Security Command Center Enterprise 控制台

Security Command Center Enterprise 层级包含两个控制台：Google Cloud 控制台和 Security Operations 控制台。

您可以使用相同的用户名和凭据登录这两个控制台。

Google Cloud 控制台

您可以通过 Google Cloud 控制台执行以下任务：

  • 激活 Security Command Center。
  • 为所有 Security Command Center 用户设置 Identity and Access Management (IAM) 权限。
  • 配置 AWS 连接以进行漏洞管理。
  • 处理和导出发现结果。
  • 管理安全状况。
  • 使用攻击风险得分评估风险。
  • 使用敏感数据保护功能识别高敏感数据。
  • 直接检测和修复各项发现结果。
  • 配置 Security Health Analytics、Web Security Scanner 和其他 Google Cloud 集成服务。
  • 评估您是否符合常见的安全标准或基准，并生成报告。
  • 查看和搜索您的 Google Cloud 资产。

您可以通过 Risk Overview（风险概览）页面在 Google Cloud 控制台中访问 Security Command Center 内容。

进入 Security Command Center

下图显示了 Google Cloud 控制台中的 Security Command Center 内容。

Google Cloud 控制台。

安全运维控制台

借助安全运营控制台，您可以执行以下任务：

  • 配置 AWS 连接以进行威胁检测。
  • 配置用户和群组以进行突发事件管理。
  • 配置安全编排、自动化和响应 (SOAR) 设置。
  • 配置将数据注入到安全信息和事件管理 (SIEM) 中。
  • 调查和修复 Google Cloud 组织和 AWS 环境中的各项发现。
  • 处理支持请求，包括对发现结果进行分组、分配工单以及处理提醒。
  • 使用一组自动执行的步骤（称为“手册”）来解决问题。
  • 使用 Workdesk 管理待处理的操作和任务，以及待处理的支持请求和手册。

您可以通过 https://customer_subdomain.backstory.chronicle.security 访问 Security Operations 控制台，其中 customer_subdomain 是您的客户专用标识符。您可以使用以下任一方法确定您的网址：

  • 在 Google Cloud 控制台中的设置向导中，第 4 步至第 6 步会重定向到安全运营控制台。如需访问设置向导，请完成以下操作：

    1. 前往 Security Command Center 设置指南。

      前往设置指南

    2. 选择已启用 Security Command Center 的组织。

    3. 点击以下任一步骤中的链接：

      • 第 4 步：设置用户和群组
      • 第 5 步：配置集成
      • 第 6 步：配置日志提取

  • 在 Google Cloud 控制台中，点击其中一个支持请求链接。如需访问支持请求链接，请完成以下操作：

    1. 前往漏洞（按案例）页面。

      前往“漏洞（按案例）”页面

    2. 选择已启用 Security Command Center 的组织。

    3. 点击漏洞发现结果表格中支持请求 ID 列下的任意链接。

  • 在 Google Cloud 控制台中，访问 Google 安全运营管理设置页面上的链接。若要使用此方法，您需要知道为贵组织激活 Security Command Center Enterprise 时所用的管理项目。

    1. 前往 Google SecOps 页面。

      前往 Google SecOps

    2. 选择贵组织的管理项目。

    3. 点击前往 Google Security Operations。

下图显示了 Security Operations 控制台。

Security Operations 控制台。

漏洞管理信息中心

通过安全运营控制台中的信息中心，您可以快速了解云环境中的安全状况问题和漏洞。

您可以使用 Security Operations 控制台中的漏洞管理信息中心，调查 Google Cloud 和 AWS 环境中识别出的 CVE 漏洞。

如需查看信息中心，请前往发现结果页面。

https://CUSTOMER_SUBDOMAIN.backstory.chronicle.security/security-command-center/overview/cve-vulnerabilities

将 CUSTOMER_SUBDOMAIN 替换为您的客户专用标识符。

如果该页面未显示，请从导航栏中依次选择风险 > 概览，然后从菜单中选择漏洞。

在每个报告中，您可以使用过滤条件来显示所有云服务提供商或部分云服务提供商的数据。该信息中心包含以下报告：

  • 最常见的漏洞及漏洞利用威胁会按可利用性和影响分组显示漏洞发现结果。

    可能的 Exploitability 值如下：

    • WIDE：已报告利用该漏洞的方法，或已确认该漏洞已被广泛利用。
    • CONFIRMED：针对该漏洞的已报告或已确认的利用活动有限。
    • AVAILABLE：此漏洞的利用程序已公开。
    • ANTICIPATED：没有已知的漏洞利用活动，但很有可能被利用。
    • NO_KNOWN：没有已知的利用此漏洞的活动。

    这些是 organizations.sources.findings API 针对 CVE 返回的 ExploitationActivity 值。

    可能的影响值用于衡量潜在漏洞的利用可能性：

    • LOW：漏洞对安全性的影响微乎其微或没有影响。
    • MEDIUM：利用此漏洞，攻击者可以执行操作，或者可以让攻击者产生直接影响，但需要执行额外的步骤。
    • HIGH：利用此漏洞，攻击者无需克服任何重大缓解因素，即可产生显著的直接影响。
    • CRITICAL：此类漏洞会从根本上破坏受影响系统的安全性，使攻击者能够不费吹灰之力发动重大攻击，并且几乎无需克服任何缓解因素。

    这些是 organizations.sources.findings API 针对 CVE 返回的 RiskRating 值。

    点击热点图中的单元格，即可查看按您选择的条件过滤出的相关漏洞。

    资源列会显示识别出的唯一资源 ID 的数量。发现结果列会显示在所有资源中发现的发现结果的总数。每项资源都可能有多个发现结果。点击发现结果列中的值可查看有关这些发现结果的详细信息。

  • 最常见的重大可利用漏洞会显示 CVE 漏洞以及发现漏洞的唯一资源 ID 数量。

    展开单个 CVE ID 对应的行，即可查看相关发现结果列表以及发现相应发现结果的资源数量。单个资源可能会存在多个问题。相关发现的所有资源数总和可能大于 CVE ID 的唯一资源 ID 数。

  • 最新的计算漏洞（含已知漏洞）会显示与 Compute 实例上已知漏洞相关的软件 CVE 漏洞。此报告中的发现结果属于类别 OS_VULNERABILITY 和 SOFTWARE_VULNERABILITY。表格包含以下信息：

    • 漏洞发布日期和首次可用日期：漏洞发布的日期，以及首次可用或确认的日期。

    • 暴露的资源：在风险引擎资源值配置中也配置的已识别资源的数量。此计数包括资源值配置为“高”“中等”或“低”的资源。

    • 攻击风险得分：如果风险引擎计算出值，系统会填充此值。点击相应值可查看有关该得分的详细信息。

    • 虚拟机：虚拟机实例标识符。 点击相应值可查看特定云环境中相应资源的详细信息。

    • 已在实际环境中观察到和可利用性：漏洞是否已在实际环境中被利用，以及利用活动的衡量标准。

  • 具有可利用漏洞的容器会显示存在可利用的 CVE 漏洞的容器，其中漏洞利用活动为 available、confirmed 或 wide，风险评分为 critical，具体取决于 Google 威胁情报的评估结果。

    该报告包含每个容器的详细信息，并会按攻击暴露得分进行排序。受影响资源数量最多的容器会显示在顶部。

    • 容器：显示容器名称和容器运行所在的云环境。

    • 容器映像：显示用于部署容器的映像的名称。

    • 发现结果：显示 CVE ID 并提供指向发现结果详情的链接。

    • 资源链接：对于在 Google Cloud 中运行的容器，提供用于显示有关资源的更多详细信息的链接。对于在其他云环境中运行的容器，如果可以创建直接链接，请提供指向该其他云环境的链接以提供更多详细信息。

    • AES 得分：显示攻击风险得分。点击相应得分即可查看攻击路径。

后续步骤