Häufig gestellte Fragen

Die Security Command Center API enthält eine Benachrichtigungsfunktion, die Informationen an ein Pub/Sub-Thema sendet, um innerhalb von Minuten Ergebnisse und neue Ergebnisse bereitzustellen. Benachrichtigungen enthalten alle Ergebnisinformationen, die in der Google Cloud Console angezeigt werden. Weitere Informationen finden Sie unter Ergebnisbenachrichtigungen einrichten.

Das Security Command Center bietet auch eine App Engine-Anwendung, mit der Sie benutzerdefinierte Abfragen für die Notifier-App definieren können. Die Notifier-App und andere Security Command Center-Tools werden nicht mehr verwendet, da alle Funktionen zu Security Command Center hinzugefügt wurden. Derzeit können Sie die Anwendung verwenden, um Ihre Abfragen in einem benutzerdefinierten Pub/Sub-Thema zu veröffentlichen und den Feed in E-Mails und SMS einzubinden. Support wird nur auf Best-Effort-Basis für alle Security Command Center-Tools angeboten.

Ihre Firewallregel kann einen Zielport enthalten, der explizit keine Ergebnisse liefert.

Es können verschiedene Gründe vorliegen, warum Ergebnisse nicht erstellt werden. Die Firewallregel kann als DENY-Regel konfiguriert werden. Ihre Firewallregel lässt möglicherweise Netzwerktraffic zu, der Protokolle oder Ports verwendet, die explizit vom Modul ignoriert werden. Ergebnisse werden für Regeln erstellt, die Traffic von beliebigen IP-Adressen (0.0.0.0/0) eines beliebigen Protokolls oder zu jedem Port (anwendbar für TCP-, UDP- und SCTP-Protokolle) ermöglichen. Es gelten die unten genannten Ausnahmen.

Für die folgenden Protokolle werden keine Ergebnisse erstellt:

• ICMP
• TCP 443 (HTTPS)
• TCP 22 (SSH)
• SCTP 22 (SSH)
• TCP 3389 (RDP)
• UDP 3389 (RDP)

Der Typ eines Ergebnisses bestimmt, ob das Feld state eines Ergebnisses in Security Command Center nach der Behebung automatisch auf INACTIVE gesetzt wird. In der folgenden Liste werden die verschiedenen Arten von Sicherheitslücken beschrieben und angegeben, ob der Status der Sicherheitslücke im Security Command Center automatisch auf INACTIVE gesetzt wird oder nicht:

Sicherheitslücken werden automatisch auf INACTIVE aktualisiert, sobald die Schritte zur Behebung der Sicherheitslücken abgeschlossen sind. Sicherheitslücken werden auch automatisch auf INACTIVE aktualisiert, wenn das betroffene Asset gelöscht wird. Security Health Analytics- und Web Security Scanner-Detektoren generieren Sicherheitslücken, die in Security Command Center verfügbar sind. Wenn sie im Security Command Center aktiviert sind, generieren integrierte Dienste wie VM Manager auch Sicherheitslücken.

Sicherheitsbedrohungen stellen die Beobachtung eines oder mehrerer Ereignisse dar, z. B. die Ausführung eines Prozesses oder die Initiierung einer Netzwerkverbindung.

Nachdem eine Bedrohungsmeldung behoben wurde, wird der Wert für state in Security Command Center nicht automatisch auf INACTIVE gesetzt. Der Status einer Bedrohungsmeldung bleibt aktiv, es sei denn, Sie ändern den Status manuell.

Bedrohungen unterscheiden sich von Sicherheitslücken dadurch, dass sie dynamisch sind und darauf hindeuten, dass eine oder mehrere Ressourcen aktiv genutzt werden können. Das Sicherheitspersonal muss daher die Informationen in den Ergebnissen von Security Command Center verwenden, um die besten Möglichkeiten zur Behebung von Problemen und zum Schutz von Ressourcen vor zukünftigen Angriffen zu ermitteln.

Wenn Sie bei Ihrer Untersuchung feststellen, dass ein Sicherheitsrisiko ein falscher Alarm ist, können Sie stattdessen eine Stummschaltungsregel für das Ergebnis erstellen und den Status bei ACTIVE belassen.

Fehlerbefunde werden automatisch als INACTIVE gekennzeichnet, sobald Probleme in der Konfiguration behoben wurden. Fehlerdetektoren generieren Ergebnisse, die auf Probleme in der Konfiguration Ihrer Security Command Center-Umgebung verweisen. Diese Konfigurationsprobleme verhindern, dass Dienste (auch als Ergebnisanbieter oder Quellen bezeichnet) Ergebnisse generieren.