lingkungan CloudShell, pengguna memiliki izin sudo, dan dapat mengakses internet. Jadi, Anda dapat menginstal software transfer file (misalnya) dan memindahkan data dari CloudShell ke server internet eksternal. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan akses ke AWSCloudShellFullAccess dibatasi
|
|
Deskripsi temuan: Kunci akses terdiri dari ID kunci akses dan kunci akses rahasia, yang digunakan untuk menandatangani permintaan terprogram yang Anda buat ke AWS. Pengguna AWS memerlukan kunci akses mereka sendiri untuk melakukan panggilan terprogram ke AWS dari AWS Command Line Interface (AWS CLI), Tools for Windows PowerShell, AWS SDK, atau panggilan HTTP langsung menggunakan API untuk setiap layanan AWS. Sebaiknya semua kunci akses dirotasi secara rutin. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan kunci akses dirotasi maksimal setiap 90 hari
|
|
Deskripsi temuan: Untuk mengaktifkan koneksi HTTPS ke situs atau aplikasi Anda di AWS, Anda memerlukan sertifikat server SSL/TLS. Anda dapat menggunakan ACM atau IAM untuk menyimpan dan men-deploy sertifikat server. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan semua sertifikat SSL/TLS yang masa berlakunya telah habis yang disimpan di AWS IAM dihapus
|
|
Deskripsi temuan: Pemeriksaan ini akan memeriksa apakah grup Penskalaan Otomatis yang dikaitkan dengan load balancer menggunakan health check Elastic Load Balancing. Hal ini memastikan bahwa grup dapat menentukan kondisi instance berdasarkan pengujian tambahan yang disediakan oleh load balancer. Menggunakan health check Elastic Load Balancing dapat membantu mendukung ketersediaan aplikasi yang menggunakan grup Penskalaan Otomatis EC2. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua grup penskalaan otomatis yang dikaitkan dengan load balancer menggunakan health check
|
|
Deskripsi temuan: Pastikan instance database RDS mengaktifkan tanda Upgrade Versi Minor Otomatis agar menerima upgrade mesin minor secara otomatis selama periode pemeliharaan yang ditentukan. Jadi, instance RDS dapat memperoleh fitur baru, perbaikan bug, dan patch keamanan untuk mesin databasenya. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan fitur Upgrade Versi Minor Otomatis Diaktifkan untuk Instance RDS
|
|
Deskripsi temuan: AWS Config adalah layanan web yang melakukan manajemen konfigurasi resource AWS yang didukung dalam akun Anda dan mengirimkan file log kepada Anda. Informasi yang direkam mencakup item konfigurasi (resource AWS), hubungan antara item konfigurasi (resource AWS), dan perubahan konfigurasi apa pun antar-resource. Sebaiknya AWS Config diaktifkan di semua region. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan AWS Config diaktifkan di semua region
|
|
Deskripsi temuan: Security Hub mengumpulkan data keamanan dari seluruh akun, layanan, dan produk partner pihak ketiga yang didukung AWS, serta membantu Anda menganalisis tren keamanan dan mengidentifikasi masalah keamanan dengan prioritas tertinggi. Saat Anda mengaktifkan Security Hub, Security Hub akan mulai menggunakan, menggabungkan, mengatur, dan memprioritaskan temuan dari layanan AWS yang telah Anda aktifkan, seperti Amazon GuardDuty, Amazon Inspector, dan Amazon Macie. Anda juga dapat mengaktifkan integrasi dengan produk keamanan partner AWS. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan AWS Security Hub diaktifkan
|
|
Deskripsi temuan: AWS CloudTrail adalah layanan web yang mencatat panggilan AWS API untuk suatu akun dan menyediakan log tersebut bagi pengguna dan resource sesuai dengan kebijakan IAM. AWS Key Management Service (KMS) adalah layanan terkelola yang membantu membuat dan mengontrol kunci enkripsi yang digunakan untuk mengenkripsi data akun, serta menggunakan Hardware Security Module (HSM) untuk melindungi keamanan kunci enkripsi. Log CloudTrail dapat dikonfigurasi untuk memanfaatkan enkripsi sisi server (SSE) dan kunci master (CMK) yang dibuat pelanggan KMS untuk lebih melindungi log CloudTrail. Sebaiknya CloudTrail dikonfigurasi untuk menggunakan SSE-KMS. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan log CloudTrail dienkripsi dalam penyimpanan menggunakan CMK KMS
|
|
Deskripsi temuan: Validasi file log CloudTrail membuat file ringkasan yang ditandatangani secara digital yang berisi hash setiap log yang ditulis CloudTrail ke S3. File ringkasan ini dapat digunakan untuk menentukan apakah file log diubah, dihapus, atau tidak berubah setelah CloudTrail mengirimkan log. Sebaiknya validasi file diaktifkan di semua CloudTrail. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan validasi file log CloudTrail diaktifkan
|
|
Deskripsi temuan: AWS CloudTrail adalah layanan web yang mencatat panggilan AWS API yang dilakukan di akun AWS tertentu. Informasi yang direkam mencakup identitas pemanggil API, waktu panggilan API, alamat IP sumber pemanggil API, parameter permintaan, dan elemen respons yang ditampilkan oleh layanan AWS. CloudTrail menggunakan Amazon S3 untuk penyimpanan dan pengiriman file log, sehingga file log disimpan secara andal. Selain mencatat log CloudTrail dalam bucket S3 tertentu untuk analisis jangka panjang, analisis real time dapat dilakukan dengan mengonfigurasi CloudTrail untuk mengirim log ke CloudWatch Logs. Untuk jejak yang diaktifkan di semua region dalam akun, CloudTrail akan mengirimkan file log dari semua region tersebut ke grup log CloudWatch Logs. Sebaiknya log CloudTrail dikirim ke CloudWatch Logs. Catatan: Tujuan rekomendasi ini adalah untuk memastikan aktivitas akun AWS dicatat, dipantau, dan diberi notifikasi dengan tepat. CloudWatch Logs adalah cara bawaan untuk melakukannya menggunakan layanan AWS, tetapi tidak menghalangi penggunaan solusi alternatif. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan jejak jCloudTrail diintegrasikan dengan CloudWatch Logs
|
|
Deskripsi temuan: Pemeriksaan ini akan memeriksa apakah Amazon CloudWatch memiliki tindakan yang ditentukan saat alarm bertransisi antara status 'OK', 'ALARM', dan 'INSUFFICIENT_DATA'. Mengonfigurasi tindakan untuk status ALARM di alarm Amazon CloudWatch sangat penting untuk memicu respons langsung saat metrik yang dipantau melanggar nilai minimum. Alarm memiliki minimal satu tindakan. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah setidaknya satu tindakan alarm, satu tindakan INSUFFICIENT_DATA, atau satu tindakan OK diaktifkan pada alarm CloudWatch.
|
|
Deskripsi temuan: Pemeriksaan ini memastikan log CloudWatch dikonfigurasi dengan KMS. Data grup log selalu dienkripsi di CloudWatch Logs. Secara default, CloudWatch Logs menggunakan enkripsi sisi server untuk data log dalam penyimpanan. Sebagai alternatif, Anda dapat menggunakan AWS Key Management Service untuk enkripsi ini. Jika Anda melakukannya, enkripsi akan dilakukan menggunakan kunci AWS KMS. Enkripsi menggunakan AWS KMS diaktifkan di tingkat grup log, dengan mengaitkan kunci KMS dengan grup log, baik saat Anda membuat grup log atau setelah grup log ada. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua grup log di Amazon CloudWatch Logs dienkripsi dengan KMS
|
|
Deskripsi temuan: Kontrol ini memeriksa apakah jejak CloudTrail dikonfigurasi untuk mengirim log ke CloudWatch Logs. Kontrol gagal jika properti CloudWatchLogsLogGroupArn dari jejak kosong. CloudTrail mencatat panggilan AWS API yang dilakukan di akun tertentu. Informasi yang direkam mencakup hal berikut:
CloudTrail menggunakan Amazon S3 untuk penyimpanan dan pengiriman file log. Anda dapat merekam log CloudTrail dalam bucket S3 tertentu untuk analisis jangka panjang. Untuk melakukan analisis real-time, Anda dapat mengonfigurasi CloudTrail untuk mengirim log ke CloudWatch Logs. Untuk jejak yang diaktifkan di semua Region dalam akun, CloudTrail mengirimkan file log dari semua Region tersebut ke grup log CloudWatch Logs. Security Hub merekomendasikan agar Anda mengirim log CloudTrail ke CloudWatch Logs. Perhatikan bahwa rekomendasi ini dimaksudkan untuk memastikan aktivitas akun dicatat, dipantau, dan diberi notifikasi dengan tepat. Anda dapat menggunakan CloudWatch Logs untuk menyiapkannya dengan layanan AWS Anda. Rekomendasi ini tidak menghalangi penggunaan solusi lain. Mengirim log CloudTrail ke CloudWatch Logs memfasilitasi pencatatan aktivitas real-time dan historis berdasarkan pengguna, API, resource, dan alamat IP. Anda dapat menggunakan pendekatan ini untuk membuat alarm dan notifikasi untuk aktivitas akun yang tidak normal atau sensitif. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua jejak CloudTrail dikonfigurasi untuk mengirim log ke AWS CloudWatch
|
|
Deskripsi temuan: Pemeriksaan ini akan memeriksa apakah project berisi variabel lingkungan Kredensial autentikasi Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua project yang berisi variabel lingkungan AWS_ACCESS_KEY_ID dan AWS_SECRET_ACCESS_KEY tidak dalam teks biasa
|
|
Deskripsi temuan: Pemeriksaan ini akan memeriksa apakah URL repositori sumber Bitbucket project AWS CodeBuild berisi token akses pribadi atau nama pengguna dan sandi. Kontrol gagal jika URL repositori sumber Bitbucket berisi token akses pribadi atau nama pengguna dan sandi. Kredensial login tidak boleh disimpan atau dikirimkan dalam teks biasa atau muncul di URL repositori sumber. Daripada menggunakan token akses pribadi atau kredensial login, Anda harus mengakses penyedia sumber di CodeBuild, dan mengubah URL repositori sumber agar hanya berisi jalur ke lokasi repositori Bitbucket. Penggunaan token akses pribadi atau kredensial login dapat menyebabkan eksposur data yang tidak diinginkan atau akses yang tidak sah. Paket harga: Enterprise Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa apakah semua project yang menggunakan github atau bitbucket sebagai sumber menggunakan oauth
|
|
Deskripsi temuan: Pengguna IAM AWS dapat mengakses resource AWS menggunakan berbagai jenis kredensial, seperti sandi atau kunci akses. Sebaiknya nonaktifkan atau hapus semua kredensial yang tidak digunakan selama 45 hari atau lebih. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan kredensial yang tidak digunakan selama 45 hari atau lebih dinonaktifkan
|
|
Deskripsi temuan: VPC dilengkapi dengan grup keamanan default yang setelan awalnya menolak semua traffic masuk, mengizinkan semua traffic keluar, dan mengizinkan semua traffic di antara instance yang ditetapkan ke grup keamanan. Jika Anda tidak menentukan grup keamanan saat meluncurkan instance, instance akan otomatis ditetapkan ke grup keamanan default ini. Grup keamanan menyediakan pemfilteran traffic jaringan masuk/keluar yang stateful ke resource AWS. Sebaiknya grup keamanan default membatasi semua traffic. Grup keamanan default VPC di setiap region harus diupdate agar mematuhi kebijakan ini. VPC yang baru dibuat akan otomatis berisi grup keamanan default yang perlu diperbaiki agar mematuhi rekomendasi ini. CATATAN: Saat menerapkan rekomendasi ini, pencatatan aktivitas aliran VPC sangat berharga dalam menentukan akses port dengan hak istimewa paling rendah yang diperlukan oleh sistem agar berfungsi dengan baik karena dapat mencatat semua penerimaan dan penolakan paket yang terjadi dalam grup keamanan saat ini. Hal ini secara signifikan mengurangi hambatan utama untuk menerapkan teknik hak istimewa terendah, yaitu menemukan port minimum yang diperlukan oleh sistem di lingkungan. Meskipun rekomendasi pencatatan log alur VPC dalam tolok ukur ini tidak diterapkan sebagai tindakan keamanan permanen, rekomendasi ini harus digunakan selama periode penemuan dan rekayasa untuk grup keamanan dengan hak istimewa terendah. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan grup keamanan default setiap VPC membatasi semua traffic
|
|
Deskripsi temuan: Memeriksa apakah instance replikasi AWS DMS bersifat publik. Untuk melakukannya, nilai kolom Instance replikasi pribadi memiliki alamat IP pribadi yang tidak dapat Anda akses di luar jaringan replikasi. Instance replikasi harus memiliki alamat IP pribadi saat database sumber dan target berada di jaringan yang sama. Jaringan juga harus terhubung ke VPC instance replikasi menggunakan VPN, AWS Direct Connect, atau peering VPC. Untuk mempelajari lebih lanjut instance replikasi publik dan pribadi, lihat Instance replikasi publik dan pribadi di Panduan Pengguna AWS Database Migration Service. Anda juga harus memastikan bahwa akses ke konfigurasi instance AWS DMS Anda dibatasi hanya untuk pengguna yang diberi otorisasi. Untuk melakukannya, batasi izin IAM pengguna untuk mengubah setelan dan resource AWS DMS. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah instance replikasi AWS Database Migration Service bersifat publik
|
|
Deskripsi temuan: Konsol AWS secara default tidak mencentang kotak saat membuat pengguna IAM baru. Saat membuat kredensial Pengguna IAM, Anda harus menentukan jenis akses yang mereka perlukan. Akses terprogram: Pengguna IAM mungkin perlu melakukan panggilan API, menggunakan AWS CLI, atau menggunakan Tools for Windows PowerShell. Dalam hal ini, buat kunci akses (ID kunci akses dan kunci akses rahasia) untuk pengguna tersebut. Akses AWS Management Console: Jika pengguna perlu mengakses AWS Management Console, buat sandi untuk pengguna tersebut. Paket harga: Enterprise Standar kepatuhan:
|
Jangan konfigurasi kunci akses selama penyiapan pengguna awal untuk semua pengguna IAM yang memiliki sandi konsol
|
|
Deskripsi temuan: Pengujian ini memeriksa apakah tabel Amazon DynamoDB dapat menskalakan kapasitas baca dan tulisnya sesuai kebutuhan. Kontrol ini lulus jika tabel menggunakan mode kapasitas sesuai permintaan atau mode yang disediakan dengan penskalaan otomatis yang dikonfigurasi. Menskalakan kapasitas sesuai permintaan akan menghindari pengecualian pembatasan, yang membantu mempertahankan ketersediaan aplikasi Anda. Tabel DynamoDB dalam mode kapasitas sesuai permintaan hanya dibatasi oleh kuota tabel default throughput DynamoDB. Untuk menaikkan kuota ini, Anda dapat mengajukan tiket dukungan melalui Dukungan AWS. Tabel DynamoDB dalam mode yang disediakan dengan penskalaan otomatis menyesuaikan kapasitas throughput yang disediakan secara dinamis sebagai respons terhadap pola traffic. Untuk informasi tambahan tentang pembatasan permintaan DynamoDB, lihat Pembatasan permintaan dan kapasitas burst di Panduan Developer Amazon DynamoDB. Paket harga: Enterprise Standar kepatuhan:
|
Tabel DynamoDB harus otomatis menskalakan kapasitas sesuai permintaan
|
|
Deskripsi temuan: Kontrol ini mengevaluasi apakah tabel DynamoDB dicakup oleh rencana pencadangan. Kontrol akan gagal jika tabel DynamoDB tidak dicakup oleh rencana cadangan. Kontrol ini hanya mengevaluasi tabel DynamoDB yang dalam status AKTIF. Cadangan membantu Anda memulihkan data dengan lebih cepat dari insiden keamanan. Fitur ini juga memperkuat ketahanan sistem Anda. Menyertakan tabel DynamoDB dalam rencana pencadangan membantu Anda melindungi data dari kehilangan atau penghapusan yang tidak disengaja. Paket harga: Enterprise Standar kepatuhan:
|
Tabel DynamoDB harus dicakup oleh rencana cadangan
|
|
Deskripsi temuan: Pemulihan Point-in-Time (PITR) adalah salah satu mekanisme yang tersedia untuk mencadangkan tabel DynamoDB. Pencadangan pada suatu titik waktu disimpan selama 35 hari. Jika Anda memerlukan retensi yang lebih lama, lihat Menyiapkan pencadangan terjadwal untuk Amazon DynamoDB menggunakan AWS Backup di Dokumentasi AWS. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah pemulihan point-in-time (PITR) diaktifkan untuk semua tabel AWS DynamoDB
|
|
Deskripsi temuan: Memeriksa apakah semua tabel DynamoDB dienkripsi dengan kunci KMS yang dikelola pelanggan (non-default). Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua tabel DynamoDB dienkripsi dengan AWS Key Management Service (KMS)
|
|
Deskripsi temuan: Memeriksa apakah pengoptimalan EBS diaktifkan untuk instance EC2 Anda yang dapat dioptimalkan untuk EBS Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah pengoptimalan EBS diaktifkan untuk semua instance yang mendukung pengoptimalan EBS
|
|
Deskripsi temuan: Memeriksa apakah snapshot Amazon Elastic Block Store tidak bersifat publik. Kontrol gagal jika snapshot Amazon EBS dapat dipulihkan oleh siapa saja. Snapshot EBS digunakan untuk mencadangkan data di volume EBS Anda ke Amazon S3 pada titik waktu tertentu. Anda dapat menggunakan snapshot untuk memulihkan status volume EBS sebelumnya. Berbagi cuplikan dengan publik jarang dapat diterima. Biasanya, keputusan untuk membagikan cuplikan layar secara publik dibuat karena kesalahan atau tanpa pemahaman yang lengkap tentang implikasinya. Pemeriksaan ini membantu memastikan bahwa semua tindakan berbagi tersebut direncanakan dan dilakukan dengan sengaja. Paket harga: Enterprise Standar kepatuhan:
|
Snapshot Amazon EBS tidak dapat dipulihkan secara publik
|
|
Deskripsi temuan: Elastic Compute Cloud (EC2) mendukung enkripsi dalam penyimpanan saat menggunakan layanan Elastic Block Store (EBS). Meskipun dinonaktifkan secara default, penerapan enkripsi saat pembuatan volume EBS didukung. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan Enkripsi Volume EBS Diaktifkan di semua Region
|
|
Deskripsi temuan: Amazon VPC menyediakan lebih banyak fungsi keamanan daripada EC2 Classic. Sebaiknya semua node termasuk dalam Amazon VPC. Paket harga: Enterprise Standar kepatuhan:
|
Memastikan bahwa semua instance milik VPC
|
|
Deskripsi temuan: Instance EC2 yang memiliki alamat IP publik memiliki peningkatan risiko penyusupan. Sebaiknya instance EC2 tidak dikonfigurasi dengan alamat IP publik. Paket harga: Enterprise Standar kepatuhan:
|
Memastikan tidak ada instance yang memiliki IP publik
|
|
Deskripsi temuan: Asosiasi State Manager adalah konfigurasi yang ditetapkan ke instance terkelola Anda. Konfigurasi menentukan status yang ingin Anda pertahankan di instance Anda. Misalnya, asosiasi dapat menentukan bahwa software antivirus harus diinstal dan berjalan di instance Anda, atau port tertentu harus ditutup. Instance EC2 yang memiliki hubungan dengan AWS Systems Manager berada di bawah pengelolaan Systems Manager sehingga memudahkan penerapan patch, memperbaiki kesalahan konfigurasi, dan merespons peristiwa keamanan. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa status kepatuhan pengaitan AWS Systems Manager
|
|
Deskripsi temuan: Kontrol ini memeriksa apakah status kepatuhan pengaitan AWS Systems Manager adalah COMPLIANT atau NON_COMPLIANT setelah pengaitan dijalankan pada instance. Kontrol gagal jika status kepatuhan pengaitan adalah NON_COMPLIANT. Asosiasi State Manager adalah konfigurasi yang ditetapkan ke instance terkelola Anda. Konfigurasi menentukan status yang ingin Anda pertahankan di instance Anda. Misalnya, asosiasi dapat menentukan bahwa software antivirus harus diinstal dan berjalan di instance Anda atau port tertentu harus ditutup. Setelah Anda membuat satu atau beberapa asosiasi State Manager, informasi status kepatuhan akan langsung tersedia untuk Anda. Anda dapat melihat status kepatuhan di konsol atau sebagai respons terhadap perintah AWS CLI atau tindakan Systems Manager API yang sesuai. Untuk pengaitan, Kepatuhan Konfigurasi menampilkan status kepatuhan (Sesuai atau Tidak sesuai). Bagian ini juga menampilkan tingkat keparahan yang ditetapkan untuk asosiasi, seperti Kritis atau Sedang. Untuk mempelajari lebih lanjut kepatuhan pengaitan State Manager, lihat Tentang kepatuhan pengaitan State Manager di Panduan Pengguna AWS Systems Manager. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa status kepatuhan patch AWS Systems Manager
|
|
Deskripsi temuan: Saat mengaktifkan Layanan Metadata di instance AWS EC2, pengguna memiliki opsi untuk menggunakan Layanan Metadata Instance Versi 1 (IMDSv1; metode permintaan/respons) atau Layanan Metadata Instance Versi 2 (IMDSv2; metode berorientasi sesi). Paket harga: Enterprise Standar kepatuhan:
|
Pastikan Layanan Metadata EC2 hanya mengizinkan IMDSv2
|
|
Deskripsi temuan: Mengidentifikasi dan menghapus volume Elastic Block Store (EBS) yang tidak terlampir (tidak digunakan) di akun AWS Anda untuk menurunkan biaya tagihan AWS bulanan Anda. Menghapus volume EBS yang tidak digunakan juga mengurangi risiko data rahasia/sensitif keluar dari lokasi Anda. Selain itu, kontrol ini juga memeriksa apakah instance EC2 yang diarsipkan dikonfigurasi untuk menghapus volume saat penghentian. Secara default, instance EC2 dikonfigurasi untuk menghapus data dalam volume EBS yang terkait dengan instance, dan untuk menghapus volume EBS root instance. Namun, volume EBS non-root yang terpasang ke instance, saat peluncuran atau selama eksekusi, akan tetap ada setelah penghentian secara default. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah volume EBS dipasang ke instance EC2 dan dikonfigurasi untuk dihapus saat instance dihentikan
|
|
Deskripsi temuan: Amazon EFS mendukung dua bentuk enkripsi untuk sistem file, yaitu enkripsi data dalam pengiriman dan enkripsi dalam penyimpanan. Pemeriksaan ini memastikan bahwa semua sistem file EFS dikonfigurasi dengan enkripsi dalam penyimpanan di semua region yang diaktifkan di akun. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah EFS dikonfigurasi untuk mengenkripsi data file menggunakan KMS
|
|
Deskripsi temuan: Praktik terbaik Amazon merekomendasikan konfigurasi pencadangan untuk Elastic File System (EFS) Anda. Pemeriksaan ini akan memeriksa semua EFS di setiap region yang diaktifkan di akun AWS Anda untuk mengetahui apakah cadangan diaktifkan. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah sistem file EFS disertakan dalam paket AWS Backup
|
|
Deskripsi temuan: Memeriksa apakah Classic Load Balancer menggunakan sertifikat HTTPS/SSL yang disediakan oleh AWS Certificate Manager (ACM). Kontrol gagal jika Load Balancer Klasik yang dikonfigurasi dengan pemroses HTTPS/SSL tidak menggunakan sertifikat yang disediakan oleh ACM. Untuk membuat sertifikat, Anda dapat menggunakan ACM atau alat yang mendukung protokol SSL dan TLS, seperti OpenSSL. Security Hub merekomendasikan agar Anda menggunakan ACM untuk membuat atau mengimpor sertifikat untuk load balancer. ACM terintegrasi dengan Load Balancer Klasik sehingga Anda dapat men-deploy sertifikat di load balancer. Anda juga harus memperpanjang sertifikat ini secara otomatis. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua Load Balancer Klasik menggunakan sertifikat SSL yang disediakan oleh AWS Certificate Manager
|
|
Deskripsi temuan: Memeriksa apakah perlindungan penghapusan diaktifkan untuk Load Balancer Aplikasi. Kontrol akan gagal jika perlindungan penghapusan tidak dikonfigurasi. Aktifkan perlindungan penghapusan untuk melindungi Load Balancer Aplikasi Anda dari penghapusan. Paket harga: Enterprise Standar kepatuhan:
|
Perlindungan penghapusan Load Balancer Aplikasi harus diaktifkan
|
|
Deskripsi temuan: Pemeriksaan ini akan memeriksa apakah logging diaktifkan pada Load Balancer Aplikasi dan Load Balancer Klasik. Kontrol akan gagal jika access_logs.s3.enabled bernilai salah (false). Elastic Load Balancing menyediakan log akses yang mencatat informasi mendetail tentang permintaan yang dikirim ke load balancer Anda. Setiap log berisi informasi seperti waktu permintaan diterima, alamat IP klien, latensi, jalur permintaan, dan respons server. Anda dapat menggunakan log akses ini untuk menganalisis pola traffic dan memecahkan masalah. Untuk mempelajari lebih lanjut, lihat Log akses untuk Load Balancer Klasik di Panduan Pengguna untuk Load Balancer Klasik. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah logging diaktifkan pada load balancer aplikasi dan klasik
|
|
Deskripsi temuan: Pemeriksaan ini memastikan semua Load Balancer Klasik dikonfigurasi untuk menggunakan komunikasi yang aman. Pemroses adalah proses yang memeriksa permintaan koneksi. Load balancer dikonfigurasi dengan protokol dan port untuk koneksi frontend (klien ke load balancer) serta protokol dan port untuk koneksi backend (load balancer ke instance). Untuk mengetahui informasi tentang port, protokol, dan konfigurasi pendengar yang didukung oleh Elastic Load Balancing, lihat Pendengar untuk Classic Load Balancer. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua Load Balancer Klasik dikonfigurasi dengan SSL atau pemroses HTTPS
|
|
Deskripsi temuan: Memeriksa apakah volume EBS yang dalam status terpasang dienkripsi. Agar lulus pemeriksaan ini, volume EBS harus digunakan dan dienkripsi. Jika volume EBS tidak terpasang, maka volume tersebut tidak tunduk pada pemeriksaan ini. Untuk lapisan keamanan tambahan data sensitif Anda di volume EBS, Anda harus mengaktifkan enkripsi EBS dalam penyimpanan. Enkripsi Amazon EBS menawarkan solusi enkripsi langsung untuk resource EBS Anda yang tidak mengharuskan Anda membangun, memelihara, dan mengamankan infrastruktur pengelolaan kunci Anda sendiri. Layanan ini menggunakan kunci KMS saat membuat volume dan snapshot terenkripsi. Untuk mempelajari enkripsi Amazon EBS lebih lanjut, lihat Enkripsi Amazon EBS di Panduan Pengguna Amazon EC2 untuk Instance Linux. Paket harga: Enterprise Standar kepatuhan:
|
Volume Amazon EBS yang terpasang harus dienkripsi dalam penyimpanan
|
|
Deskripsi temuan: Instance DB terenkripsi Amazon RDS menggunakan algoritma enkripsi AES-256 standar industri untuk mengenkripsi data Anda di server yang menghosting instance DB Amazon RDS Anda. Setelah data Anda dienkripsi, Amazon RDS menangani autentikasi akses dan dekripsi data Anda secara transparan dengan dampak minimal pada performa. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan enkripsi dalam penyimpanan diaktifkan untuk Instance RDS
|
|
Deskripsi temuan: Data EFS harus dienkripsi dalam penyimpanan menggunakan AWS KMS (Key Management Service). Paket harga: Enterprise Standar kepatuhan:
|
Pastikan enkripsi diaktifkan untuk sistem file EFS
|
|
Deskripsi temuan: AWS memungkinkan kebijakan sandi kustom di akun AWS Anda untuk menentukan persyaratan kerumitan dan periode rotasi wajib untuk sandi pengguna IAM Anda. Jika Anda tidak menetapkan kebijakan sandi kustom, sandi pengguna IAM harus memenuhi kebijakan sandi AWS default. Praktik terbaik keamanan AWS merekomendasikan persyaratan kompleksitas sandi berikut:
Setelan ini mengontrol semua persyaratan kebijakan sandi yang ditentukan. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah kebijakan sandi akun untuk pengguna IAM memenuhi persyaratan yang ditentukan
|
|
Deskripsi temuan: Kebijakan sandi IAM dapat mencegah penggunaan ulang sandi tertentu oleh pengguna yang sama. Sebaiknya kebijakan sandi mencegah penggunaan ulang sandi. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan kebijakan sandi IAM mencegah penggunaan ulang sandi
|
|
Deskripsi temuan: Kebijakan sandi sebagian digunakan untuk menerapkan persyaratan kerumitan sandi. Kebijakan sandi IAM dapat digunakan untuk memastikan sandi memiliki panjang minimal tertentu. Sebaiknya kebijakan sandi mengharuskan panjang sandi minimum 14 karakter. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan kebijakan sandi IAM mengharuskan panjang minimum 14 karakter atau lebih
|
|
Deskripsi temuan: Kebijakan IAM adalah cara hak istimewa diberikan kepada pengguna, grup, atau peran. Sebaiknya berikan hak istimewa terendah, yaitu hanya memberikan izin yang diperlukan untuk melakukan tugas, dan hal ini dianggap sebagai saran keamanan standar. Tentukan apa yang perlu dilakukan pengguna, lalu buat kebijakan untuk mereka yang memungkinkan pengguna melakukan hanya tugas tersebut, bukan mengizinkan hak istimewa administratif penuh. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan kebijakan IAM yang mengizinkan hak istimewa administratif "*:*" penuh tidak terpasang
|
|
Deskripsi temuan: Pengguna IAM diberi akses ke layanan, fungsi, dan data melalui kebijakan IAM. Ada empat cara untuk menentukan kebijakan bagi pengguna: 1) Mengedit kebijakan pengguna secara langsung, yang juga dikenal sebagai kebijakan inline, atau kebijakan pengguna; 2) melampirkan kebijakan secara langsung kepada pengguna; 3) menambahkan pengguna ke grup IAM yang memiliki kebijakan terlampir; 4) menambahkan pengguna ke grup IAM yang memiliki kebijakan inline. Hanya penerapan ketiga yang direkomendasikan. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan Pengguna IAM Hanya Menerima Izin Melalui Grup
|
|
Deskripsi temuan: Pengguna IAM harus selalu menjadi bagian dari grup IAM untuk mematuhi praktik terbaik keamanan IAM. Dengan menambahkan pengguna ke grup, Anda dapat membagikan kebijakan di antara berbagai jenis pengguna. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah pengguna IAM adalah anggota dari setidaknya salah satu grup IAM
|
|
Deskripsi temuan: Autentikasi multi-faktor (MFA) adalah praktik terbaik yang menambahkan lapisan perlindungan ekstra di atas nama pengguna dan sandi. Dengan MFA, saat pengguna login ke AWS Management Console, mereka diwajibkan untuk memberikan kode autentikasi yang sensitif terhadap waktu, yang disediakan oleh perangkat virtual atau fisik yang terdaftar. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah autentikasi multi-faktor (MFA) pengguna AWS IAM diaktifkan atau tidak
|
|
Deskripsi temuan: Pemeriksaan ini dilakukan untuk mengetahui apakah ada sandi IAM atau kunci akses aktif yang belum digunakan dalam 90 hari terakhir. Praktik terbaik merekomendasikan agar Anda menghapus, menonaktifkan, atau merotasi semua kredensial yang tidak digunakan selama 90 hari atau lebih. Tindakan ini akan mengurangi peluang penggunaan kredensial yang terkait dengan akun yang disusupi atau ditinggalkan. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua pengguna AWS IAM memiliki sandi atau kunci akses aktif yang belum digunakan dalam maxCredentialUsageAge hari (default-nya 90)
|
|
Deskripsi temuan: Kontrol ini memeriksa apakah kunci KMS dijadwalkan untuk dihapus. Kontrol akan gagal jika kunci KMS dijadwalkan untuk dihapus. Kunci KMS tidak dapat dipulihkan setelah dihapus. Data yang dienkripsi dengan kunci KMS juga tidak dapat dipulihkan secara permanen jika kunci KMS dihapus. Jika data penting telah dienkripsi dengan kunci KMS yang dijadwalkan untuk dihapus, pertimbangkan untuk mendekripsi data atau mengenkripsi ulang data dengan kunci KMS baru, kecuali jika Anda sengaja melakukan penghapusan kriptografi. Saat kunci KMS dijadwalkan untuk dihapus, periode tunggu wajib diberlakukan untuk memberikan waktu guna membatalkan penghapusan, jika penghapusan dijadwalkan karena kesalahan. Periode tunggu default adalah 30 hari, tetapi dapat dikurangi hingga 7 hari jika kunci KMS dijadwalkan untuk dihapus. Selama periode tunggu, penghapusan terjadwal dapat dibatalkan dan kunci KMS tidak akan dihapus. Untuk informasi tambahan terkait penghapusan kunci KMS, lihat Menghapus kunci KMS di Panduan Developer AWS Key Management Service. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua CMK tidak dijadwalkan untuk dihapus
|
|
Deskripsi temuan: Memeriksa apakah fungsi Lambda dikonfigurasi dengan batas eksekusi serentak tingkat fungsi. Aturan ini adalah NON_COMPLIANT jika fungsi Lambda tidak dikonfigurasi dengan batas eksekusi serentak tingkat fungsi. Paket harga: Enterprise Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa apakah fungsi Lambda dikonfigurasi dengan batas eksekusi serentak tingkat fungsi
|
|
Deskripsi temuan: Memeriksa apakah fungsi Lambda dikonfigurasi dengan antrean pesan yang dihentikan pengirimannya. Aturan ini adalah NON_COMPLIANT jika fungsi Lambda tidak dikonfigurasi dengan antrean pesan yang dihentikan pengirimannya. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah fungsi Lambda dikonfigurasi dengan antrean pesan yang dihentikan pengirimannya
|
|
Deskripsi temuan: Praktik terbaik AWS merekomendasikan agar fungsi Lambda tidak diekspos secara publik. Kebijakan ini memeriksa semua fungsi Lambda yang di-deploy di semua region yang diaktifkan dalam akun Anda dan akan gagal jika dikonfigurasi untuk mengizinkan akses publik. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah kebijakan yang disematkan ke fungsi Lambda melarang akses publik
|
|
Deskripsi temuan: Memeriksa apakah fungsi Lambda berada dalam VPC. Anda mungkin melihat temuan yang gagal untuk resource Lambda@Edge. Hal ini tidak mengevaluasi konfigurasi perutean subnet VPC untuk menentukan keterjangkauan publik. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah fungsi Lambda ada dalam VPC
|
|
Deskripsi temuan: Setelah Hapus MFA diaktifkan di bucket S3 sensitif dan rahasia Anda, pengguna akan memerlukan dua bentuk autentikasi. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan Hapus MFA diaktifkan pada bucket S3
|
|
Deskripsi temuan: Akun pengguna 'root' adalah pengguna dengan hak istimewa tertinggi di akun AWS. Autentikasi Multi-faktor (MFA) menambahkan lapisan perlindungan ekstra di atas nama pengguna dan sandi. Dengan MFA yang diaktifkan, saat pengguna login ke situs AWS, mereka akan diminta untuk memasukkan nama pengguna dan sandi serta kode autentikasi dari perangkat MFA AWS mereka. Catatan: Jika MFA virtual digunakan untuk akun 'root', sebaiknya perangkat yang digunakan BUKAN perangkat pribadi, melainkan perangkat seluler khusus (tablet atau ponsel) yang dikelola agar tetap terisi daya dan aman secara terpisah dari perangkat pribadi individu. ("MFA virtual non-pribadi") Hal ini mengurangi risiko kehilangan akses ke MFA karena perangkat hilang, perangkat dijual, atau jika individu yang memiliki perangkat tidak lagi bekerja di perusahaan. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan MFA diaktifkan untuk akun pengguna 'root'
|
|
Deskripsi temuan: Autentikasi Multi-Faktor (MFA) menambahkan lapisan jaminan autentikasi ekstra di luar kredensial tradisional. Dengan MFA yang diaktifkan, saat pengguna login ke Konsol AWS, mereka akan diminta untuk memasukkan nama pengguna dan sandi mereka, serta kode autentikasi dari token MFA fisik atau virtual mereka. Sebaiknya MFA diaktifkan untuk semua akun yang memiliki sandi konsol. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan autentikasi multi-faktor (MFA) diaktifkan untuk semua pengguna IAM yang memiliki sandi konsol
|
|
Deskripsi temuan: Fungsi Network Access Control List (NACL) menyediakan pemfilteran traffic jaringan masuk dan keluar tanpa status ke resource AWS. Sebaiknya tidak ada NACL yang mengizinkan akses ingress tanpa batas ke port administrasi server jarak jauh, seperti SSH ke port Paket harga: Enterprise Standar kepatuhan:
|
Pastikan tidak ada ACL Jaringan yang mengizinkan ingress dari 0.0.0.0/0 ke port administrasi server jarak jauh
|
|
Deskripsi temuan: Akun pengguna 'root' adalah pengguna dengan hak istimewa tertinggi di akun AWS. Kunci Akses AWS memberikan akses terprogram ke akun AWS tertentu. Sebaiknya semua kunci akses yang terkait dengan akun pengguna 'root' dihapus. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan tidak ada kunci akses akun pengguna 'root'
|
|
Deskripsi temuan: Grup keamanan menyediakan pemfilteran traffic jaringan masuk dan keluar yang stateful ke resource AWS. Sebaiknya tidak ada grup keamanan yang mengizinkan akses ingress tanpa batasan ke port administrasi server jarak jauh, seperti SSH ke port Paket harga: Enterprise Standar kepatuhan:
|
Pastikan tidak ada grup keamanan yang mengizinkan ingress dari 0.0.0.0/0 ke port administrasi server jarak jauh
|
|
Deskripsi temuan: Grup keamanan menyediakan pemfilteran traffic jaringan masuk dan keluar yang stateful ke resource AWS. Sebaiknya tidak ada grup keamanan yang mengizinkan akses ingress tanpa batas ke port administrasi server jarak jauh, seperti SSH ke port Paket harga: Enterprise Standar kepatuhan:
|
Pastikan tidak ada grup keamanan yang mengizinkan ingress dari ::/0 ke port administrasi server jarak jauh
|
|
Deskripsi temuan: Kunci akses adalah kredensial jangka panjang untuk pengguna IAM atau pengguna 'root' akun AWS. Anda dapat menggunakan kunci akses untuk menandatangani permintaan terprogram ke AWS CLI atau AWS API (secara langsung atau menggunakan AWS SDK) Paket harga: Enterprise Standar kepatuhan:
|
Pastikan hanya ada satu kunci akses aktif yang tersedia untuk pengguna IAM tunggal apa pun
|
|
Deskripsi temuan: Pastikan dan verifikasi bahwa instance database RDS yang disediakan di akun AWS Anda membatasi akses yang tidak sah untuk meminimalkan risiko keamanan. Untuk membatasi akses ke instance database RDS yang dapat diakses secara publik, Anda harus menonaktifkan tanda Dapat Diakses Secara Publik pada database dan memperbarui grup keamanan VPC yang terkait dengan instance tersebut. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan akses publik tidak diberikan ke Instance RDS
|
|
Deskripsi temuan: Pemantauan yang ditingkatkan memberikan metrik real-time pada sistem operasi yang dijalankan instance RDS, melalui agen yang diinstal di instance. Untuk mengetahui detail selengkapnya, lihat Memantau metrik OS dengan Pemantauan yang Ditingkatkan. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah pemantauan yang ditingkatkan diaktifkan untuk semua instance DB RDS
|
|
Deskripsi temuan: Mengaktifkan perlindungan penghapusan instance adalah lapisan perlindungan tambahan terhadap penghapusan database yang tidak disengaja atau penghapusan oleh entitas yang tidak sah. Selama perlindungan penghapusan diaktifkan, instance DB RDS tidak dapat dihapus. Sebelum permintaan penghapusan berhasil, perlindungan penghapusan harus dinonaktifkan. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah perlindungan penghapusan diaktifkan untuk semua instance RDS
|
|
Deskripsi temuan: Pemeriksaan ini mengevaluasi apakah instance DB Amazon RDS dicakup oleh rencana cadangan. Kontrol ini gagal jika instance DB RDS tidak dicakup oleh rencana cadangan. AWS Backup adalah layanan pencadangan terkelola sepenuhnya yang memusatkan dan mengotomatiskan pencadangan data di seluruh layanan AWS. Dengan AWS Backup, Anda dapat membuat kebijakan pencadangan yang disebut rencana pencadangan. Anda dapat menggunakan rencana ini untuk menentukan persyaratan pencadangan, seperti seberapa sering data Anda dicadangkan dan berapa lama cadangan tersebut dipertahankan. Menyertakan instance DB RDS dalam rencana pencadangan membantu Anda melindungi data dari kehilangan atau penghapusan yang tidak disengaja. Paket harga: Enterprise Standar kepatuhan:
|
Instance DB RDS harus dicakup oleh rencana cadangan
|
|
Deskripsi temuan: Pemeriksaan ini akan memeriksa apakah log Amazon RDS berikut diaktifkan dan dikirim ke CloudWatch. Database RDS harus mengaktifkan log yang relevan. Logging database memberikan catatan mendetail tentang permintaan yang dibuat ke RDS. Log database dapat membantu audit keamanan dan akses serta dapat membantu mendiagnosis masalah ketersediaan. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah log yang diekspor diaktifkan untuk semua instance DB RDS
|
|
Deskripsi temuan: Instance DB RDS harus dikonfigurasi untuk beberapa Availability Zone (AZ). Hal ini memastikan ketersediaan data yang disimpan. Deployment multi-AZ memungkinkan failover otomatis jika ada masalah dengan ketersediaan Zona Ketersediaan dan selama pemeliharaan RDS reguler. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah ketersediaan tinggi diaktifkan untuk semua instance DB RDS
|
|
Deskripsi temuan: Pemeriksaan ini dilakukan untuk elemen penting cluster Redshift: enkripsi dalam penyimpanan, logging, dan jenis node. Item konfigurasi ini penting dalam pemeliharaan cluster Redshift yang aman dan dapat diamati. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua cluster Redshift memiliki enkripsi dalam penyimpanan, logging, dan jenis node.
|
|
Deskripsi temuan: Upgrade versi utama otomatis terjadi sesuai dengan masa pemeliharaan Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua cluster Redshift mengaktifkan allowVersionUpgrade serta menetapkan preferredMaintenanceWindow dan automatedSnapshotRetentionPeriod
|
|
Deskripsi temuan: Atribut PubliclyAccessible dari konfigurasi cluster Amazon Redshift menunjukkan apakah cluster dapat diakses secara publik. Jika cluster dikonfigurasi dengan PubliclyAccessible disetel ke benar (true), cluster tersebut adalah instance yang terhubung ke Internet dan memiliki nama DNS yang dapat diselesaikan secara publik, yang diselesaikan ke alamat IP publik. Jika cluster tidak dapat diakses secara publik, cluster tersebut adalah instance internal dengan nama DNS yang diselesaikan ke alamat IP pribadi. Kecuali jika Anda ingin cluster Anda dapat diakses secara publik, cluster tidak boleh dikonfigurasi dengan PubliclyAccessible yang disetel ke benar (true). Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah cluster Redshift dapat diakses secara publik
|
|
Deskripsi temuan: Pemeriksaan ini akan memeriksa apakah traffic masuk yang tidak dibatasi untuk grup keamanan dapat diakses ke port tertentu yang memiliki risiko tertinggi. Kontrol ini gagal jika ada aturan dalam grup keamanan yang mengizinkan traffic masuk dari '0.0.0.0/0' atau '::/0' untuk port tersebut. Akses tidak terbatas (0.0.0.0/0) meningkatkan peluang terjadinya aktivitas berbahaya, seperti peretasan, serangan penolakan layanan, dan kehilangan data. Grup keamanan menyediakan pemfilteran traffic jaringan masuk dan keluar yang stateful ke resource AWS. Tidak ada grup keamanan yang boleh mengizinkan akses ingress tanpa batasan ke port berikut:
Paket harga: Enterprise Standar kepatuhan:
|
Grup keamanan tidak boleh mengizinkan akses yang tidak dibatasi ke port dengan risiko tinggi
|
|
Deskripsi temuan: Grup keamanan menyediakan pemfilteran traffic jaringan masuk dan keluar yang stateful ke resource AWS. CIS merekomendasikan agar tidak ada grup keamanan yang mengizinkan akses ingress yang tidak dibatasi ke port 22. Menghapus konektivitas tanpa batas ke layanan konsol jarak jauh, seperti SSH, akan mengurangi eksposur server terhadap risiko. Paket harga: Enterprise Standar kepatuhan:
|
Grup keamanan tidak boleh mengizinkan ingress dari 0.0.0.0/0 ke port 22
|
|
Deskripsi temuan: Memeriksa apakah rotasi kunci otomatis diaktifkan untuk setiap kunci dan cocok dengan ID kunci dari kunci AWS KMS yang dibuat pelanggan. Aturan ini adalah NON_COMPLIANT jika peran perekam AWS Config untuk resource tidak memiliki izin kms:DescribeKey. Paket harga: Enterprise Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Pastikan rotasi untuk CMK yang dibuat pelanggan diaktifkan
|
|
Deskripsi temuan: AWS Key Management Service (KMS) memungkinkan pelanggan merotasi kunci pendukung yang merupakan materi kunci yang disimpan dalam KMS yang terkait dengan ID kunci CMK yang Dibuat Pelanggan. Kunci ini adalah kunci pendukung yang digunakan untuk melakukan operasi kriptografi seperti enkripsi dan dekripsi. Rotasi kunci otomatis saat ini mempertahankan semua kunci pendukung sebelumnya sehingga dekripsi data terenkripsi dapat dilakukan secara transparan. Sebaiknya rotasi kunci CMK diaktifkan untuk kunci simetris. Rotasi kunci tidak dapat diaktifkan untuk CMK asimetris. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan rotasi untuk CMK simetris yang dibuat pelanggan diaktifkan
|
|
Deskripsi temuan: Memeriksa apakah tabel rute untuk peering VPC dikonfigurasi dengan prinsip hak istimewa terendah. Paket harga: Enterprise Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Pastikan tabel pemilihan rute untuk peering VPC adalah "akses minimum"
|
|
Deskripsi temuan: Fitur Blokir Akses Publik Amazon S3 menyediakan setelan untuk titik akses, bucket, dan akun guna membantu Anda mengelola akses publik ke resource Amazon S3. Secara default, bucket, titik akses, dan objek baru tidak mengizinkan akses publik. Paket harga: Enterprise Standar kepatuhan: Kategori temuan ini tidak dipetakan ke kontrol standar kepatuhan apa pun. |
Memeriksa apakah setelan pemblokiran akses publik S3 yang diperlukan dikonfigurasi dari tingkat akun
|
|
Deskripsi temuan: Amazon S3 menyediakan Paket harga: Enterprise Standar kepatuhan:
|
Pastikan bucket S3 dikonfigurasi dengan
|
|
Deskripsi temuan: Logging Akses Bucket S3 menghasilkan log yang berisi catatan akses untuk setiap permintaan yang dibuat ke bucket S3 Anda. Entri log akses berisi detail tentang permintaan, seperti jenis permintaan, resource yang ditentukan dalam permintaan berhasil, serta waktu dan tanggal permintaan diproses. Sebaiknya logging akses bucket diaktifkan di bucket S3 CloudTrail. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan logging akses bucket S3 diaktifkan di bucket S3 CloudTrail
|
|
Deskripsi temuan: Fitur Logging Akses Server AWS S3 mencatat permintaan akses ke bucket penyimpanan yang berguna untuk audit keamanan. Secara default, logging akses server tidak diaktifkan untuk bucket S3. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah logging diaktifkan di semua bucket S3
|
|
Deskripsi temuan: Di tingkat bucket Amazon S3, Anda dapat mengonfigurasi izin melalui kebijakan bucket sehingga objek hanya dapat diakses melalui HTTPS. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan Kebijakan Bucket S3 disetel untuk menolak permintaan HTTP
|
|
Deskripsi temuan: Kontrol ini memeriksa apakah Replikasi Lintas Region diaktifkan untuk bucket Amazon S3. Kontrol gagal jika Replikasi Lintas Region tidak diaktifkan untuk bucket atau jika Replikasi Dalam Region yang Sama juga diaktifkan. Replikasi adalah penyalinan objek otomatis dan asinkron di seluruh bucket dalam AWS Region yang sama atau berbeda. Replikasi menyalin objek yang baru dibuat dan update objek dari bucket sumber ke bucket tujuan. Praktik terbaik AWS merekomendasikan replikasi untuk bucket sumber dan tujuan yang dimiliki oleh akun AWS yang sama. Selain ketersediaan, Anda harus mempertimbangkan setelan penguatan sistem lainnya. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah replikasi lintas region diaktifkan untuk bucket S3
|
|
Deskripsi temuan: Pemeriksaan ini memastikan bahwa bucket S3 Anda telah mengaktifkan enkripsi default Amazon S3 atau kebijakan bucket S3 secara eksplisit menolak permintaan put-object tanpa enkripsi sisi server. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan semua bucket S3 menggunakan enkripsi dalam penyimpanan
|
|
Deskripsi temuan: Amazon S3 adalah cara untuk menyimpan beberapa varian objek dalam bucket yang sama dan dapat membantu Anda memulihkan data dengan lebih mudah dari tindakan pengguna yang tidak disengaja dan kegagalan aplikasi. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah pembuatan versi diaktifkan untuk semua bucket S3
|
|
Deskripsi temuan: Memeriksa apakah bucket Amazon S3 dienkripsi dengan AWS Key Management Service (AWS KMS) Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua bucket dienkripsi dengan KMS
|
|
Deskripsi temuan: Memeriksa apakah kunci AWS Key Management Service (AWS KMS) dikonfigurasi untuk instance notebook Amazon SageMaker. Aturan ini adalah NON_COMPLIANT jika 'KmsKeyId' tidak ditentukan untuk instance notebook SageMaker. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua instance notebook SageMaker dikonfigurasi untuk menggunakan KMS
|
|
Deskripsi temuan: Memeriksa apakah akses internet langsung dinonaktifkan untuk instance notebook SageMaker. Untuk melakukannya, ia memeriksa apakah kolom DirectInternetAccess dinonaktifkan untuk instance notebook. Jika Anda mengonfigurasi instance SageMaker tanpa VPC, akses internet langsung akan diaktifkan secara default di instance Anda. Anda harus mengonfigurasi instance dengan VPC dan mengubah setelan default ke Nonaktifkan—Akses internet melalui VPC. Untuk melatih atau menghosting model dari notebook, Anda memerlukan akses internet. Untuk mengaktifkan akses internet, pastikan VPC Anda memiliki gateway NAT dan grup keamanan Anda mengizinkan koneksi keluar. Untuk mempelajari lebih lanjut cara menghubungkan instance notebook ke resource di VPC, lihat Menghubungkan instance notebook ke resource di VPC dalam Panduan Developer Amazon SageMaker. Anda juga harus memastikan bahwa akses ke konfigurasi SageMaker Anda dibatasi hanya untuk pengguna yang diberi otorisasi. Batasi izin IAM pengguna untuk mengubah setelan dan resource SageMaker. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah akses internet langsung dinonaktifkan untuk semua instance notebook Amazon SageMaker
|
|
Deskripsi temuan: Memeriksa apakah secret yang disimpan di AWS Secrets Manager dikonfigurasi dengan rotasi otomatis. Kontrol gagal jika secret tidak dikonfigurasi dengan rotasi otomatis. Jika Anda memberikan nilai kustom untuk parameter Secrets Manager membantu Anda meningkatkan postur keamanan organisasi Anda. Secret mencakup kredensial database, sandi, dan kunci API pihak ketiga. Anda dapat menggunakan Secrets Manager untuk menyimpan secret secara terpusat, mengenkripsi secret secara otomatis, mengontrol akses ke secret, dan merotasi secret secara aman dan otomatis. Secrets Manager dapat merotasi secret. Anda dapat menggunakan rotasi untuk mengganti rahasia jangka panjang dengan rahasia jangka pendek. Mengganti rahasia Anda membatasi berapa lama pengguna yang tidak sah dapat menggunakan rahasia yang disusupi. Oleh karena itu, Anda harus sering merotasi rahasia Anda. Untuk mempelajari rotasi lebih lanjut, lihat Merotasi secret AWS Secrets Manager di Panduan Pengguna AWS Secrets Manager. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah rotasi diaktifkan pada semua secret AWS Secrets Manager
|
|
Deskripsi temuan: Memeriksa apakah topik SNS dienkripsi dalam penyimpanan menggunakan AWS KMS. Kontrol akan gagal jika topik SNS tidak menggunakan kunci KMS untuk enkripsi sisi server (SSE). Mengenkripsi data dalam penyimpanan akan mengurangi risiko data yang disimpan di disk diakses oleh pengguna yang tidak diautentikasi ke AWS. Selain itu, fitur ini menambahkan serangkaian kontrol akses lain untuk membatasi kemampuan pengguna yang tidak sah dalam mengakses data. Misalnya, izin API diperlukan untuk mendekripsi data sebelum dapat dibaca. Topik SNS harus dienkripsi dalam penyimpanan untuk lapisan keamanan tambahan. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah semua topik SNS dienkripsi dengan KMS
|
|
Deskripsi temuan: Kontrol ini memeriksa apakah grup keamanan default VPC mengizinkan traffic masuk atau keluar. Kontrol gagal jika grup keamanan mengizinkan traffic masuk atau keluar. Aturan untuk grup keamanan default mengizinkan semua traffic keluar dan masuk dari antarmuka jaringan (dan instance terkaitnya) yang ditetapkan ke grup keamanan yang sama. Sebaiknya jangan gunakan grup keamanan default. Karena grup keamanan default tidak dapat dihapus, Anda harus mengubah setelan aturan grup keamanan default untuk membatasi traffic masuk dan keluar. Hal ini mencegah traffic yang tidak diinginkan jika grup keamanan default secara tidak sengaja dikonfigurasi untuk resource seperti instance EC2. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan grup keamanan default setiap VPC membatasi semua traffic
|
|
Deskripsi temuan: Log Aliran VPC adalah fitur yang memungkinkan Anda merekam informasi tentang traffic IP yang menuju ke dan keluar dari antarmuka jaringan di VPC Anda. Setelah membuat log alur, Anda dapat melihat dan mengambil datanya di Amazon CloudWatch Logs. Sebaiknya Log Aliran VPC diaktifkan untuk "Penolakan" paket untuk VPC. Paket harga: Enterprise Standar kepatuhan:
|
Pastikan logging flow VPC diaktifkan di semua VPC
|
|
Deskripsi temuan: Kontrol ini memeriksa apakah grup keamanan Amazon EC2 mengizinkan traffic masuk tanpa batasan dari port yang tidak sah. Status kontrol ditentukan sebagai berikut: Jika Anda menggunakan nilai default untuk authorizedTcpPorts, kontrol akan gagal jika grup keamanan mengizinkan traffic masuk tanpa batasan dari port selain port 80 dan 443. Jika Anda memberikan nilai kustom untuk authorizedTcpPorts atau authorizedUdpPorts, kontrol akan gagal jika grup keamanan mengizinkan traffic masuk tanpa batasan dari port yang tidak tercantum. Jika tidak ada parameter yang digunakan, kontrol akan gagal untuk grup keamanan apa pun yang memiliki aturan traffic masuk tidak terbatas. Grup keamanan menyediakan pemfilteran traffic jaringan masuk dan keluar yang stateful ke AWS. Aturan grup keamanan harus mengikuti prinsip akses dengan hak istimewa terendah. Akses tidak terbatas (alamat IP dengan akhiran /0) meningkatkan peluang terjadinya aktivitas berbahaya seperti peretasan, serangan penolakan layanan, dan kehilangan data. Kecuali jika port diizinkan secara khusus, port tersebut harus menolak akses yang tidak dibatasi. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah setiap grup keamanan dengan 0.0.0.0/0 dari VPC hanya mengizinkan traffic TCP/UDP masuk tertentu
|
|
Deskripsi temuan: Tunnel VPN adalah link terenkripsi tempat data dapat berpindah dari atau ke AWS dalam koneksi VPN Site-to-Site AWS. Setiap koneksi VPN mencakup dua tunnel VPN yang dapat Anda gunakan secara bersamaan untuk ketersediaan tinggi. Memastikan kedua tunnel VPN aktif untuk koneksi VPN penting untuk mengonfirmasi koneksi yang aman dan memiliki ketersediaan tinggi antara VPC AWS dan jaringan jarak jauh Anda. Kontrol ini memeriksa apakah kedua tunnel VPN yang disediakan oleh AWS Site-to-Site VPN dalam status UP. Kontrol akan gagal jika salah satu atau kedua tunnel berstatus DOWN. Paket harga: Enterprise Standar kepatuhan:
|
Memeriksa apakah kedua tunnel AWS VPN yang disediakan oleh AWS site-to-site dalam status UP
|
Temuan Web Security Scanner
Pemindaian kustom dan terkelola Web Security Scanner mengidentifikasi jenis temuan berikut. Di tingkat Standard, Web Security Scanner mendukung pemindaian kustom aplikasi yang di-deploy dengan URL dan IP publik yang tidak berada di belakang firewall.
| Kategori | Menemukan deskripsi | Kategori Temuan | 10 Teratas OWASP 2017 | 10 Teratas OWASP 2021 |
|---|---|---|---|---|
|
Repositori Git diekspos secara publik. Untuk mengatasi temuan ini, hapus akses publik yang tidak disengaja ke repositori GIT. Tingkat harga: Premium atau Standar |
Kerentanan | A5 | A01 |
|
Repositori SVN diekspos secara publik. Untuk mengatasi temuan ini, hapus akses publik yang tidak disengaja ke repositori SVN. Tingkat harga: Premium atau Standar |
Kerentanan | A5 | A01 |
|
File ENV diekspos secara publik. Untuk menyelesaikan temuan ini, hapus akses publik yang tidak disengaja ke file ENV. Tingkat harga: Premium atau Standar |
Kerentanan | A5 | A01 |
|
Sandi yang dimasukkan di aplikasi web dapat di-cache dalam cache browser reguler, bukan di penyimpanan sandi yang aman. Tingkat harga: Premium |
Kerentanan | A3 | A04 |
|
Sandi dikirimkan dalam teks biasa dan dapat dicegat. Untuk menyelesaikan temuan ini, enkripsi sandi yang ditransmisikan melalui jaringan. Tingkat harga: Premium atau Standar |
Kerentanan | A3 | A02 |
|
Endpoint HTTP atau HTTPS lintas situs hanya memvalidasi akhiran header permintaan Tingkat harga: Premium |
Kerentanan | A5 | A01 |
|
Endpoint HTTP atau HTTPS lintas situs hanya memvalidasi awalan header permintaan Tingkat harga: Premium |
Kerentanan | A5 | A01 |
|
Resource yang dimuat tidak cocok dengan header HTTP Content-Type respons. Untuk
mengatasi temuan ini, tetapkan header HTTP Tingkat harga: Premium atau Standar |
Kerentanan | A6 | A05 |
|
Header keamanan memiliki error sintaksis dan diabaikan oleh browser. Untuk mengatasi temuan ini, tetapkan header keamanan HTTP dengan benar. Tingkat harga: Premium atau Standar |
Kerentanan | A6 | A05 |
|
Header keamanan memiliki nilai yang diduplikasi dan tidak cocok, yang menyebabkan perilaku tidak terdefinisi. Untuk mengatasi temuan ini, tetapkan header keamanan HTTP dengan benar. Tingkat harga: Premium atau Standar |
Kerentanan | A6 | A05 |
|
Header keamanan salah dieja dan diabaikan. Untuk mengatasi temuan ini, tetapkan header keamanan HTTP dengan benar. Tingkat harga: Premium atau Standar |
Kerentanan | A6 | A05 |
|
Resource ditayangkan melalui HTTP di halaman HTTPS. Untuk menyelesaikan temuan ini, pastikan semua resource ditayangkan melalui HTTPS. Tingkat harga: Premium atau Standar |
Kerentanan | A6 | A05 |
|
Terdeteksi library yang memiliki kerentanan umum. Untuk menyelesaikan temuan ini, upgrade library ke versi yang lebih baru. Tingkat harga: Premium atau Standar |
Kerentanan | A9 | A06 |
|
Kerentanan pemalsuan permintaan sisi server (SSRF) terdeteksi. Untuk mengatasi temuan ini, gunakan daftar yang diizinkan untuk membatasi domain dan alamat IP yang dapat digunakan aplikasi web untuk membuat permintaan. Tingkat harga: Premium atau Standar |
Kerentanan | Tidak berlaku | A10 |
|
Saat membuat permintaan lintas domain, aplikasi web menyertakan ID sesi pengguna
dalam header permintaan Tingkat harga: Premium |
Kerentanan | A2 | A07 |
|
Kerentanan injeksi SQL potensial terdeteksi. Untuk mengatasi temuan ini, gunakan kueri berparameter untuk mencegah input pengguna memengaruhi struktur kueri SQL. Tingkat harga: Premium |
Kerentanan | A1 | A03 |
|
Penggunaan versi Apache Struts yang rentan terdeteksi. Untuk mengatasi temuan ini, upgrade Apache Struts ke versi terbaru. Tingkat harga: Premium |
Kerentanan | A8 | A08 |
|
Kolom di aplikasi web ini rentan terhadap serangan pembuatan skrip lintas situs (XSS). Untuk menyelesaikan temuan ini, validasi dan hindari data tidak tepercaya yang disediakan pengguna. Tingkat harga: Premium atau Standar |
Kerentanan | A7 | A03 |
|
String yang disediakan pengguna tidak di-escape dan AngularJS dapat menginterpolasinya. Untuk mengatasi temuan ini, validasi dan hindari data tidak tepercaya dari pengguna yang ditangani oleh framework Angular. Tingkat harga: Premium atau Standar |
Kerentanan | A7 | A03 |
|
Kolom di aplikasi web ini rentan terhadap serangan pembuatan skrip lintas situs. Untuk menyelesaikan temuan ini, validasi dan hindari data tidak tepercaya yang disediakan pengguna. Tingkat harga: Premium atau Standar |
Kerentanan | A7 | A03 |
|
Kerentanan XML External Entity (XXE) terdeteksi. Kerentanan ini dapat menyebabkan aplikasi web membocorkan file di host. Untuk mengatasi temuan ini, konfigurasi parser XML Anda agar tidak mengizinkan entitas eksternal. Tingkat harga: Premium |
Kerentanan | A4 | A05 |
|
Aplikasi rentan terhadap pencemaran prototipe. Kerentanan ini muncul saat
properti objek Tingkat harga: Premium atau Standar |
Kerentanan | A1 | A03 |
|
Header HTTP Strict Transport Security (HSTS) yang salah dikonfigurasi terdeteksi. Untuk mengurangi risiko serangan penurunan kualitas dan penyadapan pada koneksi HTTP secara signifikan, selesaikan masalah header HSTS yang salah dikonfigurasi. Header HSTS memaksa koneksi melalui saluran terenkripsi (TLS) sehingga koneksi HTTP teks biasa gagal. Cari tahu header HSTS lebih lanjut
Tingkat harga: Premium |
Error konfigurasi | Tidak berlaku | Tidak berlaku |
|
Header respons HTTP Kebijakan Keamanan Konten (CSP) tidak ada. Header CSP memitigasi eksploitasi kerentanan web umum, terutama pembuatan skrip lintas situs XSS, dengan mencegah skrip atau plugin yang tidak tepercaya dimuat. Header CSP yang ketat direkomendasikan. Cari tahu header CSP lebih lanjut
Tingkat harga: Premium |
Error konfigurasi | Tidak berlaku | Tidak berlaku |
|
Header respons HTTP Kebijakan Keamanan Konten (CSP) yang salah konfigurasi terdeteksi. Header CSP mengurangi eksploitasi kerentanan web umum, terutama XSS pembuatan skrip lintas situs, dengan mencegah skrip atau plugin yang tidak tepercaya dimuat. Header CSP yang ketat direkomendasikan. Pelajari header CSP lebih lanjut
Tingkat harga: Premium |
Error konfigurasi | Tidak berlaku | Tidak berlaku |
|
Header HTTP Cross-Origin-Opener-Policy (COOP) tidak ada. COOP adalah mekanisme keamanan web yang membatasi akses halaman yang dibuka di jendela baru ke properti dari halaman asalnya. COOP menawarkan lapisan perlindungan yang kuat terhadap serangan web umum.
Tingkat harga: Premium |
Error konfigurasi | Tidak berlaku | Tidak berlaku |
|
Header respons yang tidak ada terdeteksi. Untuk mencegah clickjacking, terapkan header respons HTTP seperti
Tingkat harga: Premium |
Error konfigurasi | Tidak berlaku | Tidak berlaku |
Temuan Notebook Security Scanner
Notebook Security Scanner mendeteksi kerentanan terkait paket Python yang digunakan di notebook Colab Enterprise Anda dan memublikasikannya dalam kategori Kerentanan paket.
Temuan kerentanan paket menampilkan detail versi paket yang memiliki kerentanan yang diketahui. Versi tertentu dari paket Python dapat memiliki beberapa temuan kerentanan paket, yang masing-masing sesuai dengan kerentanan yang diketahui berbeda.
Untuk mengatasi temuan kerentanan paket, Anda harus menggunakan versi paket yang berbeda seperti yang direkomendasikan di bagian Langkah berikutnya dari temuan.
Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan dan menggunakan Notebook Security Scanner.
Temuan pemberi rekomendasi IAM
Tabel berikut mencantumkan temuan Security Command Center yang dihasilkan oleh pemberi rekomendasi IAM.
Setiap temuan rekomendasi IAM berisi rekomendasi khusus untuk menghapus atau mengganti peran yang menyertakan izin berlebih dari akun utama di lingkunganGoogle Cloud Anda.
Temuan yang dihasilkan oleh pemberi rekomendasi IAM sesuai dengan rekomendasi yang muncul di konsol Google Cloud di halaman IAM project, folder, atau organisasi yang terpengaruh.
Untuk mengetahui informasi selengkapnya tentang integrasi pemberi rekomendasi IAM dengan Security Command Center, lihat Sumber keamanan.
| Pendeteksi | Ringkasan |
|---|---|
|
Deskripsi temuan: IAM Recommender mendeteksi akun layanan yang memiliki satu atau beberapa peran IAM yang memberikan izin berlebihan ke akun pengguna. Tingkat harga: Premium Aset yang didukung:
Perbaiki temuan ini : Gunakan pemberi rekomendasi IAM untuk menerapkan perbaikan yang direkomendasikan untuk temuan ini dengan mengikuti langkah-langkah berikut:
Setelah masalah diperbaiki, IAM recommender akan memperbarui status temuan menjadi
|
|
Deskripsi temuan: IAM Recommender mendeteksi bahwa peran IAM default asli yang diberikan kepada agen layanan telah diganti dengan salah satu peran IAM dasar: Pemilik, Editor, atau Pelihat. Peran dasar adalah peran lama yang terlalu permisif dan tidak boleh diberikan kepada agen layanan. Tingkat harga: Premium Aset yang didukung:
Perbaiki temuan ini : Gunakan pemberi rekomendasi IAM untuk menerapkan perbaikan yang direkomendasikan untuk temuan ini dengan mengikuti langkah-langkah berikut:
Setelah masalah diperbaiki, IAM recommender akan memperbarui status temuan menjadi
|
|
Deskripsi temuan: IAM Recommender mendeteksi IAM bahwa agen layanan telah diberi salah satu peran IAM dasar: Pemilik, Editor, atau Pelihat. Peran dasar adalah peran lama yang terlalu permisif dan tidak boleh diberikan kepada agen layanan. Tingkat harga: Premium Aset yang didukung:
Perbaiki temuan ini : Gunakan pemberi rekomendasi IAM untuk menerapkan perbaikan yang direkomendasikan untuk temuan ini dengan mengikuti langkah-langkah berikut:
Setelah masalah diperbaiki, IAM recommender akan memperbarui status temuan menjadi
|
|
Deskripsi temuan: Pemberi rekomendasi IAM mendeteksi akun pengguna yang memiliki peran IAM yang tidak digunakan dalam 90 hari terakhir. Tingkat harga: Premium Aset yang didukung:
Perbaiki temuan ini : Gunakan pemberi rekomendasi IAM untuk menerapkan perbaikan yang direkomendasikan untuk temuan ini dengan mengikuti langkah-langkah berikut:
Setelah masalah diperbaiki, IAM recommender akan memperbarui status temuan menjadi
|
Temuan CIEM
Tabel berikut mencantumkan temuan identitas dan akses Security Command Center untuk AWS yang dihasilkan oleh Cloud Infrastructure Entitlement Management (CIEM).
Temuan CIEM berisi rekomendasi spesifik untuk menghapus atau mengganti kebijakan AWS IAM yang sangat permisif yang terkait dengan identitas, pengguna, atau grup yang diasumsikan di lingkungan AWS Anda.
Untuk mengetahui informasi selengkapnya tentang CIEM, lihat Ringkasan Cloud Infrastructure Entitlement Management.
| Pendeteksi | Ringkasan |
|---|---|
|
Deskripsi temuan: Di lingkungan AWS Anda, CIEM mendeteksi peran IAM yang diasumsikan memiliki satu atau beberapa kebijakan yang sangat permisif yang melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru, yang mencakup 83 hingga 90 hari. Paket harga: Enterprise Perbaiki temuan ini : Bergantung pada temuan, gunakan AWS Management Console untuk melakukan salah satu tugas perbaikan berikut:
Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu. |
|
Deskripsi temuan: Di lingkungan AWS Anda, CIEM mendeteksi grup AWS IAM atau AWS IAM Identity Center yang memiliki satu atau beberapa kebijakan dengan izin yang terlalu luas yang melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru, yang mencakup 83 hingga 90 hari. Paket harga: Enterprise Perbaiki temuan ini : Bergantung pada temuan, gunakan AWS Management Console untuk melakukan salah satu tugas perbaikan berikut:
Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu. |
|
Deskripsi temuan: Di lingkungan AWS Anda, CIEM mendeteksi pengguna AWS IAM atau AWS IAM Identity Center yang memiliki satu atau beberapa kebijakan yang sangat permisif yang melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru, yang mencakup 83 hingga 90 hari. Paket harga: Enterprise Perbaiki temuan ini : Bergantung pada temuan, gunakan AWS Management Console untuk melakukan salah satu tugas perbaikan berikut:
Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu. |
|
Deskripsi temuan: Di lingkungan AWS Anda, CIEM mendeteksi pengguna AWS IAM atau AWS IAM Identity Center yang tidak aktif dan memiliki satu atau beberapa izin. Hal ini melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru, yang mencakup 83 hingga 90 hari. Paket harga: Enterprise Perbaiki temuan ini : Bergantung pada temuan, gunakan AWS Management Console untuk melakukan salah satu tugas perbaikan berikut:
Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu. |
|
Deskripsi temuan: Di lingkungan AWS Anda, CIEM mendeteksi grup AWS IAM atau AWS IAM Identity Center yang tidak aktif dan memiliki satu atau beberapa izin. Hal ini melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru, yang mencakup 83 hingga 90 hari. Paket harga: Enterprise Perbaiki temuan ini : Bergantung pada temuan, gunakan AWS Management Console untuk melakukan salah satu tugas perbaikan berikut:
Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu. |
|
Deskripsi temuan: Di lingkungan AWS Anda, CIEM mendeteksi peran IAM yang diasumsikan tidak aktif dan memiliki satu atau beberapa izin. Hal ini melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru, yang mencakup 83 hingga 90 hari. Paket harga: Enterprise Perbaiki temuan ini : Bergantung pada temuan, gunakan AWS Management Console untuk melakukan salah satu tugas perbaikan berikut:
Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu. |
|
Deskripsi temuan: Di lingkungan AWS Anda, CIEM mendeteksi kebijakan kepercayaan yang terlalu permisif diterapkan pada peran IAM AWS yang melanggar prinsip hak istimewa terendah dan meningkatkan risiko keamanan. Temuan ini didasarkan pada log penggunaan terbaru, yang mencakup 83 hingga 90 hari. Paket harga: Enterprise Perbaiki temuan ini : Gunakan Konsol Pengelolaan AWS untuk mengedit izin dalam kebijakan kepercayaan yang diterapkan pada peran AWS IAM agar mematuhi prinsip hak istimewa terendah. Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu. |
|
Deskripsi temuan: Di lingkungan AWS Anda, CIEM mendeteksi satu atau beberapa identitas yang dapat bergerak secara lateral melalui peniruan identitas. Temuan ini didasarkan pada log penggunaan terbaru, yang mencakup 83 hingga 90 hari. Paket harga: Enterprise Perbaiki temuan ini : Gunakan AWS Management Console untuk menghapus kebijakan yang dilampirkan ke identitas yang mengizinkan pergerakan lateral. Lihat detail temuan untuk mengetahui langkah-langkah perbaikan tertentu. |
Temuan layanan postur keamanan
Bagian ini mencantumkan temuan Security Command Center yang dihasilkan oleh layanan postur keamanan.
Layanan postur keamanan menghasilkan kumpulan kategori temuan berikut:
- Penyimpangan dari postur keamanan yang di-deploy
- Resource yang melanggar postur keamanan yang di-deploy
Penyimpangan dari postur keamanan yang di-deploy
Tabel berikut mencantumkan temuan postur keamanan yang mengidentifikasi terjadinya penyimpangan dari postur keamanan yang Anda tentukan.
| Temuan | Ringkasan |
|---|---|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi perubahan pada detektor Security Health Analytics yang terjadi di luar update postur. Tingkat harga: Premium
Perbaiki temuan ini : Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan agar setelan detektor dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat mengupdate detektor Security Health Analytics atau mengupdate postur dan deployment postur. Untuk mengembalikan perubahan, perbarui detektor Analisis Kondisi Keamanan di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Mengaktifkan dan menonaktifkan pendeteksi. Untuk menyetujui perubahan, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi perubahan pada modul kustom Security Health Analytics yang terjadi di luar update postur. Tingkat harga: Premium Perbaiki temuan ini : Temuan ini mengharuskan Anda menyetujui perubahan atau mengembalikan perubahan agar setelan modul kustom di postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui modul kustom Security Health Analytics atau memperbarui postur dan deployment postur. Untuk mengembalikan perubahan, perbarui modul kustom Security Health Analytics di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Memperbarui modul kustom. Untuk menyetujui perubahan, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa modul kustom Security Health Analytics telah dihapus. Penghapusan ini terjadi di luar update postur. Tingkat harga: Premium Perbaiki temuan ini : Temuan ini mengharuskan Anda menyetujui perubahan atau mengembalikan perubahan sehingga setelan modul kustom di postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui modul kustom Security Health Analytics atau memperbarui postur dan deployment postur. Untuk mengembalikan perubahan, perbarui modul kustom Security Health Analytics di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Memperbarui modul kustom. Untuk menyetujui perubahan, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi perubahan pada kebijakan organisasi yang terjadi di luar update postur. Tingkat harga: Premium Perbaiki temuan ini : Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan agar definisi kebijakan organisasi dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk mengatasi temuan ini: Anda dapat memperbarui kebijakan organisasi atau memperbarui postur dan deployment postur. Untuk mengembalikan perubahan, perbarui kebijakan organisasi di konsol Google Cloud . Untuk petunjuknya, lihat Membuat dan mengedit kebijakan. Untuk menyetujui perubahan, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa kebijakan organisasi telah dihapus. Penghapusan ini terjadi di luar update postur. Tingkat harga: Premium Perbaiki temuan ini : Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan agar definisi kebijakan organisasi dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk mengatasi temuan ini: Anda dapat memperbarui kebijakan organisasi atau memperbarui postur dan deployment postur. Untuk mengembalikan perubahan, perbarui kebijakan organisasi di konsol Google Cloud . Untuk petunjuknya, lihat Membuat dan mengedit kebijakan. Untuk menyetujui perubahan, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi perubahan pada kebijakan organisasi kustom yang terjadi di luar update postur. Tingkat harga: Premium Perbaiki temuan ini : Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan agar definisi kebijakan organisasi kustom dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui kebijakan organisasi kustom atau memperbarui postur dan deployment postur. Untuk mengembalikan perubahan, perbarui kebijakan organisasi kustom di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Memperbarui batasan kustom. Untuk menyetujui perubahan, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa kebijakan organisasi kustom telah dihapus. Penghapusan ini terjadi di luar update postur. Tingkat harga: Premium Perbaiki temuan ini : Temuan ini mengharuskan Anda menerima perubahan atau mengembalikan perubahan agar definisi kebijakan organisasi kustom dalam postur dan lingkungan Anda cocok. Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat memperbarui kebijakan organisasi kustom atau memperbarui postur dan deployment postur. Untuk mengembalikan perubahan, perbarui kebijakan organisasi kustom di konsol Google Cloud . Untuk mengetahui petunjuknya, lihat Memperbarui batasan kustom. Untuk menyetujui perubahan, selesaikan langkah-langkah berikut:
|
Resource yang melanggar postur keamanan yang di-deploy
Layanan postur keamanan dan Security Health Analytics menghasilkan temuan berikut, yang mengidentifikasi instance resource yang melanggar postur keamanan yang Anda tetapkan.
| Temuan | Ringkasan |
|---|---|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa subnetwork mengaktifkan alamat IPv6 eksternal. Tingkat harga: Premium Perbaiki temuan ini : Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat menghapus resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur. Untuk menghapus resource, selesaikan langkah-langkah berikut:
Jika Anda ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa subnetwork mengaktifkan alamat IPv6 internal. Tingkat harga: Premium Perbaiki temuan ini : Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat menghapus resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur. Untuk menghapus resource, selesaikan langkah-langkah berikut:
Jika Anda ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa Login OS dinonaktifkan di instance VM. Tingkat harga: Premium Perbaiki temuan ini : Anda memiliki dua opsi untuk mengatasi temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur. Untuk memperbarui resource, selesaikan langkah-langkah berikut:
Jika Anda ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa jaringan yang diizinkan ditambahkan ke instance SQL. Tingkat harga: Premium Perbaiki temuan ini : Temuan ini mengharuskan Anda memperbaiki pelanggaran atau memperbarui postur. Anda memiliki dua opsi untuk mengatasi temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur. Untuk memperbarui resource, selesaikan langkah-langkah berikut:
Jika Anda ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa konektor VPC tidak diaktifkan untuk instance fungsi Cloud Run. Tingkat harga: Premium Perbaiki temuan ini : Anda memiliki dua opsi untuk mengatasi temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur. Untuk memperbarui resource, selesaikan langkah-langkah berikut:
Jika Anda ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa akses port serial ke instance VM diaktifkan. Tingkat harga: Premium Perbaiki temuan ini : Anda memiliki dua opsi untuk mengatasi temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur. Untuk memperbarui resource, selesaikan langkah-langkah berikut:
Jika Anda ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa jaringan default dibuat. Tingkat harga: Premium Perbaiki temuan ini : Anda memiliki dua opsi untuk menyelesaikan temuan ini: Anda dapat menghapus resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur. Untuk menghapus resource, selesaikan langkah-langkah berikut:
Jika Anda ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa layanan Cloud Run tidak mematuhi setelan ingress yang ditentukan. Tingkat harga: Premium Perbaiki temuan ini : Anda memiliki dua opsi untuk mengatasi temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur. Untuk memperbarui resource, selesaikan langkah-langkah berikut:
Jika Anda ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa akses level bucket bersifat terperinci, bukan seragam. Tingkat harga: Premium Perbaiki temuan ini : Anda memiliki dua opsi untuk mengatasi temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur. Untuk memperbarui resource, selesaikan langkah-langkah berikut:
Jika Anda ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:
|
|
Deskripsi temuan: Layanan postur keamanan mendeteksi bahwa layanan Cloud Run tidak mematuhi setelan keluar yang ditentukan. Tingkat harga: Premium Perbaiki temuan ini : Anda memiliki dua opsi untuk mengatasi temuan ini: Anda dapat memperbarui resource yang melanggar, atau Anda dapat memperbarui postur dan men-deploy ulang postur. Untuk memperbarui resource, selesaikan langkah-langkah berikut:
Jika Anda ingin mempertahankan resource dalam konfigurasi yang sama, Anda harus memperbarui postur. Untuk memperbarui postur, selesaikan langkah-langkah berikut:
|
Model Armor
Model Armor adalah layanan terkelola Google Cloud sepenuhnya yang meningkatkan keamanan dan keselamatan aplikasi AI dengan menyaring perintah dan respons LLM untuk berbagai risiko keamanan dan keselamatan.
Temuan Model Armor
Tabel berikut mencantumkan temuan Security Command Center yang dihasilkan oleh Model Armor.
| Temuan | Ringkasan |
|---|---|
|
Deskripsi temuan: Pelanggaran setelan batas bawah yang terjadi saat template Model Armor gagal memenuhi standar keamanan minimum yang ditentukan oleh setelan batas bawah hierarki resource. Tingkat harga: Premium
Temuan ini mengharuskan Anda memperbarui template Model Armor agar sesuai dengan setelan batas bawah yang ditentukan di hierarki resource. |
Meninjau temuan di konsol Google Cloud
- Di konsol Google Cloud , buka halaman Temuan di Security Command Center.
- Pilih project atau organisasi Google Cloud Anda.
- Di bagian Quick filters, di subbagian Source display name, pilih Model Armor. Hasil kueri temuan diperbarui untuk menampilkan hanya temuan dari sumber ini.
- Untuk melihat detail temuan tertentu, klik nama temuan di kolom Kategori. Panel detail untuk temuan akan terbuka dan menampilkan tab Ringkasan.
- Di tab Ringkasan, tinjau detail temuan, termasuk informasi tentang apa yang terdeteksi, resource yang terpengaruh, dan langkah-langkah yang dapat Anda lakukan untuk memperbaiki temuan tersebut.
- Opsional: Untuk melihat definisi JSON lengkap temuan, klik tab JSON.
Memperbaiki temuan Model Armor
Temuan FLOOR_SETTINGS_VIOLATION menunjukkan bahwa template Model Armor gagal memenuhi standar keamanan minimum yang ditentukan oleh setelan dasar hierarki resource.
Untuk memperbaiki temuan ini, lakukan hal berikut:
- Di konsol Google Cloud , buka halaman Model Armor.
- Pastikan Anda melihat project tempat Anda mengaktifkan Model Armor. Halaman Model Armor ditampilkan dengan mencantumkan template yang dibuat untuk project Anda.
- Klik template yang ingin Anda ubah.
- Ubah template sesuai dengan setelan lantai yang ditentukan di hierarki resource.
- Klik Simpan.
VM Manager
VM Manager adalah serangkaian alat yang dapat digunakan untuk mengelola sistem operasi untuk fleet virtual machine (VM) besar yang menjalankan Windows dan Linux di Compute Engine.
Jika Anda mengaktifkan VM Manager dengan Security Command Center Premium di level organisasi, VM Manager akan menulis temuan dari laporan kerentanannya, yang masih dalam pratinjau, ke Security Command Center. Laporan mengidentifikasi kerentanan di sistem operasi yang diinstal pada VM, termasuk Common Vulnerabilities and Exposures (CVE).
Untuk menggunakan VM Manager dengan aktivasi level project Security Command Center Premium, aktifkan Security Command Center Standard di organisasi induk.
Laporan kerentanan tidak tersedia untuk Security Command Center Standar.
Temuan menyederhanakan proses penggunaan fitur Kepatuhan Patch VM Manager, yang masih dalam pratinjau. Fitur ini memungkinkan Anda melakukan pengelolaan patch di tingkat organisasi di semua project Anda.
Tingkat keparahan temuan kerentanan yang diterima dari
VM Manager selalu CRITICAL atau HIGH.
Temuan VM Manager
Semua kerentanan jenis ini terkait dengan paket sistem operasi yang diinstal di VM Compute Engine yang didukung.
| Pendeteksi | Ringkasan | Setelan pemindaian aset |
|---|---|---|
|
Deskripsi temuan: VM Manager mendeteksi kerentanan dalam paket sistem operasi (OS) terinstal untuk VM Compute Engine. Tingkat harga: Premium Aset yang didukung |
Laporan kerentanan VM Manager menjelaskan kerentanan dalam paket sistem operasi terinstal untuk VM Compute Engine, termasuk Common Vulnerabilities and Exposures (CVE). Untuk mengetahui daftar lengkap sistem operasi yang didukung, lihat Detail sistem operasi. Temuan muncul di Security Command Center segera setelah kerentanan terdeteksi. Laporan kerentanan di VM Manager dibuat sebagai berikut:
|
Meninjau temuan di konsol
Standar atau Premium
- Di konsol Google Cloud , buka halaman Temuan di Security Command Center.
- Pilih project atau organisasi Google Cloud Anda.
- Di bagian Quick filters, di subbagian Source display name, pilih VM Manager. Hasil kueri temuan diperbarui untuk menampilkan hanya temuan dari sumber ini.
- Untuk melihat detail temuan tertentu, klik nama temuan di kolom Kategori. Panel detail untuk temuan akan terbuka dan menampilkan tab Ringkasan.
- Di tab Ringkasan, tinjau detail temuan, termasuk informasi tentang apa yang terdeteksi, resource yang terpengaruh, dan—jika tersedia—langkah-langkah yang dapat Anda lakukan untuk memperbaiki temuan tersebut.
- Opsional: Untuk melihat definisi JSON lengkap dari temuan, klik tab JSON.
Enterprise
- Di konsol Google Cloud , buka halaman Temuan di Security Command Center.
- Pilih Google Cloud organisasi Anda.
- Di bagian Aggregations, klik untuk meluaskan subbagian Source Display Name.
- Pilih VM Manager. Hasil kueri temuan diperbarui untuk hanya menampilkan temuan dari sumber ini.
- Untuk melihat detail temuan tertentu, klik nama temuan di kolom Kategori. Panel detail untuk temuan akan terbuka dan menampilkan tab Ringkasan.
- Di tab Ringkasan, tinjau detail temuan, termasuk informasi tentang apa yang terdeteksi, resource yang terpengaruh, dan—jika tersedia—langkah-langkah yang dapat Anda lakukan untuk memperbaiki temuan tersebut.
- Opsional: Untuk melihat definisi JSON lengkap dari temuan, klik tab JSON.
Memperbaiki temuan VM Manager
Temuan OS_VULNERABILITY menunjukkan bahwa VM Manager menemukan kerentanan dalam paket sistem operasi yang diinstal di VM Compute Engine.
Untuk memperbaiki temuan ini, lakukan hal berikut:
Salin nilai kolom
externalUri. Nilai ini adalah URI untuk halaman info OS instance VM Compute Engine tempat sistem operasi yang rentan diinstal.Terapkan semua patch yang sesuai untuk OS yang ditampilkan di bagian Info dasar. Untuk mengetahui petunjuk tentang cara men-deploy patch, lihat Membuat tugas patch.
Pelajari lebih lanjut aset yang didukung dan setelan pemindaian untuk jenis temuan ini.
Menonaktifkan temuan VM Manager
Anda mungkin ingin menyembunyikan beberapa atau semua temuan VM Manager di Security Command Center jika tidak relevan dengan persyaratan keamanan Anda.
Anda dapat menyembunyikan temuan VM Manager dengan membuat aturan nonaktif dan menambahkan atribut kueri khusus untuk temuan VM Manager yang ingin Anda sembunyikan.
Untuk mengetahui informasi tentang cara membuat aturan penonaktifan, lihat Membuat aturan penonaktifan.
Misalnya, jika Anda ingin menyembunyikan ID CVE tertentu dalam temuan kerentanan VM Manager, pilih Kerentanan > ID CVE, lalu pilih ID CVE yang ingin Anda sembunyikan.
Kolom Findings query untuk aturan senyap Anda akan terlihat seperti berikut:
parent_display_name="VM Manager"
AND vulnerability.cv.id="CVE-2025-26923" OR vulnerability.cve.id="CVE-2025-27635"
Temuan penilaian kerentanan Artifact Registry
Tabel berikut mencantumkan temuan yang memberi tahu Anda tentang potensi kerentanan yang terdeteksi dalam image container Anda. Temuan ini hanya dibuat untuk image container rentan yang disimpan di Artifact Registry dan di-deploy ke salah satu aset berikut:
- Cluster Google Kubernetes Engine
- Layanan Cloud Run
- Tugas Cloud Run
- App Engine
Temuan ini diklasifikasikan sebagai tingkat keparahan HIGH atau CRITICAL.
Untuk mengetahui informasi tentang cara mengaktifkan, menonaktifkan, dan melihat temuan penilaian kerentanan Artifact Registry di konsol Google Cloud , lihat Layanan deteksi penilaian kerentanan Artifact Registry.
| Pendeteksi | Ringkasan |
|---|---|
|
Nama kategori di API: |
Deskripsi temuan: Kerentanan terdeteksi dalam image container yang dipindai di Artifact Registry. Gambar ini di-deploy ke salah satu aset berikut:
Tingkat harga: Standard, Premium, atau Enterprise Perbaiki temuan ini : Bergantung pada jenis resource runtime, lakukan tindakan berikut:
Lihat detail temuan untuk mengetahui langkah-langkah perbaikan spesifik berdasarkan resource runtime yang sesuai. Untuk pelanggan tingkat Standar, penggunaan fitur kueri Aset Cloud Asset Inventory untuk menentukan tempat image container yang rentan di-deploy tidak didukung. Sebaiknya upgrade ke tingkat Premium atau Enterprise untuk mendapatkan informasi yang lebih mendetail. |
Sensitive Data Protection
Bagian ini menjelaskan temuan kerentanan yang dihasilkan oleh Perlindungan Data Sensitif, standar kepatuhan yang didukung, dan cara memperbaiki temuan tersebut.
Sensitive Data Protection juga mengirimkan temuan observasi ke Security Command Center. Untuk mengetahui informasi selengkapnya tentang temuan pengamatan dan Perlindungan Data Sensitif, lihat Perlindungan Data Sensitif.
Untuk mengetahui informasi tentang cara melihat temuan, lihat Meninjau temuan Perlindungan Data Sensitif di konsol Google Cloud .
Temuan kerentanan dari Sensitive Data Protection
Layanan penemuan Sensitive Data Protection membantu Anda menentukan apakah Anda menyimpan data yang sangat sensitif yang tidak dilindungi.
| Kategori | Ringkasan |
|---|---|
|
Deskripsi temuan: Resource yang ditentukan memiliki data sensitivitas tinggi yang dapat diakses oleh siapa saja di internet. Aset yang didukung:
Perbaikan: Untuk data Google Cloud , hapus Untuk data Amazon S3, konfigurasi setelan blokir akses publik atau perbarui ACL objek untuk menolak akses baca publik. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi setelan blokir akses publik untuk bucket S3 dan Mengonfigurasi ACL dalam dokumentasi AWS. Untuk data Azure Blob Storage, hapus akses publik ke kontainer dan blob. Untuk informasi selengkapnya, lihat Ringkasan: Memperbaiki akses baca anonim untuk data blob dalam dokumentasi Azure. Standar kepatuhan: Tidak dipetakan |
|
Deskripsi temuan: Ada secret—seperti sandi, token autentikasi, dan kredensial Google Cloud —dalam variabel lingkungan. Untuk mengaktifkan detektor ini, lihat Melaporkan secret dalam variabel lingkungan ke Security Command Center dalam dokumentasi Sensitive Data Protection. Aset yang didukung: Perbaikan: Untuk variabel lingkungan fungsi Cloud Run, hapus secret dari variabel lingkungan dan simpan di Secret Manager sebagai gantinya. Untuk variabel lingkungan revisi layanan Cloud Run, alihkan semua traffic dari revisi, lalu hapus revisi. Standar kepatuhan:
|
|
Deskripsi temuan: Ada rahasia—seperti sandi, token autentikasi, dan kredensial cloud—di resource yang ditentukan. Aset yang didukung:
Perbaikan:
Standar kepatuhan: Tidak dipetakan |
Temuan miskonfigurasi dari Sensitive Data Protection
Layanan penemuan Sensitive Data Protection membantu Anda menentukan apakah Anda memiliki kesalahan konfigurasi yang dapat mengekspos data sensitif.
| Kategori | Ringkasan |
|---|---|
|
Deskripsi temuan: Resource yang ditentukan memiliki data dengan sensitivitas tinggi atau sedang dan resource tersebut tidak menggunakan kunci enkripsi yang dikelola pelanggan (CMEK). Aset yang didukung:
Perbaikan:
Standar kepatuhan: Tidak dipetakan |
Pengontrol Kebijakan
Pengontrol Kebijakan memungkinkan penerapan dan penegakan kebijakan yang dapat diprogram untuk cluster Kubernetes Anda yang terdaftar sebagai keanggotaan fleet. Kebijakan ini bertindak sebagai penjaga dan dapat membantu dengan praktik terbaik, keamanan, dan manajemen kepatuhan cluster serta fleet Anda.
Halaman ini tidak mencantumkan semua temuan Policy Controller satu per satu, tetapi informasi tentang temuan kelas Misconfiguration yang ditulis Policy Controller ke Security Command Center sama dengan pelanggaran cluster yang didokumentasikan untuk setiap paket Policy Controller. Dokumentasi untuk setiap jenis temuan Policy Controller ada dalam paket Policy Controller berikut:
CIS Kubernetes Benchmark v1.5.1, serangkaian rekomendasi untuk mengonfigurasi Kubernetes guna mendukung postur keamanan yang kuat. Anda juga dapat melihat informasi tentang paket ini di repositori GitHub untuk
cis-k8s-v1.5.1.PCI-DSS v3.2.1, paket yang mengevaluasi kepatuhan resource cluster Anda terhadap beberapa aspek Standar Keamanan Data Industri Kartu Pembayaran (PCI-DSS) v3.2.1. Anda juga dapat melihat informasi tentang paket ini di repositori GitHub untuk
pci-dss-v3.
Kemampuan ini tidak kompatibel dengan perimeter layanan Kontrol Layanan VPC di sekitar Stackdriver API.
Menemukan dan memperbaiki temuan Policy Controller
Kategori Pengontrol Kebijakan sesuai dengan nama batasan yang tercantum dalam
dokumentasi paket Pengontrol Kebijakan. Misalnya, temuan
require-namespace-network-policies
menunjukkan bahwa namespace melanggar kebijakan bahwa setiap namespace di
cluster memiliki NetworkPolicy.
Untuk memperbaiki temuan, lakukan hal berikut:
Standar atau Premium
- Di konsol Google Cloud , buka halaman Temuan di Security Command Center.
- Pilih project atau organisasi Google Cloud Anda.
- Di bagian Quick filters, di subbagian Source display name, pilih Policy Controller On-Cluster. Hasil kueri temuan diperbarui untuk menampilkan hanya temuan dari sumber ini.
- Untuk melihat detail temuan tertentu, klik nama temuan di kolom Kategori. Panel detail untuk temuan akan terbuka dan menampilkan tab Ringkasan.
- Di tab Ringkasan, tinjau detail temuan, termasuk informasi tentang apa yang terdeteksi, resource yang terpengaruh, dan—jika tersedia—langkah-langkah yang dapat Anda lakukan untuk memperbaiki temuan tersebut.
- Opsional: Untuk melihat definisi JSON lengkap dari temuan, klik tab JSON.
Enterprise
- Di konsol Google Cloud , buka halaman Temuan di Security Command Center.
- Pilih Google Cloud organisasi Anda.
- Di bagian Aggregations, klik untuk meluaskan subbagian Source Display Name.
- Pilih Policy Controller On-Cluster. Hasil kueri temuan diperbarui untuk hanya menampilkan temuan dari sumber ini.
- Untuk melihat detail temuan tertentu, klik nama temuan di kolom Kategori. Panel detail untuk temuan akan terbuka dan menampilkan tab Ringkasan.
- Di tab Ringkasan, tinjau detail temuan, termasuk informasi tentang apa yang terdeteksi, resource yang terpengaruh, dan—jika tersedia—langkah-langkah yang dapat Anda lakukan untuk memperbaiki temuan tersebut.
- Opsional: Untuk melihat definisi JSON lengkap dari temuan, klik tab JSON.
Langkah berikutnya
Pelajari cara menggunakan Security Health Analytics.
Pelajari cara menggunakan Web Security Scanner.
Baca saran untuk memperbaiki temuan Security Health Analytics dan memperbaiki temuan Web Security Scanner.