Sicherheitslückenbewertung für Google Cloud aktivieren und verwenden

Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

Mit der Sicherheitsrisikobewertung für Google Cloud können Sie kritische und schwerwiegende Softwarelücken in Ihren Compute Engine-VM-Instanzen erkennen, ohne Agenten installieren zu müssen. Dazu werden die Laufwerke Ihrer VM-Instanz ungefähr alle 12 Stunden geklont, in einer anderen sicheren VM-Instanz bereitgestellt und mit dem SCALIBR-Scanner geprüft.

Die VM-Instanz für die Suche hat die folgenden Eigenschaften:

• Sie wird in derselben Region wie die Quell-VM-Instanz erstellt.
• Sie wird in einem Google-Projekt erstellt und verursacht daher keine zusätzlichen Kosten.

Hinweise

Wenn Sie VPC Service Controls-Perimeter eingerichtet haben, erstellen Sie die erforderlichen Regeln für ausgehenden und eingehenden Traffic.

Beschränkungen

• VM-Instanzen mit nichtflüchtigen Laufwerken, die mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln (CSEK) oder vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEK) verschlüsselt sind, werden nicht unterstützt.
• Es werden nur VFAT-, EXT2- und EXT4-Partitionen gescannt.
• Der Security Command Center-Dienstagent benötigt Zugriff, um VM-Instanzen des Projekts aufzulisten und deren Laufwerke in Google-eigenen Projekten zu klonen. Einige Sicherheits- und Richtlinienkonfigurationen wie Einschränkungen für Organisationsrichtlinien können diesen Zugriff beeinträchtigen und die Suche verhindern.

Dienstidentität und Berechtigungen

Die Schwachstellenbewertung für den Dienst Google Cloud verwendet Security Command Center-Dienst-Agents für Identität und Berechtigung zum Zugriff auf Google Cloud -Ressourcen.

Für die Aktivierung von Security Command Center auf Organisationsebene wird der folgende Serviceagent verwendet:

service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com

Bei der Aktivierung von Security Command Center auf Projektebene wird der folgende Kundenservicemitarbeiter verwendet:

service-project-PROJECT_NUMBER@security-center-api.iam.gserviceaccount.com

Sicherheitslückenbewertung für Google Cloudaktivieren oder deaktivieren

Bei Organisationen, die die Premium- oder Enterprise-Stufen des Security Command Centers nutzen, ist die Sicherheitsrisikobewertung für Google Cloud standardmäßig für alle VM-Instanzen aktiviert, sofern möglich. So ändern Sie diese Einstellung:

1. Rufen Sie in der Google Cloud Console die Seite Risikoübersicht auf:

   Zur Risikoübersicht

2. Wählen Sie eine Organisation aus, für die Sie die Sicherheitslückenbewertung für Google Cloud aktivieren möchten.

3. Klicken Sie auf Einstellungen.

4. Klicken Sie auf der Karte Sicherheitsrisikobewertung auf Einstellungen verwalten.

5. Aktivieren oder deaktivieren Sie auf dem Tab Google Cloud in der Spalte Agentenlose Sicherheitslückenbewertung die Sicherheitslückenbewertung für Google Cloud auf Organisations-, Ordner- oder Projektebene. Untergeordnete Ebenen können auch so festgelegt werden, dass sie den Wert von übergeordneten Ebenen übernehmen.

Ergebnisse der Prüfung auf Sicherheitslücken für Google Cloud

Wenn die Sicherheitsrisikobewertung für den Dienst Google Cloud eine Softwarelücke auf einer Compute Engine-VM-Instanz erkennt, generiert der Dienst am Google Cloudeinen Befund im Security Command Center.

Jedes Ergebnis enthält die folgenden Informationen, die für die erkannte Softwarelücke spezifisch sind:

• Der vollständige Ressourcenname der betroffenen Instanz
• Eine Beschreibung der Sicherheitslücke, einschließlich der folgenden Informationen:
  • Das Softwarepaket, das die Sicherheitslücke enthält, und sein Speicherort
  • Informationen aus dem zugehörigen CVE-Eintrag
  • Eine Bewertung der Auswirkungen und Ausnutzbarkeit der Sicherheitslücke durch Mandiant
  • Eine Bewertung der Schwere der Sicherheitslücke durch das Security Command Center
• Eine Bewertung der Angriffsgefahr, mit der Sie die Behebung priorisieren können
• Eine visuelle Darstellung des Pfads, den ein Angreifer zu den wertvollen Ressourcen nehmen könnte, die durch die Sicherheitslücke offengelegt werden
• Falls verfügbar, Schritte zur Behebung des Problems, einschließlich des Patches oder Versionsupgrades, mit dem die Sicherheitslücke geschlossen werden kann

Alle Ergebnisse der Sicherheitslückenbewertung für Google Cloud haben die folgenden Attributwerte:

Kategorie

OS vulnerability

Software vulnerability

Klasse

Vulnerability

Cloud-Dienstanbieter

Google Cloud

Quelle

Vulnerability Assessment

Aufbewahrung von Ergebnissen

Nach der Behebung werden die vom Sicherheitsrisikobewertungstool für Google Cloud generierten Ergebnisse sieben Tage lang aufbewahrt und dann gelöscht. Die Ergebnisse der aktiven Sicherheitslückenbewertung Google Cloudwerden unbegrenzt aufbewahrt.

Paketstandort

Der Dateispeicherort einer in den Ergebnissen gemeldeten Sicherheitslücke bezieht sich entweder auf eine Binärdatei oder auf Paketmetadatendateien. Welche Daten aufgeführt werden, hängt vom verwendeten SCALIBR-Extractor ab.

Die folgende Tabelle enthält einige Beispiele für den Standort der Sicherheitslücke, die für verschiedene SCALIBR-Extractor angezeigt wird.

Ergebnisse in der Console ansehen

Sie können sich die Ergebnisse der Google Cloud Google Cloud Sicherheitsrisikobewertung in der Console ansehen. Prüfen Sie vorher, ob das Hauptkonto die entsprechenden Rollen hat.

So prüfen Sie die Ergebnisse der Sicherheitslückenbewertung in der Google Cloud Console: Google Cloud