Servizi di rilevamento

Questa pagina contiene un elenco dei servizi di rilevamento, a volte chiamati anche origini di sicurezza, che Security Command Center utilizza per rilevare problemi di sicurezza nei tuoi ambienti cloud.

Quando questi servizi rilevano un problema, generano un risultato, ovvero un record che identifica il problema di sicurezza e fornisce le informazioni necessarie per stabilire le priorità e risolverlo.

Puoi visualizzare i risultati nella console Google Cloud e filtrarli in molti modi diversi, ad esempio per tipo di risultato, tipo di risorsa o per una risorsa specifica. Ogni origine di sicurezza potrebbe fornire più filtri per aiutarti a organizzare i risultati.

I ruoli IAM per Security Command Center possono essere concessi a livello di organizzazione, cartella o progetto. La possibilità di visualizzare, modificare, creare o aggiornare risultati, asset e origini di sicurezza dipende dal livello per cui ti è stato concesso l'accesso. Per scoprire di più sui ruoli di Security Command Center, consulta Controllo dell'accesso.

Servizi di rilevamento delle vulnerabilità

I servizi di rilevamento delle vulnerabilità includono servizi integrati che rilevano vulnerabilità software, errori di configurazione e violazioni della postura nei tuoi ambienti cloud. Questi tipi di problemi di sicurezza sono indicati collettivamente come vulnerabilità.

Valutazione delle vulnerabilità di Artifact Registry

La valutazione delle vulnerabilità di Artifact Registry è un servizio di rilevamento che ti avvisa delle vulnerabilità nelle immagini container di cui è stato eseguito il deployment.

Questo servizio di rilevamento genera risultati di vulnerabilità per le immagini container nelle seguenti condizioni:

• L'immagine container è archiviata in Artifact Registry.

• L'immagine container viene implementata in una delle seguenti risorse:

  • Cluster Google Kubernetes Engine
  • Servizio Cloud Run
  • Job Cloud Run
  • App Engine

La valutazione delle vulnerabilità di Artifact Registry non genera risultati per le immagini container che non soddisfano questi criteri.

Una volta generati, i risultati della valutazione delle vulnerabilità di Artifact Registry rimangono disponibili per le query fino a cinque settimane dopo l'ultima scansione dell'immagine container eseguita. Per maggiori informazioni sulla conservazione dei dati di Security Command Center, vedi Conservazione dei dati.

Abilitare i risultati della valutazione delle vulnerabilità di Artifact Registry

Affinché la valutazione delle vulnerabilità di Artifact Registry generi risultati in Security Command Center per le immagini container di cui è stato eseguito il deployment e archiviate in Artifact Registry, l'API Container Scanning deve essere abilitata per il tuo progetto.

Se non hai abilitato l'API Container Scanning, procedi nel seguente modo:

1. Nella console Google Cloud vai alla pagina API Container Scanning.

   Vai all'API Container Scanning

2. Seleziona il progetto per il quale vuoi abilitare l'API Container Scanning.

3. Fai clic su Attiva.

Security Command Center mostrerà i risultati per le immagini container vulnerabili scansionate che vengono implementate attivamente negli asset di runtime applicabili. Tuttavia, il servizio di rilevamento si comporta in modo diverso a seconda di quando hai attivato Security Command Center e l'API Container Scanning.

Disabilita i risultati della valutazione delle vulnerabilità di Artifact Registry

Per disattivare i risultati della valutazione delle vulnerabilità di Artifact Registry:

1. Nella Google Cloud console, vai alla pagina Dettagli API/servizio per l'API Container Scanning.

   Vai a Dettagli API/servizio

2. Seleziona il progetto per il quale vuoi disabilitare l'API Container Scanning.

3. Fai clic su Disabilita API.

Security Command Center non mostrerà i risultati per le vulnerabilità rilevate nelle future scansioni delle immagini container. Security Command Center conserva i risultati esistenti della valutazione delle vulnerabilità di Artifact Registry per almeno 35 giorni dopo l'ultima scansione dell'immagine container eseguita. Per ulteriori informazioni sulla conservazione dei dati di Security Command Center, vedi Conservazione dei dati.

Puoi anche disattivare il test delle vulnerabilità di Artifact Registry disattivando l'ID origine del test delle vulnerabilità nelle impostazioni di Security Command Center. Tuttavia, non è consigliabile. Se disattivi l'ID origine Vulnerability Assessment, verranno disattivati tutti i servizi di rilevamento classificati in base all'ID origine Vulnerability Assessment. Pertanto, ti consigliamo di disabilitare l'API Container Scanning con la procedura precedente.

Visualizza i risultati della valutazione delle vulnerabilità di Artifact Registry nella console

1. Nella console Google Cloud , vai alla pagina Risultati di Security Command Center.

   Vai a Risultati

2. Seleziona il tuo progetto o la tua organizzazione Google Cloud .
3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Valutazione delle vulnerabilità. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati di questa origine.
4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
5. Nella scheda Riepilogo, esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi seguire per risolvere il problema.
6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.

Dashboard della postura di sicurezza di GKE

La dashboard della postura di sicurezza di GKE è una pagina della consoleGoogle Cloud che fornisce risultati attendibili e strategici sui potenziali problemi di sicurezza nei tuoi cluster GKE.

Se abiliti una delle seguenti funzionalità della dashboard della postura di sicurezza di GKE, vedrai i risultati nel livello Standard o Premium di Security Command Center:

I risultati mostrano informazioni sul problema di sicurezza e forniscono consigli per risolverlo nei carichi di lavoro o nei cluster.

Visualizzare i risultati della dashboard della postura di sicurezza di GKE nella console

Motore per suggerimenti IAM

IAM Recommender genera suggerimenti che puoi seguire per migliorare la sicurezza rimuovendo o sostituendo i ruoli IAM delle entità quando i ruoli contengono autorizzazioni IAM di cui l'entità non ha bisogno.

Il motore per suggerimenti IAM viene attivato automaticamente quando attivi Security Command Center.

Attivare o disattivare i risultati del motore per suggerimenti IAM

Per attivare o disattivare i risultati di IAM Recommender in Security Command Center, segui questi passaggi:

1. Vai alla scheda Servizi integrati della pagina Impostazioni di Security Command Center nella console Google Cloud :

   Vai a Servizi integrati

2. Vai alla voce Motore per suggerimenti IAM.

3. A destra della voce, seleziona Attiva o Disattiva.

I risultati del motore per suggerimenti IAM sono classificati come vulnerabilità.

Per correggere un risultato del motore per suggerimenti IAM, espandi la sezione seguente per visualizzare una tabella dei risultati del motore per suggerimenti IAM. I passaggi di correzione per ogni risultato sono inclusi nella voce della tabella.

Visualizzare i risultati del motore per suggerimenti IAM nella console

Seleziona la scheda specifica per il tuo livello di servizio.

Nel livello Premier, puoi anche visualizzare i risultati del motore per suggerimenti IAM nella pagina Vulnerabilità selezionando il preset di query Motore per suggerimenti IAM.

Mandiant Attack Surface Management

Mandiant è leader mondiale nel campo della threat intelligence in prima linea. Mandiant Attack Surface Management identifica vulnerabilità ed errori di configurazione nelle tue superfici di attacco esterne per aiutarti a rimanere al passo con gli ultimi attacchi informatici.

Mandiant Attack Surface Management viene attivato automaticamente quando attivi il livello Security Command Center Enterprise e i risultati sono disponibili nella console Google Cloud .

Per informazioni sulle differenze tra il prodotto Mandiant Attack Surface Management autonomo e l'integrazione di Mandiant Attack Surface Management in Security Command Center, consulta ASM e Security Command Center nel portale della documentazione di Mandiant. Questo link richiede l'autenticazione Mandiant.

Esaminare i risultati di Mandiant Attack Surface Management nella console

Né Security Command Center né Mandiant Attack Surface Management contrassegnano i risultati come risolti. Una volta risolto un problema, puoi contrassegnarlo manualmente come risolto. Se non viene identificato nella successiva scansione di Mandiant Attack Surface Management, rimane risolto.

Model Armor

Model Armor è un servizio Google Cloud completamente gestito che migliora la sicurezza delle applicazioni AI esaminando i prompt e le risposte degli LLM.

Vulnerabilità rilevate dal servizio Model Armor

Policy Controller

Policy Controller consente l'applicazione, anche forzata, dei criteri programmabili per i tuoi cluster Kubernetes. Questi criteri fungono da sistemi di protezione e possono aiutarti con la gestione di best practice, sicurezza e conformità dei tuoi cluster e del tuo parco risorse.

Se installi Policy Controller e attivi uno dei bundle Policy Controller, Policy Controller scrive automaticamente le violazioni del cluster in Security Command Center come risultati della classe Misconfiguration. La descrizione del problema e i passaggi successivi nei risultati di Security Command Center sono gli stessi della descrizione del vincolo e dei passaggi di correzione del bundle Policy Controller corrispondente.

I risultati di Policy Controller provengono dai seguenti bundle di Policy Controller:

• Benchmark CIS Kubernetes v.1.5.1, un insieme di consigli per configurare Kubernetes al fine di supportare una solida strategia di sicurezza. Puoi anche visualizzare le informazioni su questo bundle nel repository GitHub per cis-k8s-v1.5.1.
• PCI-DSS v3.2.1, un pacchetto che valuta la conformità delle risorse del cluster ad alcuni aspetti dello standard PCI-DSS (Payment Card Industry Data Security Standard) v3.2.1. Puoi anche visualizzare le informazioni su questo bundle nel repository GitHub per pci-dss-v3.

Per trovare e correggere i risultati di Policy Controller, consulta Correzione dei risultati di Policy Controller.

Risk Engine

Il motore di valutazione del rischio di Security Command Center valuta l'esposizione al rischio dei tuoi deployment cloud, assegna punteggi di esposizione agli attacchi ai risultati delle vulnerabilità e alle tue risorse di alto valore e crea diagrammi dei percorsi che un potenziale utente malintenzionato potrebbe seguire per raggiungere le tue risorse di alto valore.

Nel livello Enterprise di Security Command Center, Risk Engine rileva gruppi di problemi di sicurezza che, quando si verificano insieme in un determinato pattern, creano un percorso verso una o più risorse di alto valore che un utente malintenzionato determinato potrebbe potenzialmente utilizzare per raggiungere e compromettere queste risorse.

Quando il motore di valutazione del rischio rileva una di queste combinazioni, genera un risultato di classe TOXIC_COMBINATION. Nel risultato, Risk Engine è elencato come origine del risultato.

Risk Engine identifica anche risorse o gruppi di risorse comuni in cui convergono più percorsi di attacco, quindi genera un risultato di classe CHOKEPOINT.

Per ulteriori informazioni, consulta la panoramica di combinazioni dannose e chokepoint.

Security Health Analytics

Security Health Analytics è un servizio di rilevamento integrato di Security Command Center che fornisce scansioni gestite delle risorse cloud per rilevare errori di configurazione comuni.

Quando viene rilevata una configurazione errata, Security Health Analytics genera un risultato. La maggior parte dei risultati di Security Health Analytics sono mappati ai controlli degli standard di sicurezza in modo da poter valutare la conformità.

Security Health Analytics esegue la scansione delle risorse il giorno Google Cloud. Se utilizzi il livello Enterprise e stabilisci connessioni ad altre piattaforme cloud, Security Health Analytics può anche analizzare le tue risorse su queste piattaforme cloud.

A seconda del livello di servizio di Security Command Center che utilizzi, i rilevatori disponibili variano:

• Nel livello Standard, Security Health Analytics include solo un gruppo di base di rilevatori di vulnerabilità di gravità media e alta.
• Il livello Premium include tutti i rilevatori di vulnerabilità per Google Cloud.
• Il livello Enterprise include rilevatori aggiuntivi per altre piattaforme cloud.

Security Health Analytics viene attivato automaticamente quando attivi Security Command Center.

Per ulteriori informazioni, vedi:

• Panoramica di Security Health Analytics
• Come utilizzare Security Health Analytics
• Correzione dei risultati di Security Health Analytics
• Riferimento dei risultati di Security Health Analytics

Servizio di postura di sicurezza

Il servizio di postura di sicurezza è un servizio integrato per il livello Security Command Center Premium che ti consente di definire, valutare e monitorare lo stato generale della sicurezza in Google Cloud. Fornisce informazioni su come il tuo ambiente è allineato alle norme che definisci nella tua postura di sicurezza.

Il servizio di postura di sicurezza non è correlato alla dashboard della postura di sicurezza di GKE, che mostra solo i risultati nei cluster GKE.

Sensitive Data Protection

Sensitive Data Protection è un servizio completamente gestito Google Cloud che ti aiuta a scoprire, classificare e proteggere i tuoi dati sensibili. Puoi utilizzare Sensitive Data Protection per determinare se stai archiviando informazioni sensibili o che consentono l'identificazione personale (PII), come:

• Nomi di persone
• Numeri di carte di credito
• Numeri di documenti di identità nazionali o statali
• Numeri ID assicurazione sanitaria
• Secret

In Sensitive Data Protection, ogni tipo di dato sensibile che cerchi è chiamato infoType.

Se configuri l'operazione Sensitive Data Protection in modo da inviare i risultati a Security Command Center, puoi visualizzare i risultati direttamente nella sezione Security Command Center della console Google Cloud , oltre che nella sezione Sensitive Data Protection.

Risultati delle vulnerabilità del servizio di rilevamento Sensitive Data Protection

Il servizio di rilevamento Sensitive Data Protection ti aiuta a determinare se stai archiviando dati altamente sensibili non protetti.

Risultati degli errori di configurazione del servizio di rilevamento Sensitive Data Protection

Il servizio di rilevamento Sensitive Data Protection ti aiuta a determinare se hai configurazioni errate che potrebbero esporre dati sensibili.

Risultati dell'osservazione di Sensitive Data Protection

Questa sezione descrive i risultati delle osservazioni generati da Sensitive Data Protection in Security Command Center.

Risultati dell'osservazione dal servizio di rilevamento

Il servizio di rilevamento della protezione dei dati sensibili ti aiuta a determinare se i tuoi dati contengono infoType specifici e dove si trovano nella tua organizzazione, nelle cartelle e nei progetti. Genera le seguenti categorie di risultati di osservazione in Security Command Center:

Data sensitivity

Un'indicazione del livello di sensibilità dei dati in una determinata risorsa dati. I dati sono sensibili se contengono PII o altri elementi che potrebbero richiedere un controllo o una gestione aggiuntivi. La gravità del risultato è il livello di sensibilità calcolato da Sensitive Data Protection durante la generazione del profilo dei dati.

Data risk

Il rischio associato ai dati nel loro stato attuale. Quando calcola il rischio dei dati, la protezione dei dati sensibili prende in considerazione il livello di sensibilità dei dati nell'asset di dati e la presenza di controlli di accesso per proteggere questi dati. La gravità del risultato è il livello di rischio dei dati che Sensitive Data Protection ha calcolato durante la generazione del profilo dati.

A seconda delle dimensioni della tua organizzazione, i risultati di Sensitive Data Protection possono iniziare a essere visualizzati in Security Command Center pochi minuti dopo l'attivazione del rilevamento di dati sensibili. Per le organizzazioni più grandi o con configurazioni specifiche che influiscono sulla generazione dei risultati, possono trascorrere fino a 12 ore prima che i risultati iniziali vengano visualizzati in Security Command Center.

Successivamente, Sensitive Data Protection genera risultati in Security Command Center pochi minuti dopo che il servizio di rilevamento ha eseguito la scansione delle risorse.

Per informazioni su come inviare i risultati del profilo dei dati a Security Command Center, consulta quanto segue:

• Per Security Command Center Enterprise: attiva il rilevamento di dati sensibili.
• Per Security Command Center Premium o Standard: Pubblica i profili di dati in Security Command Center.

Risultati dell'osservazione del servizio di ispezione Sensitive Data Protection

Un job di ispezione di Sensitive Data Protection identifica ogni istanza di dati di un infoType specifico in un sistema di archiviazione come un bucket Cloud Storage o una tabella BigQuery. Ad esempio, puoi eseguire un job di ispezione che cerca tutte le stringhe che corrispondono al rilevatore infoType CREDIT_CARD_NUMBER in un bucket Cloud Storage.

Per ogni rilevatore infoType che presenta una o più corrispondenze, Sensitive Data Protection genera un risultato di Security Command Center corrispondente. La categoria del risultato è il nome del rilevatore di infoType che ha trovato una corrispondenza, ad esempio Credit card number. Il risultato include il numero di stringhe corrispondenti rilevate nel testo o nelle immagini della risorsa.

Per motivi di sicurezza, le stringhe effettive rilevate non sono incluse nel risultato. Ad esempio, un risultato Credit card number mostra il numero di numeri di carte di credito trovati, ma non i numeri di carte di credito effettivi.

Poiché in Sensitive Data Protection sono presenti più di 150 rilevatori di infoType integrati, qui non sono elencate tutte le possibili categorie di risultati di Security Command Center. Per un elenco completo dei rilevatori di infoType, vedi Guida di riferimento per i rilevatori di infoType.

Per informazioni su come inviare i risultati di un job di ispezione a Security Command Center, vedi Inviare i risultati del job di ispezione di Sensitive Data Protection a Security Command Center.

Esamina i risultati di Sensitive Data Protection nella console

VM Manager

VM Manager è una suite di strumenti che possono essere utilizzati per gestire sistemi operativi per grandi gruppi di macchine virtuali (VM) che eseguono Windows e Linux su Compute Engine.

Per utilizzare VM Manager con le attivazioni a livello di progetto di Security Command Center Premium, attiva Security Command Center Standard nell'organizzazione padre.

Se abiliti VM Manager con il livello Security Command Center Premium, VM Manager scrive automaticamente i risultati high e critical dei report sulle vulnerabilità, che sono in anteprima, in Security Command Center. I report identificano le vulnerabilità nei sistemi operativi installati sulle VM, incluse le vulnerabilità ed esposizioni comuni (CVE).

I report sulle vulnerabilità non sono disponibili per Security Command Center Standard.

I risultati semplificano il processo di utilizzo della funzionalità di conformità delle patch di VM Manager, che è in anteprima. La funzionalità consente di eseguire la gestione delle patch a livello di organizzazione in tutti i tuoi progetti. VM Manager supporta la gestione delle patch a livello di singolo progetto.

Per correggere i problemi riscontrati da VM Manager, consulta Correzione dei problemi riscontrati da VM Manager.

Per impedire la scrittura dei report sulle vulnerabilità in Security Command Center, vedi Disattivare i risultati di VM Manager.

Le vulnerabilità di questo tipo sono tutte correlate ai pacchetti del sistema operativo installati nelle VM Compute Engine supportate.

Valutazione delle vulnerabilità per AWS

Il servizio Vulnerability Assessment for Amazon Web Services (AWS) rileva le vulnerabilità del software nei tuoi workload in esecuzione su macchine virtuali (VM) EC2 sulla piattaforma cloud AWS.

Per ogni vulnerabilità rilevata, la valutazione delle vulnerabilità per AWS genera un risultato della classe Vulnerability nella categoria di risultati Software vulnerability in Security Command Center.

Il servizio Vulnerability Assessment for AWS esegue la scansione degli snapshot delle istanze di macchine EC2 in esecuzione, pertanto i carichi di lavoro di produzione non vengono interessati. Questo metodo di scansione è chiamato scansione del disco senza agenti, perché non sono installati agenti nelle destinazioni di scansione.

Per ulteriori informazioni, consulta le seguenti risorse:

• Panoramica della valutazione delle vulnerabilità per AWS
• Abilitare e utilizzare la valutazione delle vulnerabilità per AWS

Valutazione delle vulnerabilità per Google Cloud

Il servizio Vulnerability Assessment per Google Cloud rilevano le vulnerabilità del software nelle seguenti risorse sulla piattaforma Google Cloud :

• Esecuzione di istanze VM di Compute Engine
• Nodi nei cluster GKE Standard
• Container in esecuzione nei cluster GKE Standard e GKE Autopilot

Per ogni vulnerabilità rilevata, Vulnerability Assessment per Google Cloud genera un risultato di classe Vulnerability nella categoria di risultati Software vulnerability o OS vulnerability in Security Command Center.

Il servizio Vulnerability Assessment per Google Cloud esegue la scansione delle istanze VM di Compute Engine clonando i relativi dischi circa ogni 12 ore, montandoli in un'istanza VM sicura e valutandoli con lo scanner SCALIBR.

Per ulteriori informazioni, consulta Vulnerability Assessment per Google Cloud.

Web Security Scanner

Web Security Scanner fornisce analisi delle vulnerabilità web gestite e personalizzate per le applicazioni web pubbliche servite da App Engine, GKE e Compute Engine.

Scansioni gestite

Le scansioni gestite di Web Security Scanner sono configurate e gestite da Security Command Center. Le scansioni gestite vengono eseguite automaticamente una volta alla settimana per rilevare e scansionare gli endpoint web pubblici. Queste scansioni non utilizzano l'autenticazione e inviano solo richieste GET, pertanto non inviano moduli sui siti web live.

Le scansioni gestite vengono eseguite separatamente dalle scansioni personalizzate.

Se Security Command Center è attivato a livello di organizzazione, puoi utilizzare le scansioni gestite per gestire centralmente il rilevamento delle vulnerabilità di base delle applicazioni web per i progetti della tua organizzazione, senza dover coinvolgere i singoli team di progetto. Quando vengono rilevati risultati, puoi collaborare con questi team per configurare scansioni personalizzate più complete.

Quando abiliti Web Security Scanner come servizio, i risultati delle scansioni gestite sono disponibili automaticamente nella pagina Vulnerabilità di Security Command Center e nei report correlati. Per informazioni su come attivare le scansioni gestite di Web Security Scanner, consulta Configurare i servizi di Security Command Center.

Le scansioni gestite supportano solo le applicazioni che utilizzano la porta predefinita, ovvero 80 per le connessioni HTTP e 443 per le connessioni HTTPS. Se la tua applicazione utilizza una porta non predefinita, esegui una scansione personalizzata.

Scansioni personalizzate

Le scansioni personalizzate di Web Security Scanner forniscono informazioni granulari sui risultati delle vulnerabilità delle applicazioni, come librerie obsolete, cross-site scripting o utilizzo di contenuti misti.

Definisci le scansioni personalizzate a livello di progetto.

I risultati delle scansioni personalizzate sono disponibili in Security Command Center dopo aver completato la guida alla configurazione delle scansioni personalizzate di Web Security Scanner.

Rilevatori e conformità

Web Security Scanner supporta le categorie della OWASP Top Ten, un documento che classifica e fornisce indicazioni per la correzione dei 10 rischi per la sicurezza delle applicazioni web più critici, come determinato dall'Open Web Application Security Project (OWASP). Per indicazioni sulla mitigazione dei rischi OWASP, consulta Opzioni di mitigazione OWASP Top 10 su Google Cloud.

La mappatura della conformità è inclusa a titolo di riferimento e non viene fornita o esaminata dalla OWASP Foundation.

Questa funzionalità è pensata solo per monitorare le violazioni dei controlli di conformità. Le mappature non vengono fornite per essere utilizzate come base o come sostituto dell'audit, della certificazione o del report di conformità dei tuoi prodotti o servizi a qualsiasi benchmark o standard normativo o di settore.

Per ulteriori informazioni, consulta la panoramica di Web Security Scanner.

Notebook Security Scanner

Notebook Security Scanner è un servizio integrato di rilevamento delle vulnerabilità dei pacchetti di Security Command Center. Una volta attivato, Notebook Security Scanner esegue automaticamente la scansione dei notebook Colab Enterprise (file con estensione ipynb) ogni 24 ore per rilevare le vulnerabilità nei pacchetti Python e pubblica questi risultati nella pagina Risultati di Security Command Center.

Puoi utilizzare Notebook Security Scanner per i notebook Colab Enterprise creati nelle seguenti regioni: us-central1, us-east4, us-west1 e europe-west4.

Per iniziare a utilizzare Notebook Security Scanner, consulta Abilitare e utilizzare Notebook Security Scanner.

Servizi di rilevamento delle minacce

I servizi di rilevamento delle minacce includono servizi integrati che rilevano eventi che potrebbero indicare eventi potenzialmente dannosi, come risorse compromesse o attacchi informatici.

Rilevamento di anomalie

Anomaly Detection è un servizio integrato che utilizza indicatori di comportamento dall'esterno del tuo sistema. Visualizza informazioni granulari sulle anomalie di sicurezza rilevate per i tuoi progetti e le tue istanze di macchine virtuali (VM), tra cui potenziali credenziali divulgate. Anomaly Detection viene attivato automaticamente quando attivi il livello Standard o Premium di Security Command Center e i risultati sono disponibili nella console Google Cloud .

I risultati del rilevamento delle anomalie includono quanto segue:

L'account ha credenziali divulgate

GitHub ha comunicato a Security Command Center che le credenziali utilizzate per un commit sembrano essere le credenziali di un account di servizio Identity and Access Management.Google Cloud

La notifica include il nome account di servizio e l'identificatore della chiave privata. Google Cloud Invia anche una notifica via email al tuo contatto designato per problemi di sicurezza e privacy.

Per risolvere il problema, esegui una o più delle seguenti azioni:

• Identifica l'utente legittimo della chiave.
• Ruota la chiave.
• Rimuovi la chiave.
• Esamina le azioni intraprese dalla chiave dopo la sua divulgazione per assicurarti che nessuna sia dannosa.

{
  "findings": {
    "access": {},
    "assetDisplayName": "PROJECT_NAME",
    "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID",
    "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "category": "account_has_leaked_credentials",
    "contacts": {
      "security": {
        "contacts": [
          {
            "email": "EMAIL_ADDRESS"
          }
        ]
      }
    },
    "createTime": "2022-08-05T20:59:41.022Z",
    "database": {},
    "eventTime": "2022-08-05T20:59:40Z",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat",
    "indicator": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID",
    "parentDisplayName": "Cloud Anomaly Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "severity": "CRITICAL",
    "sourceDisplayName": "Cloud Anomaly Detection",
    "state": "ACTIVE",
    "vulnerability": {},
    "workflowState": "NEW"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "display_name": "PROJECT_NAME",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "project_display_name": "PROJECT_NAME",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": []
  },
  "sourceProperties": {
    "project_identifier": "PROJECT_ID",
    "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
    "finding_type": "Potential compromise of a resource in your organization.",
    "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.",
    "action_taken": "Notification sent",
    "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID",
    "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json"
  }
}
    

Container Threat Detection

Container Threat Detection può rilevare gli attacchi runtime ai container più comuni e avvisarti in Security Command Center e, facoltativamente, in Cloud Logging. Container Threat Detection include diverse funzionalità di rilevamento, uno strumento di analisi e un'API.

La strumentazione di rilevamento di Container Threat Detection raccoglie il comportamento di basso livello nel kernel guest ed esegue l'elaborazione del linguaggio naturale sul codice per rilevare gli eventi seguenti:

• Added Binary Executed
• Added Library Loaded
• Command and Control: Steganography Tool Detected (Anteprima)
• Credential Access: Find Google Cloud Credentials
• Credential Access: GPG Key Reconnaissance
• Credential Access: Search Private Keys or Passwords
• Defense Evasion: Base64 ELF File Command Line
• Defense Evasion: Base64 Encoded Python Script Executed
• Defense Evasion: Base64 Encoded Shell Script Executed
• Defense Evasion: Launch Code Compiler Tool In Container (Anteprima)
• Execution: Added Malicious Binary Executed
• Execution: Added Malicious Library Loaded
• Execution: Built in Malicious Binary Executed
• Execution: Container Escape
• Execution: Fileless Execution in /memfd:
• Execution: Ingress Nightmare Vulnerability Execution (Anteprima)
• Execution: Kubernetes Attack Tool Execution
• Execution: Local Reconnaissance Tool Execution
• Execution: Malicious Python executed
• Execution: Modified Malicious Binary Executed
• Execution: Modified Malicious Library Loaded
• Execution: Netcat Remote Code Execution In Container
• Execution: Possible Remote Command Execution Detected (Anteprima)
• Execution: Program Run with Disallowed HTTP Proxy Env
• Execution: Suspicious OpenSSL Shared Object Loaded
• Exfiltration: Launch Remote File Copy Tools in Container
• Impact: Detect Malicious Cmdlines (Anteprima)
• Impact: Remove Bulk Data From Disk
• Impact: Suspicious crypto mining activity using the Stratum Protocol
• Malicious Script Executed
• Malicious URL Observed
• Privilege Escalation: Fileless Execution in /dev/shm
• Reverse Shell
• Unexpected Child Shell

Scopri di più su Container Threat Detection.

Event Threat Detection

Event Threat Detection utilizza i dati dei log all'interno dei tuoi sistemi. Monitora il flusso di Cloud Logging per i progetti e consuma i log man mano che diventano disponibili. Quando viene rilevata una minaccia, Event Threat Detection scrive un risultato in Security Command Center e in un progetto Cloud Logging. Event Threat Detection viene attivato automaticamente quando attivi il livello Premium di Security Command Center e i risultati sono disponibili nella consoleGoogle Cloud .

La tabella seguente elenca alcuni esempi di risultati di Event Threat Detection.

Scopri di più su Event Threat Detection.

Google Cloud Armor

Google Cloud Armor aiuta a proteggere la tua applicazione fornendo il filtro di livello 7. Google Cloud Armor analizza le richieste in entrata per rilevare attacchi web comuni o altri attributi di livello 7 per bloccare potenzialmente il traffico prima che raggiunga i servizi di backend con bilanciamento del carico o i bucket di backend.

Google Cloud Armor esporta due risultati in Security Command Center:

• Picco di traffico consentito

• Aumento del rapporto di rifiuto

Virtual Machine Threat Detection

Virtual Machine Threat Detection è un servizio integrato di Security Command Center disponibile nei livelli Enterprise e Premium. Questo servizio esegue la scansione delle macchine virtuali per rilevare applicazioni potenzialmente dannose, come software di mining di criptovalute, rootkit in modalità kernel e malware in esecuzione in ambienti cloud compromessi.

VM Threat Detection fa parte della suite di rilevamento delle minacce di Security Command Center ed è progettato per integrare le funzionalità esistenti di Event Threat Detection e Container Threat Detection.

Per ulteriori informazioni su VM Threat Detection, consulta la panoramica di VM Threat Detection.

Risultati delle minacce di VM Threat Detection

VM Threat Detection può generare i seguenti risultati di minaccia.

Risultati della minaccia di mining di criptovalute

VM Threat Detection rileva le seguenti categorie di risultati tramite la corrispondenza degli hash o le regole YARA.

Risultati delle minacce rootkit in modalità kernel

VM Threat Detection analizza l'integrità del kernel in fase di runtime per rilevare le tecniche di elusione comuni utilizzate dal malware.

Il modulo KERNEL_MEMORY_TAMPERING rileva le minacce eseguendo un confronto hash sul codice kernel e sulla memoria dei dati di sola lettura del kernel di una macchina virtuale.

Il modulo KERNEL_INTEGRITY_TAMPERING rileva le minacce controllando l'integrità delle strutture di dati del kernel importanti.

Errori

I rilevatori di errori possono aiutarti a rilevare errori nella configurazione che impediscono alle origini di sicurezza di generare risultati. I risultati di errore vengono generati dalla sorgente di sicurezza Security Command Center e hanno la classe di risultati SCC errors.

Azioni involontarie

Le seguenti categorie di risultati rappresentano errori probabilmente causati da azioni involontarie.

Per maggiori informazioni, vedi Errori di Security Command Center.

Passaggi successivi

• Scopri di più su Security Command Center nella panoramica di Security Command Center.
• Scopri come aggiungere nuove origini di sicurezza configurando i servizi di Security Command Center.