Nesta página, explicamos como reduzir o volume de descobertas recebidas no Security Command Center silenciando as descobertas.
A desativação de uma descoberta a oculta da visualização padrão das suas descobertas no consoleGoogle Cloud . É possível ignorar descobertas manual ou programaticamente e criar filtros para silenciar automaticamente as descobertas atuais e futuras com base nos critérios especificados por você.
Os serviços de detecção do Security Command Center oferecem avaliações de segurança amplas da implantação do Google Cloud , mas talvez você descubra que determinadas descobertas não são apropriadas ou relevantes para sua organização ou projetos. Um grande volume de descobertas também pode dificultar a identificação e a correção dos riscos mais críticos pelos analistas de segurança. As descobertas de silenciamento economizam tempo de análise ou resposta a descobertas de segurança para recursos isolados ou que se enquadram em parâmetros comerciais aceitáveis.
A desativação de descobertas tem várias vantagens em relação à desativação de detectores:
- Você pode criar filtros personalizados para ajustar quais descobertas são silenciadas.
- É possível usar regras de silenciamento para silenciar descobertas temporária ou indefinidamente.
- Ignorar as descobertas não impede que os recursos subjacentes sejam verificados. As descobertas ainda serão geradas, mas permanecerão ocultas até que você decida visualizá-las.
Permissões
Para usar as descobertas de silenciamento, você precisa de um dos seguintes papéis de gerenciamento de identidade e acesso (IAM) na organização, pasta ou projeto } nível:
- Ver regras de silenciamento:
- Leitor administrador da Central de segurança (
roles/securitycenter.adminViewer
) - Leitor de configurações da Central de segurança (
roles/securitycenter.settingsViewer
) - Leitor de configurações de desativação de som da Central de segurança (
roles/securitycenter.muteConfigsViewer
)
- Leitor administrador da Central de segurança (
- Veja, crie, atualize e exclua regras de silenciamento:
- Administrador da Central de segurança (
roles/securitycenter.admin
) - Editor administrador da Central de segurança (
roles/securitycenter.adminEditor
) - Editor de configurações da Central de segurança
(
roles/securitycenter.settingsEditor
) - Editor de configurações de desativação de sons da Central de segurança
(
roles/securitycenter.muteConfigsEditor
)
- Administrador da Central de segurança (
- Silenciar descobertas manualmente:
- Editor de descobertas da Central de segurança
(
roles/securitycenter.findingsEditor
)
- Editor de descobertas da Central de segurança
(
Também é possível criar e conceder papéis personalizados com algumas ou todas as seguintes permissões:
- Permissões de leitura da regra de silenciamento
securitycenter.muteconfigs.get
securitycenter.muteconfigs.list
- Permissões de gravação da regra de silenciamento
securitycenter.muteconfigs.create
securitycenter.muteconfigs.update
securitycenter.muteconfigs.delete
- Como encontrar permissões de gravação
securitycenter.findings.setMute
securitycenter.findings.bulkMuteUpdate
O recurso de silenciar descobertas adere aos papéis concedidos no nível da organização, da pasta ou do projeto. É possível silenciar descobertas em pastas ou projetos específicos e restringir a capacidade de outras pessoas de ignorar descobertas com base no acesso concedido a elas. Por exemplo, se você tiver acesso a um único projeto, só será possível silenciar as descobertas nesse projeto. Se você tiver acesso a uma pasta, poderá ignorar as descobertas em qualquer subpasta ou projeto dentro dela.
Para saber mais sobre os papéis do Security Command Center, consulte Controle de acesso.
Criar e gerenciar regras de silenciamento
As regras de silenciamento são configurações do Security Command Center que usam filtros criados para ignorar automaticamente as descobertas futuras e atuais com base nos critérios especificados por você. Você pode criar filtros com regras de silenciamento estáticas ou dinâmicas.
As regras de silenciamento estático silenciam as descobertas futuras por tempo indeterminado. As regras de desativação dinâmica silenciam descobertas futuras e atuais temporariamente até uma data especificada ou por tempo indeterminado até que uma descoberta não corresponda mais à configuração.
Tipos de regras de silenciamento
O Security Command Center é compatível com configurações de regras de silenciamento estáticas e dinâmicas. Embora seja possível usar regras de silenciamento estáticas e dinâmicas simultaneamente, não recomendamos isso. As regras de silenciamento estático substituem as dinâmicas quando são aplicadas à mesma descoberta. Como resultado, as regras de silenciamento dinâmico não vão funcionar como esperado, o que pode gerar confusão ao gerenciar suas descobertas. Por isso, recomendamos que você use apenas um tipo de regra de silenciamento.
A menos que você já esteja usando regras de silenciamento estáticas, recomendamos usar apenas as dinâmicas, porque elas oferecem mais flexibilidade.
A tabela a seguir oferece uma comparação geral dos dois tipos de regras de silenciamento. Para mais detalhes, consulte Regras de silenciamento estáticas e Regras de silenciamento dinâmicas.
Regras de silenciamento estáticas | Regras de silenciamento dinâmicas |
---|---|
Agir indefinidamente com base nas descobertas. | Pode agir em uma descoberta temporariamente com um prazo de validade ou indefinidamente se nenhum prazo de validade for definido. |
Não se aplicam a descobertas atuais. | Aplicar a descobertas novas e atuais. |
Ter precedência sobre as regras de silenciamento dinâmicas. | Têm uma prioridade menor e são substituídas por regras de silenciamento estático quando ambos os tipos se aplicam a uma descoberta. |
Regras de silenciamento estáticas
- As regras de silenciamento estáticas funcionam por tempo indeterminado. Quando uma descoberta corresponde à sua configuração de
silenciamento estático, o Security Command Center define automaticamente a propriedade
mute
da descoberta comoMUTED
até que você a mude manualmente. - As regras de silenciamento estático não afetam as descobertas atuais, a menos que sejam criadas usando o console Google Cloud . Nesse caso, a regra silencia as descobertas atuais de forma retroativa. Caso contrário, elas só se aplicam a descobertas criadas ou atualizadas depois que a regra é definida. Se você também quiser silenciar descobertas existentes semelhantes sem usar o console Google Cloud , use os mesmos filtros para silenciar descobertas em massa.
- As regras de silenciamento estático têm precedência sobre as dinâmicas. Portanto, todas as novas descobertas que corresponderem a uma regra de silenciamento estático definida serão consideradas silenciadas, mesmo que também correspondam a uma regra de silenciamento dinâmico definida.
Regras de silenciamento dinâmicas
- As regras de silenciamento dinâmico podem agir em uma descoberta temporariamente com um prazo de validade ou indefinidamente se nenhum prazo for definido. Quando uma descoberta existente ou recém-criada corresponde à sua configuração de exclusão dinâmica, o Security Command Center define automaticamente a propriedade
mute
da descoberta comoMUTED
até a data de expiração especificada ou até que haja mudanças na descoberta ou na configuração. Quando uma regra de silenciamento dinâmico expira, o Security Command Center remove a regra da descoberta. Se a descoberta não corresponder a nenhuma outra regra de silenciamento dinâmico, a propriedademute
será redefinida automaticamente paraUNDEFINED
. - As regras de desativação de som dinâmicas são aplicadas automaticamente às descobertas atuais que correspondem à sua configuração, bem como às descobertas recém-criadas ou atualizadas.
- As regras de exclusão dinâmica têm uma prioridade menor e são substituídas pelas regras de exclusão estática quando ambos os tipos se aplicam a uma descoberta.
Recomendamos usar apenas regras de desativação dinâmica. A capacidade de silenciar e ativar o som das descobertas temporariamente torna as regras de silenciamento dinâmicas uma opção mais flexível do que as estáticas.
Se você estiver usando regras de silenciamento estático para reduzir o número de descobertas que analisa manualmente e quiser migrar para regras de silenciamento dinâmico, consulte Migrar de regras de silenciamento estático para dinâmico.
Escopo das regras de silenciamento
Considere o escopo de uma regra de silenciamento ao criar filtros.
Por exemplo, se um filtro for gravado para silenciar as descobertas em Project A
, mas o próprio filtro for criado em Project B
, o filtro poderá não corresponder a nenhuma descoberta.
Da mesma forma, se a residência de dados estiver ativada, o escopo de uma regra de silenciamento será limitado ao local do Security Command Center em que ela foi criada. Por exemplo, se você criar uma regra de silenciamento no local Estados Unidos (us
), ela não vai silenciar descobertas armazenadas no local União Europeia (eu
).
Para mais informações sobre como criar filtros, consulte Como filtrar notificações.
Restrições da regra de silenciamento
As regras de silenciamento não são compatíveis com todas as propriedades de descoberta. Para ver uma lista de propriedades que não são compatíveis com as regras de desativação de som, consulte Propriedades de descoberta não compatíveis com regras de silenciamento.
É possível criar, visualizar, atualizar e excluir regras de silenciamento com base no escopo dos papéis do IAM. Com os papéis no nível da organização, você vê regras de silenciamento para todas as pastas e projetos dentro da organização. Se você tiver papéis no nível da pasta, poderá acessar e gerenciar regras de silenciamento para pastas específicas e todas as subpastas e projetos dentro dessas pastas. Os papéis no nível do projeto permitem gerenciar regras de silenciamento em projetos específicos.
O Security Command Center Premium é compatível com a concessão de papéis nos níveis da organização, pasta e projeto. O Security Command Center Standard aceita apenas papéis no nível da organização. Para mais informações, consulte Controle de acesso.
Residência de dados e regras de silenciamento
Se a residência de dados estiver ativada, as configurações que definem regras de exclusão de alertas (recursos muteConfig
) estarão sujeitas aos controles de residência de dados e serão armazenadas em um local do Security Command Center selecionado por você.
Para aplicar uma regra de silenciamento às descobertas em um local do Security Command Center, crie a regra no mesmo local das descobertas a que ela se aplica.
Como os filtros usados nas regras de silenciamento podem conter dados sujeitos a controles de residência, especifique o local correto antes de criar. O Security Command Center não restringe o local em que você cria regras de exclusão ou exportações de streaming.
As regras de silenciamento são armazenadas apenas no local em que foram criadas e não podem ser visualizadas ou editadas em outros locais.
Depois de criar uma regra de silenciamento, não é possível mudar o local dela. Para mudar o local, exclua a regra de silenciamento e crie outra no novo local.
Para saber como usar o Security Command Center quando a residência de dados está ativada, consulte Endpoints regionais do Security Command Center.
Criar uma regra para ignorar
Sua organização pode criar no máximo 1.000 regras de silenciamento.
Recomendamos usar regras de silenciamento dinâmicas exclusivamente nas configurações de regras de silenciamento, porque elas são mais flexíveis do que as estáticas. Para uma comparação dos tipos de regras de silenciamento, consulte Tipos de regras de silenciamento.
Para criar uma regra de silenciamento, clique na guia do procedimento que você quer usar:
Console
Para criar uma regra de silenciamento usando o console Google Cloud , clique na guia da sua camada de serviço:
Padrão ou Premium
No console do Google Cloud , acesse a página Descobertas do Security Command Center.
Se necessário, selecione seu projeto ou organização do Google Cloud .
Clique em Opções de silenciamento e selecione Gerenciar regras de silenciamento.
Clique em Criar regra de silenciamento.
Digite um ID da regra de silenciamento. Esse valor é obrigatório.
Insira uma descrição de regra de silenciamento que forneça contexto para explicar por que as descobertas são silenciadas. Esse valor é opcional, mas recomendado.
Confirme o escopo da regra de exclusão verificando o valor do Recurso principal.
Se você estiver criando uma regra de silenciamento estática ou dinâmica sem expiração, siga para a próxima etapa. Se você estiver criando uma regra de desativação de som dinâmica para desativar temporariamente as descobertas, siga estas etapas:
- Marque a caixa de seleção Silenciar descobertas correspondentes temporariamente.
- Selecione ou insira a data de expiração da regra de silenciamento dinâmico. Esse valor indica por quanto tempo a regra vai silenciar as descobertas correspondentes.
No campo Consulta de descobertas, crie as instruções de consulta clicando em Adicionar filtro. Como alternativa, é possível digitar as instruções de consulta manualmente.
A caixa de diálogo Selecionar filtro permite escolher os atributos e valores de descoberta suportados.
- Selecione um atributo de descoberta ou digite um nome na caixa Pesquisar atributos de descoberta. Uma lista dos subatributos disponíveis será exibida.
- Selecione um subatributo. Um campo de seleção aparece para que você possa criar a instrução de consulta usando o subatributo selecionado, um operador de consulta e um ou mais valores para o subatributo.
- Selecione o operador e um ou mais valores para o subatributo no painel. Para mais informações sobre operadores de consulta e funções que eles usam, consulte Operadores de consulta no menu "Adicionar filtros".
- Clique em Aplicar.
A caixa de diálogo será fechada, e a consulta será atualizada.
- Repita até que a consulta de descobertas contenha todos os atributos que você quer.
Clique em Visualizar descobertas correspondentes. Uma tabela mostra descobertas que correspondem à sua consulta.
Clique em Salvar.
Enterprise
- No console do Google Cloud , acesse a página Descobertas do Security Command Center.
- Se necessário, selecione seu projeto ou organização do Google Cloud .
- Selecione pelo menos uma descoberta.
- Clique em Opções de silenciamento e selecione Ver regras de silenciamento.
- Clique em Criar regra de silenciamento.
- Digite um ID da regra de silenciamento. Esse valor é obrigatório.
- Insira uma descrição de regra de silenciamento que forneça contexto para explicar por que as descobertas são silenciadas. Esse valor é opcional, mas recomendado.
- Confirme o escopo da regra de exclusão verificando o valor do Recurso principal.
- Se você estiver criando uma regra de silenciamento estática ou dinâmica sem expiração, siga para a próxima etapa. Se você estiver criando uma regra de desativação dinâmica para desativar temporariamente as descobertas, siga estas etapas:
- Marque a caixa de seleção Silenciar descobertas correspondentes temporariamente.
- Selecione ou insira a data de expiração da regra de silenciamento dinâmico. Esse valor indica por quanto tempo a regra vai silenciar as descobertas correspondentes.
- No campo Consulta de descobertas, crie as instruções de consulta clicando em Adicionar filtro. Como alternativa, é possível digitar as instruções de consulta manualmente.
A caixa de diálogo Selecionar filtro permite escolher os atributos e valores de descoberta suportados.
- Selecione um atributo de descoberta ou digite um nome na caixa Pesquisar atributos de descoberta. Uma lista dos subatributos disponíveis será exibida.
- Selecione um subatributo. Um campo de seleção aparece para que você possa criar a instrução de consulta usando o subatributo selecionado, um operador de consulta e um ou mais valores para o subatributo.
- Selecione o operador e um ou mais valores para o subatributo no painel. Para mais informações sobre operadores de consulta e funções que eles usam, consulte Operadores de consulta no menu "Adicionar filtros".
- Clique em Aplicar.
A caixa de diálogo será fechada, e a consulta será atualizada.
- Repita até que a consulta de descobertas contenha todos os atributos que você quer.
- Clique em Visualizar descobertas correspondentes. Uma tabela mostra descobertas que correspondem à sua consulta.
- Clique em Save.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Para criar regras de silenciamento, execute o comando
gcloud scc muteconfigs create
:gcloud scc muteconfigs create CONFIG_ID \ --PARENT=PARENT_ID \ --location=LOCATION \ --description="RULE_DESCRIPTION" \ --filter="FILTER" \ --type=MUTE_TYPE \ --expiry-time=TIMESTAMP
Substitua:
CONFIG_ID
: o nome da regra de silenciamento. O ID precisa usar caracteres alfanuméricos e hifens e ter entre 1 e 63 caracteres.PARENT
: o escopo na hierarquia de recursos a que a regra de silenciamento se aplica,organization
,folder
ouproject
.PARENT_ID
: o ID numérico da organização, pasta ou projeto pai, ou o ID alfanumérico do projeto pai.LOCATION
: o local do Security Command Center em que criar uma regra de exclusão de alertas. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.RULE_DESCRIPTION
: uma descrição da regra de silenciamento de no máximo 1.024 caracteres.FILTER
: a expressão definida para filtrar descobertas. Por exemplo, para silenciar descobertasOPEN_FIREWALL
, seu filtro pode serFILTER="category=\"OPEN_FIREWALL\""
.MUTE_TYPE
: o tipo de regra de silenciamento que você quer criar. Os tipos válidos de regras de silenciamento sãoDYNAMIC
eSTATIC
. Por padrão, o tipo de regra de silêncio é definido comoSTATIC
. Não é possível mudar o tipo de uma regra de desativação após a criação.TIMESTAMP
: só se aplica se você estiver criando uma regra de silenciamento dinâmico. A string de data/hora que indica quando a regra de desativação dinâmica expira. O valor precisa ser definido para pelo menos um dia no futuro, caso contrário, a solicitação será rejeitada. Para informações sobre formatos de tempo, consultegcloud topic datetimes
. Quando uma regra de exclusão dinâmica expira, ela é removida de todas as descobertas correspondentes. Se você quiser que a regra de silenciamento dinâmico funcione indefinidamente em descobertas correspondentes, omita esse campo.
A resposta inclui o ID da regra de silenciamento, que pode ser usado para ver, atualizar e excluir regras de silenciamento, conforme descrito em Gerenciar regras de silenciamento.
Terraform
Crie uma regra de silenciamento para uma organização:
Criar uma regra para ignorar uma pasta:
Crie uma regra de silenciamento para um projeto:
Go
Java
Python
REST
Na API Security Command Center, use o método
muteConfigs.create
para criar uma regra de exclusão. O corpo da solicitação é uma instância de MuteConfig
:
POST https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/locations/LOCATION/muteConfigs?muteConfigId=MUTE_CONFIG_ID -d { "description": "RULE_DESCRIPTION", "filter": "FILTER", "type": "MUTE_TYPE", "expiryTime": "TIMESTAMP" }
Substitua:
PARENT
: o recurso pai da regra de silenciamento (organizations
,folders
ouprojects
);PARENT_ID
: o ID da organização, pasta ou projeto paiLOCATION
: o local do Security Command Center em que uma regra de exclusão será criada. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.MUTE_CONFIG_ID
: o nome da regra de silenciamento (entre 1 e 63 caracteres).RULE_DESCRIPTION
: uma descrição da regra de silenciamento (máximo de 1.024 caracteres).FILTER
: a expressão definida para filtrar descobertasPor exemplo, para silenciar descobertas
OPEN_FIREWALL
, seu filtro pode ser"category=\"OPEN_FIREWALL\""
.MUTE_TYPE
: o tipo de regra de silenciamento que você quer criar. Os tipos válidos de regras de silenciamento sãoDYNAMIC
eSTATIC
. Não é possível mudar o tipo de uma regra de silenciamento depois de criá-la.TIMESTAMP
: só se aplica se você estiver criando uma regra de silenciamento dinâmico. A string de data/hora que indica quando a regra de desativação dinâmica expira. O valor precisa ser definido para pelo menos um dia no futuro, caso contrário, a solicitação será rejeitada. Para informações sobre formatos de tempo, consultegcloud topic datetimes
. Quando uma regra de exclusão dinâmica expira, ela é removida de todas as descobertas correspondentes. Se você quiser que a regra de silenciamento dinâmico funcione indefinidamente em descobertas correspondentes, omita esse campo.
A resposta inclui o ID de configuração de desativação de som que pode ser usado para ver, atualizar e excluir regras de desativação de som, conforme descrito em Gerenciar regras de desativação de som.
Novas descobertas que correspondem exatamente ao filtro estão ocultas, e o atributo mute
para as descobertas é definido como MUTED
.
Não há suporte para as propriedades de descoberta nas regras de silenciamento
As regras de silenciamento não são compatíveis com todas as propriedades de descoberta em filtros. Abra a seção a seguir para conferir a lista de propriedades que não são compatíveis com filtros de regras de silenciamento.
Propriedades de descoberta sem suporte
caiResource
canonicalName
createTime
description
eventTime
externalUri
gcpMetadata.folders
1libraryPaths
mute
muteAnnotation
muteInfo
muteInitiator
muteUpdateTime
name
nextSteps
originalProviderId
parent
processes.binaryPath
processes.libraryPaths
propertyDataTypes
resourceName
securityMarks
sourceProperties
state
workflowState
1: a propriedade gcpMetadata.folders
contém subcampos compatíveis com filtros de silenciamento.
Listar regras de silenciamento
É possível listar as regras de exclusão em uma organização, pasta ou projeto usando o console Google Cloud , a CLI gcloud ou a API Security Command Center.
A capacidade de listar regras de silenciamento para um determinado escopo depende das permissões concedidas aos seus papéis do IAM.
Se a residência de dados estiver ativada para o Security Command Center, o escopo do comando list também será limitado ao local do Security Command Center selecionado.
Para um exemplo de código que lista regras de silenciamento, consulte Listar regras de silenciamento.
Para listar as regras de silenciamento de uma organização, pasta ou projeto, clique na guia do procedimento que você quer usar:
Console
No console do Google Cloud , acesse a guia Regras de desativação na página Configurações do Security Command Center.
Se necessário, selecione seu projeto ou organização do Google Cloud .
Na seção Ignorar regras, você vê detalhes sobre as regras de silenciamento ativas, incluindo o seguinte:
- Nome: ID da regra de silenciamento
- Recurso pai: o recurso no qual a regra para silenciar fica.
- Descrição: a descrição da regra de silenciamento, se disponível
- Última atualização feita por: o principal que atualizou a regra pela última vez.
- Última atualização: a data e a hora em que a regra foi atualizada pela última vez
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Para listar regras de silenciamento, execute o comando
gcloud scc muteconfigs list
:gcloud scc muteconfigs list --PARENT=PARENT_ID \ --location=LOCATION
Substitua:
PARENT
: oorganization
,folder
ouproject
principal para listar regras de silenciamentoPARENT_ID
: o ID da organização, pasta ou projeto paiLOCATION
: o local do Security Command Center em que listar as regras de exclusão temporária. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.
Go
Java
Python
REST
Na API Security Command Center, use o método
muteConfigs.list
para listar regras de exclusão:
GET https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/locations/LOCATION/muteConfigs
Substitua:
PARENT
: o recurso pai da regra de silenciamento (organizations
,folders
ouprojects
);PARENT_ID
: o ID da organização, pasta ou projeto paiLOCATION
: o local do Security Command Center em que listar as regras de exclusão temporária. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.
A resposta inclui os nomes, as descrições e os códigos de configuração de desativação de som das regras de silenciamento.
Ver a configuração de uma regra de silenciamento
É possível conferir uma configuração de regra de exclusão usando o console Google Cloud , a CLI gcloud ou a API Security Command Center.
Para ver um exemplo de código que recupera uma configuração de regra de silenciamento, consulte Ver uma regra de silenciamento.
Para ver a configuração de uma regra de silenciamento, clique na guia do procedimento que você quer usar:
Console
No console do Google Cloud , acesse a guia Regras de desativação na página Configurações do Security Command Center.
Se necessário, selecione seu projeto ou organização do Google Cloud .
Na seção Ignorar regras, você vê uma lista das regras de silenciamento.
Clique no nome da regra que você quer ver.
Uma página é aberta com a configuração da regra de silenciamento.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Para conferir a configuração de uma regra de silenciamento, execute o comando
gcloud scc muteconfigs get
:gcloud scc muteconfigs get MUTE_CONFIG_ID \ --PARENT=PARENT_ID --location=LOCATION
Substitua:
MUTE_CONFIG_ID
: o ID da regra de silenciamentoPARENT
: o recurso pai da regra de silenciamento (organization
,folder
ouproject
);PARENT_ID
: o ID da organização, pasta ou projetoLOCATION
: o local do Security Command Center em que a configuração da regra de exclusão temporária será exibida. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.
Go
Java
Python
REST
Na API Security Command Center, use o método
muteConfigs.get
para retornar a configuração de uma regra de exclusão:
GET https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/locations/LOCATION/muteConfigs/CONFIG_ID
Substitua:
PARENT
: o recurso pai da regra de silenciamento (organizations
,folders
ouprojects
);PARENT_ID
: o ID da organização, pasta ou projetoLOCATION
: o local do Security Command Center em que a configuração da regra de exclusão temporária será exibida. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.CONFIG_ID
: o ID numérico da regra de silenciamento
Atualizar regras de silenciamento
É possível atualizar a descrição ou o filtro de descobertas de uma regra de silenciamento usando o console Google Cloud , a CLI gcloud ou a API Security Command Center.
Não é possível mudar o ID, a organização, a pasta ou o projeto pai, nem o local de uma regra de silenciamento. Para mudar qualquer um desses valores, crie uma nova regra de silenciamento.
Se você ativou as descobertas anteriormente, elas serão desativadas novamente se forem correspondidas por uma regra de desativação atualizada no console do Google Cloud . Para mais informações, consulte Ativar descobertas individuais.
Para ver um exemplo de código que atualiza uma regra de silenciamento, consulte Atualizar uma regra de silenciamento.
Para atualizar uma regra de silenciamento, clique na guia do procedimento que você quer usar:
Console
No console do Google Cloud , acesse a guia Regras de desativação na página Configurações do Security Command Center.
Selecione o projeto ou a organização Google Cloud que é o recurso pai da regra de silenciamento que você quer modificar.
Clique no nome da regra de silenciamento que você quer modificar.
Se você não selecionou o projeto ou a organização apropriada, talvez veja uma observação informando que não tem permissão para modificar a regra de desativação de som.
Insira uma nova descrição e clique em Salvar.
Para regras de silenciamento dinâmicas, atualize ou mude o prazo de validade.
Atualize ou altere o filtro.
Veja mais instruções em Criar regras de silenciamento.
Para visualizar as descobertas que correspondem ao filtro atualizado, clique em Visualizar descobertas correspondentes.
Uma tabela é carregada com descobertas que correspondem à nova consulta.
Clique em Save.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Para atualizar as regras de silenciamento, execute o comando
gcloud scc muteconfigs update
:gcloud scc muteconfigs update MUTE_CONFIG_ID \ --PARENT=PARENT_ID \ --location=LOCATION \ --description=RULE_DESCRIPTION \ --filter=FILTER \ --type=MUTE_TYPE \ --expiry-time=TIMESTAMP
Substitua:
MUTE_CONFIG_ID
: o ID da regra de silenciamento.PARENT
: o recurso pai da regra de silenciamento (organization
,folder
ouproject
).PARENT_ID
: o ID da organização, pasta ou projeto.LOCATION
: o local do Security Command Center em que a regra de exclusão será atualizada. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.RULE_DESCRIPTION
: uma descrição da regra de silenciamento (máximo de 1.024 caracteres).FILTER
: a expressão definida para filtrar descobertas.Por exemplo, para silenciar
OPEN_FIREWALL
descobertas, seu filtro pode serFILTER="category=\"OPEN_FIREWALL\""
.MUTE_TYPE
: o tipo de regra de silenciamento que você está atualizando. Os tipos válidos de regras de silenciamento sãoDYNAMIC
eSTATIC
. Não é possível mudar o tipo de uma regra de silenciamento depois de criada.TIMESTAMP
: só se aplica se você estiver atualizando uma regra de silenciamento dinâmico. A string de data/hora que indica quando a regra de desativação dinâmica expira. O valor precisa ser definido para pelo menos um dia no futuro, caso contrário, a solicitação será rejeitada. Para informações sobre formatos de hora, consultegcloud topic datetimes
. Quando uma regra de exclusão dinâmica expira, ela é removida de todas as descobertas correspondentes. Se você quiser que a regra de silenciamento dinâmico funcione indefinidamente em descobertas correspondentes, omita esse campo.
Go
Java
Python
REST
Na API Security Command Center, use o método
muteConfigs.patch
para atualizar uma regra de exclusão. O corpo da solicitação é uma instância de MuteConfig
:
PATCH https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/locations/LOCATION/muteConfigs/CONFIG_ID { "description": "RULE_DESCRIPTION", "filter": "FILTER", "type": "MUTE_TYPE", "expiryTime": "TIMESTAMP" }
Substitua:
PARENT
: o recurso pai da regra de silenciamento (organizations
,folders
ouprojects
);PARENT_ID
: o ID da organização, pasta ou projetoLOCATION
: o local do Security Command Center em que a regra de exclusão será atualizada. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.CONFIG_ID
: o ID numérico da regra de silenciamentoRULE_DESCRIPTION
: uma descrição da regra de silenciamento (máximo de 1.024 caracteres).FILTER
: a expressão definida para filtrar descobertasPor exemplo, para silenciar descobertas
OPEN_FIREWALL
, seu filtro pode ser"category=\"OPEN_FIREWALL\""
.MUTE_TYPE
: o tipo de regra de silenciamento que você está atualizando. Os tipos válidos de regras de silenciamento sãoDYNAMIC
eSTATIC
. Não é possível mudar o tipo de uma regra de silenciamento depois de criada.TIMESTAMP
: só se aplica se você estiver atualizando uma regra de silenciamento dinâmico. A string de data/hora que indica quando a regra de desativação dinâmica expira. O valor precisa ser definido para pelo menos um dia no futuro. Caso contrário, a solicitação será rejeitada. Para informações sobre formatos de tempo, consultegcloud topic datetimes
. Quando uma regra de silenciamento dinâmico expira, ela é removida de todos os resultados correspondentes. Se você quiser que a regra de silenciamento dinâmico funcione indefinidamente em descobertas correspondentes, omita esse campo.
Novas descobertas que correspondem exatamente ao filtro estão ocultas, e o atributo mute
para as descobertas está definido como MUTED
.
Excluir regras de silenciamento
É possível excluir uma regra de silenciamento usando o console Google Cloud , a CLI gcloud ou a API Security Command Center.
Antes de excluir regras de silenciamento, entenda o seguinte:
- Não é possível recuperar as regras de silenciamento excluídas.
- A exclusão de regras de silenciamento estáticas não ativa automaticamente o som de descobertas que estão silenciadas. É necessário ativar as descobertas de maneira manual ou programática.
- A exclusão de regras de silenciamento dinâmicas remove automaticamente a regra de todas as descobertas correspondentes anteriores e cancela o silenciamento delas se não corresponderem a nenhuma regra adicional.
- As descobertas futuras que corresponderem aos filtros nas regras de silenciamento excluídas não serão silenciadas.
Para ver um exemplo de código que exclui uma regra de silenciamento, consulte Excluir uma regra de silenciamento.
Para excluir uma regra de silenciamento, clique na guia do procedimento que você quer usar:
Console
No console do Google Cloud , acesse a guia Regras de desativação na página Configurações do Security Command Center.
Se necessário, selecione seu projeto ou organização do Google Cloud .
Clique no nome da regra de silenciamento que você quer excluir.
Clique em deleteExcluir
Leia a caixa de diálogo e, se estiver tudo certo, clique em Excluir.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Para excluir regras de silenciamento, execute o comando
gcloud scc muteconfigs delete
:gcloud scc muteconfigs delete MUTE_CONFIG_ID \ --PARENT=PARENT_ID --location=LOCATION
Substitua:
MUTE_CONFIG_ID
: o ID da configuração de desativação de somPARENT
: o recurso pai da regra de silenciamento (organization
,folder
ouproject
);PARENT_ID
: o ID da organização, pasta ou projetoLOCATION
: o local do Security Command Center em que a regra de exclusão temporária será excluída. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.
Confirme sua solicitação para excluir a regra de silenciamento.
Go
Java
Python
REST
Na API Security Command Center, use o método
muteConfigs.delete
para excluir uma regra de exclusão de ruído:
DELETE https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/locations/LOCATION/muteConfigs/CONFIG_ID
Substitua:
PARENT
: o recurso pai da regra de silenciamento (organizations
,folders
ouprojects
);PARENT_ID
: o ID da organização, pasta ou projetoLOCATION
: o local do Security Command Center em que a regra de exclusão temporária será excluída. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.CONFIG_ID
: o ID numérico da regra de silenciamento
Desativar o som de uma descoberta específica
É possível silenciar estaticamente uma descoberta individual usando o consoleGoogle Cloud , a CLI gcloud ou a API Security Command Center.
Silenciar uma descoberta de forma estática não afeta se ela está ativa ou não. Se o som de uma descoberta ativa for desativado, o atributo state
não vai mudar:
state="ACTIVE"
. A descoberta fica oculta, mas permanece ativa até que a
vulnerabilidade, a configuração incorreta ou a ameaça seja resolvida. Além disso, ao silenciar uma descoberta de forma estática, você substitui todas as regras de silenciamento dinâmico aplicadas a ela.
Ao silenciar uma descoberta de combinação tóxica, o caso correspondente é encerrado.
Para silenciar todas as descobertas futuras que correspondam aos critérios especificados, consulte Criar regras de silenciamento.
Para ver um exemplo de código para silenciar uma descoberta, consulte Silenciar uma descoberta.
Para desativar o som de uma descoberta individual, clique na guia do procedimento que você quer usar:
Console
No console do Google Cloud , acesse a página Descobertas do Security Command Center.
Se necessário, selecione seu projeto ou organização do Google Cloud .
Se a descoberta que você precisa silenciar não estiver no painel Resultados da consulta de descobertas, selecione a categoria da descoberta na seção Categoria no painel Filtros rápidos.
Marque a caixa de seleção ao lado da descoberta que você quer silenciar. É possível selecionar uma ou mais origens.
Na barra de ações Resultados da consulta de descobertas, clique em Desativar opções e selecione Aplicar substituição de silenciamento.
O atributo
mute
das descobertas selecionadas está definido comoMUTED
, e a descoberta é removida do painel Resultados da consulta de descobertas.
Como alternativa, é possível silenciar uma descoberta no painel de detalhes:
- No painel Como encontrar resultados da consulta da página Descobertas, na coluna Categoria, clique no nome de uma descoberta individual. O painel de detalhes da descoberta será aberto.
- Clique em Realizar ação.
No menu Realizar ação, selecione Aplicar substituição de silenciamento.
Se você selecionar Ignorar descobertas como esta, a página Criar regra de silenciamento será aberta, em que você poderá criar uma regra de silenciamento para descobertas do mesmo tipo ou que incluem o mesmo atributo
Indicator
.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Para definir o estado de silenciamento de uma descoberta como
MUTED
, use o comandoset-mute
na CLI gcloud:gcloud scc findings set-mute FINDING_ID \ --PARENT=PARENT_ID \ --location=LOCATION \ --source=SOURCE_ID \ --mute=MUTED
Substitua:
FINDING_ID
: o ID da descoberta que você quer desativarPara recuperar os IDs de descoberta, use a API Security Command Center para listar descobertas. O ID de descoberta é a última parte do atributo
canonicalName
. Por exemplo,projects/123456789012/sources/1234567890123456789/findings`/5ee30aa342e799e4e1700826de053aa9
.PARENT
: o recurso pai (project
,folder
ouorganization
), diferencia maiúsculas de minúsculasPARENT_ID
: o ID da organização, pasta ou projeto paiLOCATION
: o local do Security Command Center em que a descoberta será ignorada. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.SOURCE_ID
: o ID da origemPara instruções sobre como recuperar um ID de origem, consulte Como conseguir o ID de origem.
Go
Java
Python
REST
Na API Security Command Center, use o método
findings.setMute
para silenciar uma descoberta. O corpo da solicitação é uma enumeração que indica o
estado de desativação de som resultante:
POST https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/sources/SOURCE_ID/locations/LOCATION/findings/FINDING_ID:setMute { "mute": "MUTED" }
Substitua:
PARENT
: o recurso pai (organizations
,folders
ouprojects
).PARENT_ID
: o ID da organização, pasta ou projeto principal.LOCATION
: o local do Security Command Center em que a descoberta será ignorada. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.SOURCE_ID
: o ID numérico da origem.Para instruções sobre como recuperar um ID de origem, consulte Como conseguir o ID de origem.
FINDING_ID
: o ID da descoberta que você quer desativar.Para recuperar os IDs de descoberta, use a API Security Command Center para listar descobertas. O ID de descoberta é a última parte do atributo
canonicalName
. Por exemplo,projects/123456789012/sources/1234567890123456789/findings/5ee30aa342e799e4e1700826de053aa9
.
Depois de desativar uma descoberta, o atributo mute
é definido como MUTED
.
Ativar som de descobertas individuais
É possível estaticamente remover o silêncio de uma descoberta individual usando o console Google Cloud , a CLI gcloud ou a API Security Command Center.
Cancelar o silenciamento de uma descoberta é útil quando você precisa evitar que ela seja ocultada por uma regra de silenciamento muito ampla ou por uma regra que pode ser muito complexa para modificar e excluir descobertas que você considera importantes.
Para ver um exemplo de código para ativar o som de uma descoberta, consulte Ativar o som de uma descoberta.
As descobertas silenciadas são desativadas novamente somente se forem desativadas manualmente. As regras de silenciamento criadas com a CLI gcloud ou a API Security Command Center não afetam as descobertas não ignoradas pelos usuários.
Para ver um exemplo de código para ativar o som de uma descoberta, consulte Ativar o som de uma descoberta.
Console
No console do Google Cloud , acesse a página Descobertas do Security Command Center.
Se necessário, selecione seu projeto ou organização do Google Cloud .
A página Descobertas é aberta com a consulta padrão exibida na seção Visualização da consulta. A consulta padrão filtra as descobertas silenciadas. Portanto, você precisa editar a consulta antes que as descobertas silenciadas sejam exibidas no painel Resultados da consulta de descobertas.
À direita da seção Visualização da consulta, clique em Editar consulta para abrir o Editor de consultas.
No campo Editor de consultas, substitua a instrução de silenciamento atual pelo seguinte:
mute="MUTED"
Clique em Aplicar. As descobertas no painel Resultados da consulta de descobertas são atualizadas para incluir apenas as descobertas silenciadas.
Se necessário, filtre outras descobertas silenciadas. Por exemplo, na Filtros rápidos painel em Categoria selecione o nome da descoberta que precisa ser ativada para filtrar todas as outras categorias de descoberta.
Marque a caixa de seleção ao lado da descoberta que você quer parar de ignorar. É possível selecionar uma ou mais origens.
Na barra de ações Resultados da consulta de descobertas, clique em Opções de silenciamento e selecione Aplicar substituição de ativação de som.
O atributo
mute
das descobertas selecionadas está definido comoUNMUTED
, e a descoberta é removida do painel Resultados da consulta de descobertas.
Também é possível desativar o som de uma descoberta no painel de detalhes:
- No painel Como encontrar resultados da consulta da página Descobertas, na coluna Categoria, clique no nome de uma descoberta individual. O painel de detalhes da descoberta será aberto.
- Clique em Realizar ação.
- No menu Entrar em ação, selecione Aplicar substituição de ativação de som.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Para definir o estado de silenciamento de uma descoberta como
UNMUTED
, use o comandoset-mute
na CLI gcloud:gcloud scc findings set-mute FINDING_ID \ --PARENT=PARENT_ID \ --location=LOCATION \ --source=SOURCE_ID \ --mute=UNMUTED
Substitua:
FINDING_ID
: o ID da descoberta que você quer desativarPara recuperar os IDs de descoberta, use a API Security Command Center para listar descobertas. O ID de descoberta é a última parte do atributo
canonicalName
. Por exemplo,projects/123456789012/sources/1234567890123456789/findings/5ee30aa342e799e4e1700826de053aa9
.PARENT
: o recurso pai (project
,folder
ouorganization
), diferencia maiúsculas de minúsculasPARENT_ID
: o ID da organização, pasta ou projeto principalLOCATION
: o local do Security Command Center em que a descoberta será reativada. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.SOURCE_ID
: o ID da origemPara instruções sobre como recuperar um ID de origem, consulte Como conseguir o ID de origem.
Go
Java
Python
REST
Na API Security Command Center, use o método
findings.setMute
para reativar uma descoberta. O corpo da solicitação é uma enumeração que indica o
estado de desativação de som resultante:
POST https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/sources/SOURCE_ID/locations/LOCATION/findings/FINDING_ID:setMute { "mute": "UNMUTED" }
Substitua:
PARENT
: o recurso pai (organizations
,folders
ouprojects
);PARENT_ID
: o ID da organização, pasta ou projeto paiLOCATION
: o local do Security Command Center em que a descoberta será reativada. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.SOURCE_ID
: o ID numérico da origemPara instruções sobre como recuperar um ID de origem, consulte Como conseguir o ID de origem.
FINDING_ID
: o ID da descoberta que você quer desativar.Para recuperar os IDs de descoberta, use a API Security Command Center para listar descobertas. O ID de descoberta é a última parte do atributo
canonicalName
. Por exemplo,projects/123456789012/sources/1234567890123456789/findings/5ee30aa342e799e4e1700826de053aa9
.
As descobertas selecionadas não estão mais ocultas, e o atributo mute
para as descobertas está definido como UNMUTED
.
Remover uma substituição de estado de silenciamento de descobertas individuais
Você aplica uma substituição de estado de ignorar quando modifica intencionalmente o estado de ignorar de uma descoberta para ignorar ou cancelar a ignorância dela de forma estática. Por exemplo, talvez você queira aplicar uma substituição de estado de silenciamento para ocultar uma descoberta de baixa gravidade que não vale a pena criar uma regra de silenciamento dinâmico.
É possível remover uma substituição de estado de silenciamento de uma descoberta individual usando o console Google Cloud , a CLI gcloud ou a API Security Command Center.
Antes de remover a substituição do estado de silenciamento de uma descoberta, entenda o seguinte:
- Uma descoberta tem uma substituição de estado de silenciamento se ela for silenciada ou ativada estaticamente. É possível aplicar uma substituição de estado de silenciamento a qualquer descoberta de forma manual ou automática com regras de silenciamento estáticas.
- Uma substituição de estado de silenciamento é aplicada a uma descoberta por tempo indeterminado e tem prioridade sobre qualquer regra de silenciamento correspondente.
- A remoção da substituição do estado de silenciamento de uma descoberta redefine o estado de silenciamento dela para que possa ser processada por regras de silenciamento estáticas ou dinâmicas.
- Remover a substituição do estado de silenciamento de uma descoberta é diferente de remover o silenciamento dela. Quando você cancela o silenciamento de uma descoberta (aplica uma substituição de cancelamento de silenciamento), as regras de silenciamento não podem silenciar essa descoberta até que você remova manualmente a substituição do estado de silenciamento.
Para remover a substituição de desativação de uma descoberta individual, faça o seguinte:
Console
No console do Google Cloud , acesse a página Descobertas do Security Command Center.
Selecione o projeto Google Cloud ou a organização.
À direita da seção Visualização da consulta, clique em Editar consulta para abrir o Editor de consultas.
No campo Editor de consultas, substitua a instrução de silenciamento atual pelo seguinte:
mute="MUTED" OR mute="UNMUTED"
Clique em Aplicar. As descobertas no painel Resultados da consulta de descobertas são atualizadas para incluir descobertas silenciadas e não silenciadas de forma estática.
Se necessário, filtre outras descobertas. Por exemplo, no painel Filtros rápidos, em Categoria, selecione o nome da descoberta que precisa ser redefinida para filtrar todas as outras categorias de descoberta.
Marque a caixa de seleção ao lado da descoberta que você quer redefinir. É possível selecionar uma ou mais origens.
Na barra de ações Resultados da consulta de descobertas, clique em Opções de silenciamento e selecione Remover substituições de silenciamento.
O atributo
mute
das descobertas selecionadas está definido comoUNDEFINED
, e a descoberta é removida do painel Resultados da consulta de descobertas.
Também é possível desativar o som de uma descoberta no painel de detalhes:
- No painel Como encontrar resultados da consulta da página Descobertas, na coluna Categoria, clique no nome de uma descoberta individual. O painel de detalhes da descoberta será aberto.
- Clique em Realizar ação.
- No menu Entrar em ação, selecione Remover substituições de silenciamento.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Para definir o estado de silenciamento de uma descoberta como
UNDEFINED
, use o comandoset-mute
na CLI gcloud:gcloud scc findings set-mute FINDING_ID \ --PARENT=PARENT_ID \ --location=LOCATION \ --source=SOURCE_ID \ --mute=UNDEFINED
Substitua:
FINDING_ID
: o ID da descoberta que você quer redefinirPara recuperar os IDs de descoberta, use a API Security Command Center para listar descobertas. O ID de descoberta é a última parte do atributo
canonicalName
. Por exemplo,projects/123456789012/sources/1234567890123456789/findings/5ee30aa342e799e4e1700826de053aa9
.PARENT
: o recurso pai (project
,folder
ouorganization
), diferencia maiúsculas de minúsculasPARENT_ID
: o ID da organização, pasta ou projeto paiLOCATION
: o local do Security Command Center em que remover a substituição do estado de ignorar de uma descoberta. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.SOURCE_ID
: o ID da origemPara instruções sobre como recuperar um ID de origem, consulte Como conseguir o ID de origem.
REST
Na API Security Command Center, use o método
findings.setMute
para redefinir o estado de desativação de uma descoberta. O corpo da solicitação é uma enumeração que
indica o estado de desativação de som resultante:
POST https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/sources/SOURCE_ID/locations/LOCATION/findings/FINDING_ID:setMute { "mute": "UNDEFINED" }
Substitua:
PARENT
: o recurso pai (organizations
,folders
ouprojects
);PARENT_ID
: o ID da organização, pasta ou projeto principalLOCATION
: o local do Security Command Center em que remover a substituição do estado de ignorar de uma descoberta. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.SOURCE_ID
: o ID numérico da origem
Java
Silenciar ou redefinir várias descobertas
É possível realizar as seguintes operações de desativação em massa para várias descobertas
usando o comando da CLI gcloud gcloud scc findings bulk-mute
ou o método bulkMute
da
API Security Command Center:
Silenciar várias descobertas. Silenciar descobertas em massa as silencia estaticamente e substitui todas as regras de silenciamento dinâmico aplicadas a elas. Se você precisar silenciar descobertas futuras semelhantes, crie uma regra de silenciamento.
Remova a substituição do estado de silenciamento em várias descobertas atuais. Ao remover a substituição do estado de silenciamento em uma descoberta, você redefine o estado de
MUTED
(silenciada estaticamente) ouUNMUTED
(sem silenciamento estático) paraUNDEFINED
. Isso pode ser útil se você estiver migrando de regras de silenciamento estáticas para dinâmicas.
Especifique o conjunto de descobertas que você precisa silenciar definindo um filtro de descobertas. Os filtros de desativação de som em massa não são compatíveis com todas as propriedades de descoberta. Para uma lista de propriedades não compatíveis, consulte Propriedades de descoberta não compatíveis com regras de silenciamento.
Se a residência de dados estiver ativada para o Security Command Center, as operações de desativação em massa serão limitadas ao local do Security Command Center em que forem executadas.
Para ver um exemplo de código que silencia descobertas em massa, consulte Silenciar descobertas em massa.
Para desativar o som ou redefinir descobertas em massa, clique na guia do procedimento que você quer usar:
Console
No console do Google Cloud , só é possível desativar em massa as descobertas criando regras de desativação. No console do Google Cloud , a criação de regras de desativação silencia descobertas existentes e futuras.
gcloud
-
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
Para desativar ou redefinir várias descobertas em massa, execute o comando
gcloud scc findings bulk-mute
:gcloud scc findings bulk-mute \ --PARENT=PARENT_ID \ --location=LOCATION \ --filter="FILTER" \ --mute-state=MUTE_STATE
Substitua:
PARENT
: o escopo na hierarquia de recursos a que a regra de silenciamento se aplica,organization
,folder
ouproject
.PARENT_ID
: o ID numérico da organização, pasta ou projeto pai, ou o ID alfanumérico do projeto pai.LOCATION
: o local do Security Command Center em que ignorar ou redefinir descobertas em massa. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.FILTER
: a expressão definida para filtrar descobertas.Por exemplo, para desativar todas as descobertas de
OPEN_FIREWALL
ePUBLIC_IP_ADDRESS
de baixa gravidade no projetointernal-test
, o filtro pode ser"category=\"OPEN_FIREWALL\" OR category=\"PUBLIC_IP_ADDRESS\" AND severity=\"LOW\" AND resource.projectDisplayName=\"internal-test\""
.MUTE_STATE
: o valor que indica se a descoberta está silenciada estaticamente ou não. Os valores válidos são:MUTED
eUNDEFINED
. O valor padrão éMUTED
. Defina esse valor comoUNDEFINED
somente se você estiver redefinindo o estado de silenciamento de várias descobertas atuais.
REST
Na API Security Command Center, use o método
findings.bulkMute
para desativar ou redefinir o estado de desativação de várias descobertas. O corpo da solicitação contém a expressão usada para filtrar descobertas:
POST https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/locations/LOCATION/findings:bulkMute { "filter": "FILTER", "muteState": "MUTE_STATE" }
Substitua:
PARENT
: o recurso pai (organizations
,folders
ouprojects
).PARENT_ID
: o ID da organização, pasta ou projeto principal.LOCATION
: o local do Security Command Center em que ignorar ou redefinir descobertas em massa. Se a residência de dados estiver ativada, useeu
,ksa
ouus
. Caso contrário, use o valorglobal
.FILTER
: a expressão definida para filtrar descobertas.Por exemplo, para desativar todas as descobertas de
OPEN_FIREWALL
ePUBLIC_IP_ADDRESS
de baixa gravidade no projetointernal-test
, o filtro pode ser"category=\"OPEN_FIREWALL\" OR category=\"PUBLIC_IP_ADDRESS\" AND severity=\"LOW\" AND resource.projectDisplayName=\"internal-test\""
.MUTE_STATE
: o valor que indica se a descoberta está silenciada ou não. Os valores válidos sãoMUTED
ouUNDEFINED
. O valor é definido comoMUTED
por padrão. Defina esse valor comoUNDEFINED
apenas se você estiver redefinindo o estado de silenciamento de várias descobertas atuais.
Todas as descobertas existentes no recurso selecionado e que correspondem exatamente ao filtro estão ocultas. O atributo mute
das descobertas está definido como MUTED
.
A desativação de descobertas não muda o estado delas. Se as descobertas ativas forem silenciadas, elas ficarão ocultas, mas permanecerão ativas até que as vulnerabilidades, configurações incorretas ou ameaças sejam resolvidas.
Ver descobertas silenciadas no console do Google Cloud
É possível visualizar descobertas silenciadas no console do Google Cloud editando a consulta de descoberta para selecionar descobertas que incluam o valor de propriedade mute="MUTED"
.
Por exemplo, a consulta de descobertas a seguir exibe apenas descobertas ativas que estão com o som desativado:
state="ACTIVE"
AND mute="MUTED"
Para exibir todas as descobertas ativas, com e sem som, omita completamente o atributo mute
da consulta:
state="ACTIVE"
Por padrão, a consulta de descoberta no console do Google Cloud mostra apenas as descobertas que não estão silenciadas.
Ver descobertas silenciadas por tipo de regra de silenciamento
As seções a seguir descrevem como consultar descobertas ativas por tipo de regra de exclusão.
Para mais informações sobre como listar descobertas específicas, consulte Filtrar descobertas.
Consultar descobertas silenciadas por regras de silenciamento estáticas
Para mostrar descobertas ativas que foram silenciadas por uma regra de silenciamento estática após um período especificado, use a consulta a seguir e inspecione o atributo muteInitiator
para determinar se a descoberta foi silenciada por uma regra de silenciamento estática.
state="ACTIVE" AND
muteInfo.staticMute.applyTime>=TIMESTAMP AND
muteInfo.staticMute.state="MUTED"
Substitua TIMESTAMP
pela string de data/hora que indica o início do período que você quer consultar. Para informações sobre formatos de tempo, consulte gcloud topic datetimes
.
Consultar descobertas silenciadas por regras de silenciamento dinâmico
Para mostrar descobertas ativas que foram silenciadas por uma regra de silenciamento dinâmica após um período especificado, use a seguinte consulta:
state="ACTIVE" AND
muteUpdateTime>=TIMESTAMP AND
contains(muteInfo.dynamicMuteRecords, muteConfig="PARENT_ID/muteConfigs/CONFIG_ID")
Substitua:
TIMESTAMP
: a string de data/hora que indica o início do período que você quer consultar. Para informações sobre formatos de hora, consultegcloud topic datetimes
.PARENT_ID
: o ID da organização, pasta ou projeto principal, especificado no formatoorganizations/123
,folders/456
ouprojects/789
.CONFIG_ID
: o nome da regra de silenciamento. O ID precisa usar caracteres alfanuméricos e hifens e ter entre 1 e 63 caracteres.
Para mais informações sobre como editar consultas de descoberta, consulte Criar ou editar uma consulta de descobertas no painel.
Como encontrar propriedades relacionadas à desativação do som
Esta seção lista as propriedades relacionadas ao estado de silenciamento de uma descoberta e descreve como elas são afetadas pelas operações de silenciamento:
mute
: defina comoUNDEFINED
quando as descobertas forem criadas e as alterações nos seguintes cenários:MUTED
: uma descoberta foi silenciada manualmente ou por uma regra de silenciamento.UNMUTED
: um usuário ativa o som de uma descoberta.
muteUpdateTime
: o tempo em que uma descoberta será silenciada ou não.muteInitiator
: o identificador da regra principal ou de silenciamento que silenciou uma descoberta.muteInfo
: informações de silenciamento sobre a descoberta, como tipo de regra de silenciamento (estática ou dinâmica) e quais regras de silenciamento corresponderam à descoberta.muteInfo.staticMute
: um estado de silenciamento estático substitui todas as regras de silenciamento dinâmico aplicadas a essa descoberta.state
: um estado de silenciamento estático que pode ser definido silenciando a descoberta diretamente ou por uma regra de silenciamento estática.applyTime
: momento em que o estado de desativação estática foi aplicado à descoberta.
muteInfo.dynamicMuteRecords
: o registro de uma regra de silenciamento dinâmico que corresponde à descoberta.muteConfig:
o nome do recurso relativo da regra de exclusão temporária, representado pela configuração de exclusão temporária que criou o registro. Por exemplo,organizations/123/muteConfigs/examplemuteconfig
.matchTime
: o momento em que uma regra de silenciamento dinâmico correspondeu à descoberta.
Interromper notificações e exportações de descobertas silenciadas
Se você ativar as notificações de descoberta, as descobertas silenciadas novas ou atualizadas que corresponderem aos filtros de notificação ainda serão exportadas para o Pub/Sub.
Para interromper as exportações e notificações de descobertas silenciadas, use o atributo mute
para excluir as descobertas silenciadas no filtro NotificationConfig
.
Por exemplo, o filtro a seguir
envia apenas notificações de descobertas ativas que não tenham o som desativado ou quando
o atributo de silenciamento não tenha sido definido:
FILTER="state=\"ACTIVE\" AND -mute=\"MUTED\""
A seguir
Saiba mais sobre como filtrar notificações de descoberta.
Veja mais exemplos de filtros que você pode usar.