Como usar o Web Security Scanner

Nesta página, mostramos como usar os recursos de verificação gerenciada do Web Security Scanner e analisar as descobertas no Console do Google Cloud. Também são mostrados exemplos de descobertas do Web Security Scanner.

O Web Security Scanner é um serviço integrado para o nível Premium do Security Command Center que identifica vulnerabilidades de segurança comuns nos aplicativos da Web do App Engine, Google Kubernetes Engine (GKE) e do Compute Engine. Para ver as descobertas do Web Security Scanner, é necessário ativá-las nas configurações dos Serviços do Security Command Center.

Saiba mais sobre como o Web Security Scanner funciona.

Como revisar descobertas

O recurso de verificação gerenciada do Web Security Scanner configura e programa automaticamente as verificações para cada um dos seus projetos no escopo. As verificações do Web Security Scanner podem levar até 24 horas para serem iniciadas após a ativação do serviço e serem executadas semanalmente após a primeira verificação. As descobertas são visualizadas no Security Command Center.

Analisar descobertas no console

Os papéis do IAM para o Security Command Center podem ser concedidos no nível da organização, da pasta ou do projeto. A capacidade de ver, editar, criar ou atualizar descobertas, recursos e fontes de segurança depende do nível a que você tem acesso. Para saber mais sobre Para papéis do Security Command Center, consulte Controle de acesso.

Para analisar as descobertas do Web Security Scanner no Security Command Center, siga estas etapas:

Conferir todas as descobertas associadas a um URL específico

Uma verificação pode produzir descobertas a partir de vários URLs base. Para exibir todas as descobertas associadas a um determinado URL em uma verificação, siga estas etapas:

1. Abra a descoberta e confira a definição JSON dela.
2. Copie o URL ao lado de externalUri.
3. Feche o painel de detalhes da descoberta

4. No Editor de consultas, insira a seguinte consulta:

   externalUri:"AFFECTED_URI"
   

   Substitua AFFECTED_URI pelo URL copiado anteriormente.

O Security Command Center exibe todas as descobertas associadas ao URL.

Exemplos de descobertas

Exemplos de descobertas de verificação gerenciadas do Web Security Scanner:

Tabela A. Tipos de descoberta de verificação gerenciada pelo Web Security Scanner

Vulnerabilidade	Descrição
Conteúdo misto	Uma página que foi veiculada por HTTPS também exibe recursos por HTTP. Um invasor "man-in-the-middle" pode adulterar o recurso HTTP e ter acesso total ao site que carrega o recurso ou monitora as ações dos usuários.
Senha não criptografada	Um aplicativo retorna conteúdo confidencial com um tipo de conteúdo inválido ou sem um cabeçalho X-Content-Type-Options: nosniff.
Biblioteca desatualizada	A versão de uma biblioteca incluída pode conter um problema de segurança. O scanner verifica a versão da biblioteca em uso e compara com uma lista conhecida de bibliotecas vulneráveis. Você poderá ter falsos positivos se a detecção da versão falhar ou caso a biblioteca tenha recebido um patch manual. O Web Security Scanner identifica algumas versões vulneráveis das seguintes bibliotecas conhecidas: jQuery, por exemplo: CVE-2011-4969 jQuery Mobile, por exemplo: vulnerabilidade XSS conhecida AngularJS, por exemplo: XSS via vulnerabilidade SVG Essa lista é atualizada periodicamente com novas bibliotecas e vulnerabilidades atualizadas, conforme aplicável.

Saiba mais sobre usando o Security Command Center no console do Google Cloud.

Como filtrar descobertas no console do Google Cloud

Uma organização de grande porte pode ter muitas descobertas de vulnerabilidades em toda a implantação para análise, triagem e rastreamento. Usando filtros disponíveis nas páginas Vulnerabilidades e Descobertas do Security Command Center no console do Google Cloud, é possível se concentrar nas vulnerabilidades vulnerabilidades em toda a organização e analisar vulnerabilidades tipo de recurso, projeto e muito mais.

Para mais informações sobre como filtrar descobertas de vulnerabilidade, consulte Filtrar descobertas de vulnerabilidade no Security Command Center.

Silenciar descobertas

Para controlar o volume de descobertas no Security Command Center, você pode silenciar de maneira manual ou programática as descobertas individuais ou criar regras de silenciamento que desativam automaticamente as descobertas atuais e futuras com base nos filtros definidos.

As descobertas silenciadas são ocultas e silenciadas, mas continuam sendo registradas para fins de auditoria e conformidade. Você pode ver as descobertas silenciadas ou ativá-las a qualquer momento. Para saber mais, consulte Desativar descobertas no Security Command Center.

Configurações de verificação

Se o Web Security Scanner receber credenciais de acesso, ele executará todas as ações usando esse nível de acesso. Para reduzir o risco aos recursos de produção e detectar vulnerabilidades antes que eles cheguem à produção, é recomendável executar verificações em ambientes de desenvolvimento, teste, preparo ou controle de qualidade.

A verificação de recursos de produção é útil porque até mesmo pequenas alterações nos recursos entre testes e produção podem gerar vulnerabilidades. No entanto, convém usar o acesso ao limite durante as verificações de produção. Consulte Práticas recomendadas para mais informações.

Para rever as configurações de verificação gerenciadas e iniciar verificações manualmente, use o console do Google Cloud.

Para ver a configuração da verificação gerenciada de um projeto:

1. Acesse a página do Web Security Scanner no console do Google Cloud.
   Acessar a página do Web Security Scanner
2. Selecione um projeto. Uma página é exibida com uma lista de verificações gerenciadas e personalizadas.
3. Em Configurações de verificação, clique em managed_scan. A página exibida mostra os resultados da verificação gerenciada mais recente, incluindo o status da verificação, os URLs rastreados e as vulnerabilidades encontradas. Use a lista suspensa para ver os resultados das verificações anteriores.

O Web Security Scanner administra e mantém verificações gerenciadas, portanto, não é possível modificar as configurações da verificação. As verificações gerenciadas só podem ser editadas ou excluídas no Security Command Center, conforme discutido em Como desativar verificações gerenciadas.

Intervalos de endereços IP estáticos para verificações gerenciadas

Quando o Web Security Scanner é ativado no Security Command Center, as verificações gerenciadas começam automaticamente usando endereços IP estáticos nos intervalos 34.66.18.0/26 e 34.66.114.64/26.

Verificações sob demanda

As verificações gerenciadas são executadas automaticamente em uma programação definido. No entanto, é possível usar a interface do Web Security Scanner para executar verificações gerenciadas sob demanda:

1. Acesse a página do Web Security Scanner no console do Google Cloud.
   Acessar a página do Web Security Scanner
2. Selecione um projeto. Uma página é exibida com uma lista de verificações gerenciadas e personalizadas.
3. Em Configurações de verificação, clique em managed_scan.
4. Na página seguinte, clique em Executar no topo da página ou
5. Clique em Executar verificação novamente na guia Resultados.

A verificação começa, e as descobertas serão atualizadas no Security Command Center quando concluídas. As verificações gerenciadas sob demanda são úteis quando você quer captar descobertas de projetos novos ou atualizados entre verificações programadas. As verificações sob demanda não afetam o cronograma das verificações semanais programadas.

Veja mais informações sobre a verificação na página de registros do projeto.

Como desativar verificações gerenciadas

É recomendável manter o Web Security Scanner ativado para todos os projetos em escopo. No entanto, é possível desativar o Web Security Scanner no Security Command Center ou, se ele estiver ativado no nível da organização, desativar as verificações gerenciadas do Web Security Scanner para projetos específicos. ou pastas.

Desativar as verificações do Web Security Scanner para um projeto ou uma pasta

Para desativar as verificações gerenciadas em uma pasta ou projeto, siga estas etapas:

1. Acesse a página Serviços no Security Command Center.

   Acessar a página "Serviços"

2. Selecione o projeto ou a organização.

3. No card Web Security Scanner, clique em Gerenciar configurações. A página Ativação do serviço é aberta para o Web Security Scanner.

4. No painel Ativação do serviço, desative o Web Security Scanner para o projeto ou a pasta usando um dos seguintes métodos:

   • Navegue até o projeto ou a pasta:
     1. No painel Ativação do serviço, navegue até o projeto ou a pasta rolando e expandindo qualquer organização ou pasta pai conforme necessário.
     2. Na linha do projeto ou pasta, no menu da coluna Web Security Scanner, selecione Desativar.
   • Pesquise apenas projetos e pastas pelo nome:
     1. Clique em Pesquisar uma pasta ou projeto.
     2. Na caixa de diálogo Pesquisar recursos, insira o nome do projeto, da pasta ou da organização. O projeto é exibido na caixa de diálogo.
     3. Na caixa de diálogo, no menu da coluna Web Security Scanner, selecione Desativar.

Os projetos desativados não serão mais incluídos nas verificações gerenciadas.

Desativar o Web Security Scanner no Security Command Center

Para desativar o serviço Web Security Scanner no Security Command Center:

1. Acesse a página Serviços no Security Command Center.

   Acessar a página "Serviços"

2. Selecione o projeto ou a organização.

3. No card Web Security Scanner, clique em Gerenciar configurações. A página Ativação do serviço é aberta para o Web Security Scanner.

4. Em Ativação do serviço, na linha do projeto ou da organização de nível superior, no menu da coluna Web Security Scanner, selecione Desativar.

O Web Security Scanner está desativado no Security Command Center e as verificações gerenciadas não serão mais executadas.

É possível continuar usando o Web Security Scanner como um produto independente pela interface do Web Security Scanner, no console do Google Cloud, com as seguintes alterações:

• Você precisa configurar e gerenciar verificações personalizadas para cada um dos projetos.
• As configurações da verificação gerenciada são arquivadas, e as descobertas da verificação gerenciada permanecem visíveis no Console do Google Cloud.
• As verificações gerenciadas só estão disponíveis no Security Command Center Premium. Portanto, as configurações de verificações gerenciadas e descobertas existentes são removidas da interface do Web Security Scanner.

Se o Web Security Scanner for reativado no Security Command Center, as configurações e as descobertas da verificação gerenciada reaparecerão na interface do Web Security Scanner. Geralmente, se as mesmas vulnerabilidades forem encontradas durante as novas verificações, as descobertas existentes serão atualizadas. Se o aplicativo ou site mudou substancialmente desde a última verificação, novas descobertas poderão ser criadas.

A seguir

• Saiba mais sobre como corrigir descobertas do Web Security Scanner.