Nesta página, explicamos como trabalhar com descobertas do Security Command Center. Uma descoberta é um registro de um problema de segurança que os serviços do Security Command Center criam quando detectam um problema de segurança. As descobertas são listadas na página Descobertas. Clique em uma descoberta para ver os detalhes e o formato JSON completo dela.
Algumas das ações que você pode realizar na página Descobertas incluem:
- Consultar descobertas.
- Inspecione as descobertas.
- Silenciar descobertas.
- Adicione marcações de segurança às descobertas.
Para informações sobre como trabalhar com descobertas de maneira programática, consulte Bibliotecas de cliente do Security Command Center.
Receber as permissões necessárias
Nesta seção, listamos os papéis do IAM necessários para trabalhar com descobertas no console.
Papéis do IAM do consoleGoogle Cloud
Para trabalhar com descobertas no console Google Cloud , você precisa dos seguintes papéis do IAM.
Make sure that you have the following role or roles on the organization:
- Security Center Findings Viewer (
roles/securitycenter.findingsViewer) - Security Center Findings Editor (
roles/securitycenter.findingsEditor)
Check for the roles
-
In the Google Cloud console, go to the IAM page.
Go to IAM - Select the organization.
-
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
- For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.
Grant the roles
-
In the Google Cloud console, go to the IAM page.
Acessar o IAM - Selecionar uma organização.
- Clique em CONCEDER ACESSO.
-
No campo Novos principais, insira seu identificador de usuário. Normalmente, é o endereço de e-mail de uma Conta do Google.
- Na lista Selecionar um papel, escolha um.
- Para conceder outros papéis, clique em Adicionar outro papel e adicione cada papel adicional.
- Clique em Salvar.
- Abra a página Descobertas e clique na guia do seu nível de serviço.
- No console do Google Cloud , acesse a página Descobertas do Security Command Center.
- Selecione o projeto Google Cloud ou a organização.
- No console do Google Cloud , acesse a página Descobertas do Security Command Center.
- Selecione o projeto Google Cloud ou a organização.
- No painel Filtros rápidos, selecione um ou mais filtros de atributos predefinidos para adicioná-los a uma consulta. Use o painel Filtros rápidos para conferir as opções de filtro de alto nível usadas com frequência.
- No menu Adicionar filtro do painel Editor de consultas, selecione um ou mais filtros de atributos predefinidos para adicioná-los a uma consulta. Use o menu Adicionar filtro para filtros mais granulares e avançados baseados em atributos de descoberta de nível inferior. Para mais informações, consulte Editar uma consulta de descobertas no console.
- Edite a consulta de descobertas diretamente no painel Editor de consultas.
- Na visualização de detalhes de uma descoberta, no menu suspenso de um atributo específico, selecione um filtro predefinido para esse atributo e adicione-o a uma consulta.
- No painel Agregações, selecione um ou mais filtros de atributos predefinidos para adicioná-los a uma consulta. Use o painel Agregações para conferir as opções de filtro de alto nível usadas com frequência.
- No menu Adicionar filtro do painel Editor de consultas, selecione um ou mais filtros de atributos predefinidos para adicionar a uma consulta. Use o menu Adicionar filtro para filtros mais granulares e avançados baseados em atributos de descoberta de nível inferior. Para mais informações, consulte Editar uma consulta de descobertas no console.
- Edite a consulta de descobertas diretamente no painel Editor de consultas.
- A guia Resumo, que é a visualização padrão, destaca as principais informações e atributos da descoberta.
- A guia Propriedades de origem, onde é possível ver os atributos do
objeto
sourcePropertiesdo JSON da descoberta. - A guia JSON, onde é possível ver o formato JSON completo da descoberta.
- O que foi detectado (ou Visão geral)
Detalhes sobre a descoberta detectada, como os seguintes:
- Gravidade da descoberta
- O estado de descoberta,
ACTIVEouINACTIVE - Todos os campos-chave relacionados à descoberta específica
- Vulnerabilidade
Informações do registro de CVE que correspondem à vulnerabilidade, se houver. A seção Vulnerabilidade inclui informações do registro de CVE, como:
- ID da CVE
- Pontuação da CVE
- Impacto
- Atividade de exploração
- Exposição a ataques
A pontuação de exposição a ataques e o horário em que a pontuação foi calculada pela última vez. Clicar na pontuação abre uma representação visual dos recursos afetados de alto valor e o caminho de ataque associado.
- Recurso afetado
Detalhes sobre o recurso associado à descoberta, incluindo as seguintes informações:
- O nome completo do recurso afetado
- O provedor de serviços de nuvem do recurso.
- Os contatos técnicos e de segurança
- Informações do caso
Detalhes sobre o caso associado à descoberta, incluindo as seguintes informações:
- O nome completo do recurso do sistema externo associado à descoberta.
- O grupo atribuído ao caso
- O ID do caso, que vincula ao caso no console do Security Operations
- O status do caso
- O horário da atualização no sistema externo de gerenciamento de casos
- O prazo comprometido para encerrar o caso
- Marcações de segurança
As marcações de segurança associadas a essa descoberta, se houver.
- Próximas etapas
Orientações sobre o que você pode fazer para corrigir o problema detectado. Apenas determinados serviços, como a Análise de integridade da segurança, fornecem as próximas etapas.
- Links relacionados
Links para as principais fontes de informações de segurança fora do Security Command Center. Somente determinados serviços, como o Event Threat Detection, fornecem links relacionados.
- Serviço de detecção
Detalhes sobre o serviço ou a origem que detectaram a descoberta.
findings: os atributos da descoberta. Esses atributos são padronizados em todos os serviços incorporados e integrados, também conhecidos como fontes de segurança. Veja mais informações emFinding.resource: os atributos do recurso afetado. Para mais informações, consulteResource.sourceProperties: as propriedades específicas do serviço da descoberta.- Na página Descobertas, clique na descoberta para ver os detalhes dela.
- Na visualização detalhada da descoberta, encontre o atributo que você quer filtrar.
- Ao lado do atributo, abra o menu suspenso.
- Selecione um filtro predefinido para o atributo. O filtro é adicionado à consulta de descobertas na página Descobertas.
- Na página Descobertas, clique na descoberta para ver os detalhes dela.
- Na visualização detalhada da descoberta, encontre o atributo que você quer filtrar.
- Ao lado do atributo, abra o menu suspenso.
- Selecione um filtro predefinido para o atributo. O filtro é adicionado à consulta de descobertas na página Descobertas.
- Na página Descobertas, clique na descoberta para ver os detalhes dela.
-
Na visualização detalhada da descoberta, é possível encontrar e copiar o nome da API correspondente de cada atributo exibido.
O nome equivalente da API para cada atributo está listado na mesma linha que o atributo. Todos os nomes de API estão na última coluna. Por exemplo, para o atributo State, o nome equivalente da API é
state. - Na página Descobertas, clique na descoberta para ver os detalhes dela.
- Na visualização detalhada da descoberta, encontre o atributo cujo equivalente de API você quer copiar.
- Ao lado do atributo, abra o menu suspenso.
- Clique em Copiar equivalente da API.
- Na página Descobertas, clique na descoberta para ver os detalhes dela.
- Clique em Tomar ação > Copiar link.
- Na página Descobertas, clique na descoberta para ver os detalhes dela.
- Clique em Copiar link.
- Na página Descobertas, clique na descoberta para ver os detalhes dela.
- Clique em Fazer algo > Enviar feedback.
- Insira uma descrição do seu feedback.
- Para incluir uma captura de tela, clique em Capturar tela.
- Clique em Enviar.
- Resultados da consulta de descobertas na página Descobertas
- Visualização detalhada de uma descoberta
- No console do Google Cloud , acesse a página Descobertas do Security Command Center.
- Selecione o projeto Google Cloud ou a organização.
- No painel Resultados da consulta de descobertas, selecione a descoberta.
- Na barra de ações do painel Resultados da consulta de descobertas, clique em Alterar o estado ativo.
- No menu Alterar estado ativo, selecione Ativo ou Inativo.
- Categoria: o nome do tipo de descoberta.
- Gravidade: a gravidade da descoberta. Para mais informações sobre como encontrar níveis de gravidade, consulte Classificações de gravidade para descobertas.
- Pontuação de combinação tóxica: uma pontuação de exposição a ataques em uma descoberta de classe
Toxic combination. - Pontuação de exposição a ataques: a pontuação de exposição a ataques da descoberta.
- Horário do evento: quando a descoberta foi detectada pela primeira vez ou quando foi atualizada pela última vez.
- Horário de criação: quando a descoberta foi criada no Security Command Center.
- Classe da descoberta: indica uma classe, como
THREAT,VULNERABILITYeMISCONFIGURATION. - Nome de exibição do recurso: identifica em que recurso o problema foi detectado.
- Nome completo do recurso: nome completo do recurso onde o problema foi detectado.
- Provedor de nuvem de recursos: o provedor de serviços de nuvem em que o recurso está hospedado.
- Caminho do recurso: direciona para o recurso onde o problema foi detectado.
- Tipo de recurso: tipo de recurso onde o problema foi detectado.
- Marcações de segurança: todas as marcações de segurança adicionadas à descoberta.
- À direita da barra de ações Resultados da consulta de descobertas, clique em view_column Colunas.
- Selecione as colunas que você quer mostrar.
- Desmarque as seleções das colunas que você quer ocultar.
- Clique em Aplicar para aplicar as mudanças no painel Resultados da consulta de descobertas.
- Na barra de ações Descobertas, clique em view_column Gerenciar colunas. O menu Gerenciar colunas é aberto.
- Selecione as colunas que você quer mostrar.
- Desmarque as seleções das colunas que você quer ocultar.
- Feche o menu.
- Painel Filtros rápidos
- Painel Editor de consultas
- Para ocultar o painel lateral Agregações, clique em chevron_left Fechar barra lateral.
- Para mostrar o painel lateral Agregações, clique em chevron_right Abrir barra lateral.
- Para ocultar o painel Editor de consultas, clique em keyboard_arrow_up Fechar editor de consultas.
- Para mostrar o painel Editor de consultas, clique em keyboard_arrow_down Abrir editor de consultas.
- Saiba mais sobre os serviços de detecção.
- Saiba como usar marcações de segurança.
- Saiba como configurar os serviços do Security Command Center.
- Saiba como criar um filtro de descobertas usando a API Security Command Center.
Para mais informações sobre papéis e permissões do Security Command Center, consulte IAM para ativações no nível da organização.
Ver descobertas
Padrão ou Premium
Enterprise
Ajuste o período para ver mais descobertas
É possível ajustar o período usado para as consultas. O período padrão é Last 7 days.
O intervalo de tempo é baseado no valor do atributo eventTime das descobertas, que reflete o horário em que o registro da descoberta foi atualizado pela última vez.
Para informações sobre como ajustar o período, clique na guia do seu nível de licença.
Padrão ou Premium
Na página Descobertas do console Google Cloud , defina o campo de período.
Enterprise
Na parte de cima da lista de descobertas na página Descobertas, defina o campo Mostrando.
Disponibilidade da descoberta
Uma descoberta geralmente fica disponível para consulta no Security Command Center menos de um minuto após ser gerada e armazenada no banco de dados de descobertas do Security Command Center por um serviço específico a essa finalidade. Dependendo do seu nível do Security Command Center, as descobertas permanecem disponíveis para você listar ou consultar por períodos específicos. Para saber mais sobre a retenção de dados do Security Command Center, consulte Retenção de dados.
Encontrar e ver descobertas específicas
Por padrão, a página Descobertas mostra todas as descobertas ativas que não foram silenciadas e estão novas ou atualizadas nos últimos sete dias. Para mostrar descobertas inativas ou silenciadas, selecione Mostrar inativas ou Mostrar silenciadas no painel Filtros rápidos.
Para ver descobertas específicas, edite a consulta de descobertas para determinar os valores ou atributos que as descobertas precisam conter ou não.
O exemplo a seguir é a consulta de descobertas padrão:
state="ACTIVE" AND NOT mute="MUTED"
É possível ver a consulta de descobertas atual no painel Editor de consultas. Você pode editar a consulta diretamente ou selecionar filtros predefinidos para criá-la. Para mais informações, clique na guia do seu nível de serviço.
Padrão ou Premium
Na página Descobertas no console Google Cloud , é possível fazer o seguinte:
Enterprise
Na página Descobertas, você pode fazer o seguinte:
Ver os detalhes de uma descoberta
Para saber mais sobre uma descoberta, abra a visualização detalhada dela clicando em seu nome, na coluna Categoria dos resultados da consulta de descobertas.
Na visualização detalhada, é possível encontrar informações essenciais para entender uma descoberta, investigar uma ameaça ou resolver uma vulnerabilidade.
A visualização detalhada de descobertas inclui as seguintes guias que podem ser selecionadas para dar mais informações sobre uma descoberta e executar uma ação:
Você pode executar determinadas ações na descoberta quando na visualização de detalhes, bem como encontrar links para informações adicionais relacionadas à descoberta.
Saiba mais sobre a descoberta na visualização de detalhes
A visualização detalhada de uma descoberta destaca informações importantes sobre ela que podem ser usadas para entender e resolver o problema de segurança.
Informações sobre a guia Resumo
A guia Resumo fornece informações sobre a descoberta nas seguintes seções:
Informações sobre a guia Propriedades de origem
Para algumas descobertas, o painel de detalhes inclui uma guia Propriedades de origem
que destaca determinadas propriedades do objeto sourceProperties do
JSON de descoberta.
As propriedades de origem são diferentes para cada descoberta e para cada serviço executado no Security Command Center. Não há garantia de que as propriedades de origem sejam padronizadas em todos os serviços. Por esse motivo, não recomendamos o consumo programático de propriedades de origem. Se você quiser que uma propriedade de origem seja padronizada em todos os serviços, envie seu feedback.
Informações na guia JSON
A guia JSON contém a estrutura JSON completa da descoberta, o que pode ser útil ao investigar uma descoberta ou procurar atributos que podem ser usados nas suas consultas de descobertas.
Para copiar o objeto JSON para a área de transferência, clique em Copiar.
A estrutura JSON de uma descoberta contém estes objetos:
Você também pode usar a
API ListFindings para listar
descobertas e ver as definições JSON delas.
Executar ações em uma descoberta na visualização de detalhes
É possível realizar várias ações em uma descoberta, como visualizar detalhes dela ou silenciar o aviso sonoro. Se você estiver na visualização de detalhes da descoberta no console Google Cloud , também poderá adicionar atributos da descoberta à consulta de descobertas atual.
Silenciar uma descoberta na visualização de detalhes
Na visualização detalhada de uma descoberta, é possível ativar ou desativar o som dela. Você também pode criar uma regra que silencie todas as descobertas futuras, da mesma forma que a descoberta atual.
Para instruções completas sobre como silenciar uma descoberta ou criar uma regra de silenciamento, consulte Desativar som das descobertas no Security Command Center.
Adicionar filtros de atributos a uma consulta na visualização de detalhes
No console Google Cloud , na visualização detalhada de uma descoberta, adicione filtros para os atributos exibidos na consulta de descobertas atual.
Para saber como adicionar filtros de atributos a uma consulta na visualização de detalhes, clique na guia do seu nível de serviço.
Padrão ou Premium
Enterprise
Ver ou copiar nomes de APIs de atributos na visualização detalhada de uma descoberta
A maioria dos atributos de descoberta exibidos no console Google Cloud tem um nome correspondente usado na API Security Command Center.
Para saber como ver ou copiar nomes de APIs de atributos na visualização detalhada de uma descoberta, clique na guia da sua categoria de serviço.
Padrão ou Premium
Enterprise
Compartilhar a visualização detalhada de uma descoberta
Para compartilhar a visualização detalhada de uma descoberta com outras pessoas, copie o URL da página de detalhes.
Para saber como copiar o URL da visualização detalhada de uma descoberta, clique na guia do console que você está usando.
Padrão ou Premium
Enterprise
Enviar feedback sobre a descoberta para Google Cloud
Para saber como enviar feedback sobre uma descoberta, clique na guia do seu nível de serviço.
Padrão ou Premium
Enterprise
Esse recurso não está disponível no Security Command Center Enterprise.
Mostrar detalhes de outras descobertas nos resultados da consulta de descobertas
Para ver os detalhes das descobertas que precedem ou sucedem a que está sendo visualizada no momento, use o botão de avanço ou de retrocesso para ir à descoberta seguinte ou anterior sem precisar voltar à página Descobertas.
Adicionar marcações de segurança às descobertas
Uma marcação de segurança é um identificador de chave-valor personalizado que pode ser usado para anotar uma descoberta, associá-la a outras que compartilham a mesma marcações de segurança e consultar descobertas.
Para instruções completas sobre como definir marcações de segurança em descobertas ou recursos, consulte Como usar marcações de segurança.
Silenciar descobertas no console
É possível silenciar e ativar as descobertas nas seguintes visualizações:
É possível desativar o som de descobertas individuais ou criar regras para silenciar as descobertas atuais e futuras com base nos filtros definidos por você.
As descobertas silenciadas ficam ocultas, mas ainda será possível vê-las se o filtro mute="MUTED" for adicionado a uma consulta. As descobertas silenciadas continuam
a ser registradas, para fins de auditoria e conformidade.
Para instruções detalhadas sobre como desativar e ativar o som de descobertas, consulte Desativar som de descobertas no Security Command Center.
Mudar o estado de uma descoberta
Uma descoberta pode ter um dos dois estados: Active ou Inactive.
Um estado Active significa que o problema de segurança identificado pela
descoberta persiste no ambiente como uma possível ameaça ou
vulnerabilidade.
Um estado Inactive significa que o problema de segurança foi resolvido.
Você pode querer mudar o estado de uma descoberta por vários motivos,
como a mudança para o estado Inactive assim que o problema identificado pela descoberta for
resolvido. Desse modo, não será necessário aguardar a próxima verificação mudar
o estado para você.
Para saber como mudar o estado de uma descoberta, clique na guia da categoria de serviço.
Padrão ou Premium
Enterprise
Esse recurso não está disponível no Security Command Center Enterprise.
Personalizar a página "Descobertas"
Para controlar o espaço na tela, personalize alguns dos elementos que aparecem nos resultados da consulta de descobertas.
Ocultar ou mostrar colunas nos resultados da consulta de descobertas
Nos resultados da consulta de descobertas, é possível ocultar qualquer coluna, exceto Categoria.
Confira alguns exemplos de colunas disponíveis:
Para informações sobre como ocultar ou mostrar as colunas nos resultados da consulta de descobertas, clique na guia do seu nível de serviço.
Padrão ou Premium
As seleções de coluna serão preservadas na próxima vez que você acessar a página Descobertas, mesmo que altere projetos ou organizações. Para limpar todas as seleções de colunas personalizadas, clique em Limpar seleções de colunas.
Enterprise
Suas seleções de coluna se aplicam apenas à guia ou janela atual. As configurações de coluna serão redefinidas na próxima vez que você fizer login.
Ocultar ou mostrar painéis da página de descobertas
Para aumentar o espaço na tela para editar consultas ou ver descobertas, você pode ocultar ou mostrar painéis. Para mais informações, clique na guia do seu nível de serviço.
Padrão ou Premium
Você pode ocultar ou mostrar os seguintes painéis:
Para ocultar um painel, clique no ícone Alternar painel, first_page ou first_page.
Para mostrar o painel, clique no ícone novamente.