本页面包含一系列检测服务,有时还包含 称为安全来源,Security Command Center 使用它们来检测 安全问题。
当这些服务检测到问题时,会生成发现结果, 用于识别安全问题的记录 确定问题的轻重缓急并加以解决所需的信息。
您可以在 Google Cloud 控制台中查看发现结果并对其进行过滤 例如按发现结果类型、资源类型或 特定资源。每个安全来源都可能提供更多过滤器, 可帮助您整理发现结果。
Security Command Center 的 IAM 角色可以在组织、文件夹或项目级层授予。您能否查看、修改、创建或更新发现结果、资产和安全来源,取决于您获授予的访问权限级别。如需详细了解 Security Command Center 角色,请参阅访问权限控制。
漏洞检测服务
漏洞检测服务包括内置和集成式服务 可检测软件漏洞、错误配置以及 安全状况违规这些类型统称为 我们将多个安全问题称为漏洞。
GKE 安全状况信息中心
GKE 安全状况信息中心是 Google Cloud 控制台,可为您提供专业、富有实用价值的发现结果 GKE 集群中的潜在安全问题。
如果您启用了以下任一 GKE Security Posture 信息中心 您将在 Security Command Center 标准层级或 高级层级:
GKE Security Posture 信息中心功能 | Security Command Center 发现结果类型 |
---|---|
工作负载配置审核 | MISCONFIGURATION |
VULNERABILITY |
发现结果会显示有关安全问题的信息, 解决工作负载或集群中的问题的建议。
在 Google Cloud 控制台中查看 GKE 安全状况信息中心发现结果
转到 Google Cloud 控制台中的 Security Command Center 发现结果页面:
选择您的 Google Cloud 项目或组织。
在快速过滤条件窗格的来源显示名称部分, 选择 GKE Security Posture。如果看不到 GKE Security Posture 过滤器,没有有效发现结果。
IAM Recommender
当 IAM 角色包含主账号不需要的 IAM 权限时,IAM Recommender 会提供一些建议,您可以遵循这些建议,通过移除或替换主账号中的 IAM 角色来提高安全性。
启用或停用 IAM Recommender 发现结果
如需在 Security Command Center 中启用或停用 IAM Recommender 发现结果,请按照以下步骤操作:
在 Google Cloud 控制台中,进入 Security Command Center 设置页面的集成服务标签页:
如有必要,请向下滚动到 IAM Recommender 条目。
在相应条目的右侧,选择启用或停用。
IAM Recommender 的发现结果归类为漏洞。
如需修复 IAM Recommender 发现结果,请展开即可下部分以 查看 IAM Recommender 发现结果表格。修复步骤 每个发现结果都包含在表条目中。
在控制台中查看 IAM Recommender 发现结果
在 Google Cloud 控制台中,您可以查看 由 IAM Recommender 在 漏洞 方法是选择 IAM Recommender 查询预设或 发现 方法是在源显示名称部分中选择 IAM Recommender (位于快速过滤条件面板中)。
Mandiant Attack Surface Management
Mandiant 是全球一线威胁情报领域的领导者。 Mandiant Attack Surface Management 可识别漏洞和错误配置 帮助您及时了解 最近的网络攻击
在您激活 您可以在 Google Cloud 控制台中查看 Security Command Center Enterprise 层级和发现结果。
了解独立 Mandiant Attack Surface Management 产品有何不同 请参阅 Security Command Center 中的 Mandiant Attack Surface Management 集成, ASM 和 Security Command Center 。此链接需要使用 Mandiant 身份验证。
在 Google Cloud 控制台中查看 Mandiant Attack Surface Management 发现结果
请按照以下过程在 Google Cloud 控制台中查看发现结果:
转到 Google Cloud 控制台中的 Security Command Center 发现结果页面。
选择您的 Google Cloud 项目或组织。
在快速过滤条件部分的来源显示名称中 子部分中,选择 Mandiant Attack Surface Management。
该表填充了 Mandiant Attack Surface Management 发现结果。
如需查看特定发现结果的详细信息,请点击类别下的发现结果名称。系统会打开发现结果的详细信息面板,并显示摘要标签页。
在摘要标签页上,查看有关发现结果的信息,包括有关检测到的内容、受影响的资源等的信息。
Policy Controller
Policy Controller 支持为 Kubernetes 集群应用并强制执行可编程政策。这些政策可作为保护措施,有助于 集群及其安全性和合规性管理的最佳实践 舰队。
如果您安装 Policy Controller,
并启用 CIS Kubernetes Benchmark v1.5.1 或 PCI-DSS v3.2.1
Policy Controller 捆绑包(或两者),Policy Controller 会自动写入
将集群违规问题作为 Misconfiguration
类发送到 Security Command Center
结果。Security Command Center 中的发现结果说明和后续步骤
发现结果与限制条件说明和补救步骤相同
相应的 Policy Controller 软件包。
Policy Controller 发现结果来自以下 Policy Controller 包:
- CIS Kubernetes 基准 v1.5.1:一组用于配置 Kubernetes 以支持可靠的安全状况的建议。您还可以在
cis-k8s-v1.5.1
的 GitHub 代码库中查看有关此包的信息。 - PCI-DSS v3.2.1:根据支付卡行业数据安全标准 (PCI-DSS) v3.2.1 的某些方面评估集群资源合规性的一个包。您还可以在
pci-dss-v3
的 GitHub 代码库中查看有关此包的信息。
如需查找和修复 Policy Controller 发现结果,请参阅修复 Policy Controller 发现结果。
风险引擎
Security Command Center Risk Engine 可评估您的 云部署,为发现的漏洞分配攻击风险得分 您的高价值资源,以及潜在用户可能 获取高价值资源所需的资源
在 Security Command Center 的企业层级中,风险引擎 可检测出一组安全问题,当这些问题同时发生时, 创建一条或多条高价值数据的路径 确定的攻击者可以 来获取和危害这些资源。
当 Risk Engine 检测到
那么系统会发出 TOXIC_COMBINATION
类发现结果。
在发现结果中,Risk Engine 被列为
找到该发现结果。
如需了解详情,请参阅恶意组合概览。
Security Health Analytics
Security Health Analytics 是 Security Command Center 的内置检测服务 可对您的云资源提供代管式扫描, 常见的错误配置
检测到配置错误时,Security Health Analytics 会发出发现结果。 大多数 Security Health Analytics 发现结果都会映射到安全标准控制措施 以便评估合规性。
Security Health Analytics 会扫描您在 Google Cloud 上的资源。如果您 使用企业级层级,并与其他云平台建立连接; Security Health Analytics 还可以扫描您在这些云平台上的资源。
具体取决于您使用的 Security Command Center 服务层级 则可用的检测器会有所不同:
- 在标准层级中,Security Health Analytics 仅包含 包含中等严重级别和高严重级别漏洞检测器的基准组。
- 高级层级 包含适用于 Google Cloud 的所有漏洞检测器。
- 企业版层级 包含适用于其他云平台的其他检测器。
启用 Security Health Analytics 后,系统会自动启用 Security Command Center。
如需了解详情,请参阅以下主题:
- Security Health Analytics 概览
- 如何使用 Security Health Analytics
- 修复发现的 Security Health Analytics 问题
- Security Health Analytics 发现结果参考
Security Posture 服务
安全状况 service 是 Security Command Center 高级层级让您可以定义、评估和监控 您在 Google Cloud 中的安全状态。它提供了有关 环境与您在安全性页面中定义的政策 安全状况。
安全状况服务与 GKE 无关 Security Posture 信息中心,仅显示 GKE 中的发现结果 集群。
敏感数据保护
敏感数据保护是一项全代管式 Google Cloud 服务,可帮助您发现、分类和保护敏感数据。您可以使用敏感数据保护来确定您是否存储了敏感数据或个人身份信息 (PII),例如以下信息:
- 用户姓名
- 信用卡号
- 全国或州级身份证号码
- 健康保险 ID 编号
- 密钥
在敏感数据保护中,您搜索的每种敏感数据类型称为 infoType。
如果您配置敏感数据保护操作以将结果发送到 Security Command Center,则除了“敏感数据保护”部分之外,您还可以直接在 Google Cloud 控制台的 Security Command Center 部分中查看发现结果。
敏感数据保护发现服务中的漏洞发现结果
Sensitive Data Protection 发现服务可帮助您确定 是否存储未受保护的高度敏感数据。
类别 | 摘要 |
---|---|
Public sensitive data API 中的类别名称: PUBLIC_SENSITIVE_DATA
|
发现结果说明:指定的资源具有 高敏感度数据,互联网上的任何人都可以访问这些数据。 支持的素材资源:
补救措施: 对于 Google Cloud 数据,请移除 对于 Amazon S3 数据,请配置“禁止公共访问”设置或更新对象的 ACL 以拒绝公共读取访问。 合规性标准:未映射 |
Secrets in environment variables API 中的类别名称: SECRETS_IN_ENVIRONMENT_VARIABLES
|
发现结果说明:有
Secret
例如密码、身份验证令牌和 Google Cloud 凭据
环境变量
如需启用此检测器,请参阅报告以下位置中的密钥: 将环境变量上传到 Security Command Center 文档。 支持的素材资源: 补救措施:从环境变量中移除 Secret,并 将其存储在 Secret Manager。 合规性标准:
|
Secrets in storage API 中的类别名称: SECRETS_IN_STORAGE
|
发现结果说明:有
Secret
密码、身份验证令牌和云凭据)。
支持的素材资源:
补救措施:
合规性标准:未映射 |
敏感数据保护中的观察发现结果
本部分介绍敏感数据保护在 Security Command Center 中生成的观察结果。
发现服务中的观察发现结果
Sensitive Data Protection 发现服务可帮助您确定 数据是否包含特定的 infoType 及其在 组织、文件夹和项目。它会生成 Security Command Center 中的以下观察发现结果类别:
Data sensitivity
- 表示特定数据资产中数据的敏感程度等级。 如果数据包含个人身份信息或其他可能需要额外控制或管理的元素,则属于敏感数据。发现结果的严重程度是生成数据剖析文件时敏感数据保护计算的敏感度级别。
Data risk
- 与当前状态下的数据关联的风险。计算数据时 敏感数据保护功能会考虑敏感数据的敏感级别, 数据资产中的数据,并且设置访问权限控制措施,以保护 数据。发现结果的严重程度 敏感数据保护 计算 数据配置文件。
从 Sensitive Data Protection 生成数据分析文件起,它可以: 关联的发现结果最长需要 6 个小时才会显示在 Security Command Center。
如需了解如何将数据分析结果发送到 Security Command Center, 请参阅以下内容:
- 对于 Security Command Center Enterprise:启用敏感数据 发现。
- 对于 Security Command Center 高级方案或标准方案:将数据分析文件发布到 Security Command Center。
敏感数据保护检查服务中的观察发现结果
敏感数据保护检查作业可识别存储系统(如 Cloud Storage 存储桶或 BigQuery 表)中特定 infoType 的每个数据实例。例如,您可以运行检查作业,以搜索与 Cloud Storage 存储桶中的 CREDIT_CARD_NUMBER
infoType 检测器匹配的所有字符串。
对于具有一个或多个匹配项的每个 infoType 检测器,敏感数据保护会生成相应的 Security Command Center 发现结果。发现结果类别是具有匹配项的 infoType 检测器的名称,例如 Credit
card number
。发现结果包含
文本或图片中检测到的状态。
出于安全原因,发现结果中不包含检测到的实际字符串。例如,Credit card number
发现结果会显示找到的信用卡号数量,但不会显示实际的信用卡号。
由于敏感数据保护中有超过 150 个内置 infoType 检测器,因此此处未列出所有可能的 Security Command Center 发现结果类别。如需查看 infoType 检测器的完整列表,请参阅 InfoType 检测器参考文档。
如需了解如何将检查作业的结果发送到 Security Command Center,请参阅将敏感数据保护检查作业结果发送到 Security Command Center。
在 Google Cloud 控制台中查看敏感数据保护发现结果
请按照以下过程在 Google Cloud 控制台中查看发现结果:
转到 Google Cloud 控制台中的 Security Command Center 发现结果页面。
选择您的 Google Cloud 项目或组织。
在快速过滤条件部分的来源显示名称子部分中,选择敏感数据保护。
该表填充了敏感数据保护发现结果。
如需查看特定发现结果的详细信息,请点击类别下的发现结果名称。系统会打开发现结果的详细信息面板,并显示摘要标签页。
在摘要标签页上,查看有关发现结果的信息,包括有关检测到的内容、受影响的资源等的信息。
虚拟机管理器
虚拟机管理器是一套工具,可用于管理在 Compute Engine 上运行 Windows 和 Linux 的大型虚拟机舰队的操作系统。
将虚拟机管理器与项目级激活搭配使用 是 Security Command Center 高级方案,请激活 Security Command Center 标准方案 父级组织中的成员
如果您通过以下命令启用虚拟机管理器:
Security Command Center 高级层级、虚拟机管理器
系统会自动写入漏洞报告中的 high
和 critical
发现结果,
Security Command Center这些报告会识别
安装在虚拟机上的操作系统 (OS),包括常见漏洞和
风险信息 (CVE)。
Security Command Center 标准方案不提供漏洞报告。
发现结果可以简化使用虚拟机管理器的补丁程序合规性功能(预览版)的过程。通过此功能,您可以在组织级层为所有项目执行补丁程序管理。虚拟机管理器支持 单个项目级别
如需修复 VM 管理器发现结果,请参阅修复 VM 管理器发现结果。
如需阻止将漏洞报告写入 Security Command Center,请参阅 忽略虚拟机管理器发现结果。
此类漏洞均与受支持的 Compute Engine 虚拟机中已安装的操作系统软件包相关。
检测器 | 摘要 | 资源扫描设置 | 合规性标准 |
---|---|---|---|
OS vulnerability
API 中的类别名称: |
发现说明:VM 管理器在 Compute Engine 虚拟机的安装操作系统 (OS) 软件包中检测到漏洞。 价格层级:付费方案 |
虚拟机管理器 <ph type="x-smartling-placeholder"></ph> 漏洞报告会详细说明已安装的操作系统中的漏洞, 适用于 Compute Engine 虚拟机的系统软件包,包括 常见 漏洞和披露 (CVE)。 如需查看受支持操作系统的完整列表,请参阅 操作系统详细信息。发现漏洞后,系统会立即在 Security Command Center 中显示发现结果。系统会按以下方式在虚拟机管理器中生成漏洞报告:
|
AWS 漏洞评估
Amazon Web Services (AWS) 服务的漏洞评估服务可检测软件漏洞 运行在 EC2 虚拟机上的工作负载, AWS 云平台。
对于检测到的每个漏洞,AWS 漏洞评估 (Vulnerability Assessment for AWS) 都会生成
“Software vulnerability
”发现结果中的 Vulnerability
个课程
Security Command Center 类别。
AWS 服务的漏洞评估会扫描正在运行的 EC2 机器的快照 实例,因此生产工作负载不受影响。此扫描方法是 称为无代理磁盘扫描,因为它没有安装任何代理, 扫描目标。
详情请参阅以下内容:
Web Security Scanner
Web Security Scanner 为公共 App Engine、GKE 和 Compute Engine 服务的 Web 应用提供代管式和自定义的 Web 漏洞扫描。
代管式扫描
Web Security Scanner 代管式扫描由 Security Command Center 配置和管理。每周自动运行代管式扫描,以检测和扫描公共 Web 端点。这些扫描不使用身份验证,而是发送仅限 GET 的请求,因此他们无需在实际网站上提交任何表单。
代管式扫描与自定义扫描分开运行。
如果在组织级层激活 Security Command Center,您可以使用代管式扫描来集中管理组织中项目的基本 Web 应用漏洞检测,而不需要各个项目团队参与。发现结果后,您可以与这些团队合作,以设置更全面的自定义扫描。
启用 Web Security Scanner 作为服务后,Security Command Center 漏洞页面和相关报告会自动显示代管式扫描发现结果。有关如何启用 Web Security Scanner 的信息 代管式扫描,请参阅配置 Security Command Center 服务。
托管式扫描仅支持使用默认端口(80)的应用 表示 HTTP 连接,443 表示 HTTPS 连接。如果您的应用使用 非默认端口,请改为执行自定义扫描。
自定义扫描
Web Security Scanner 自定义扫描可提供有关应用漏洞发现结果的详细信息,例如过时的库、跨站脚本攻击或混合内容的使用。
您需要在项目级层定义自定义扫描。
完成设置 Web Security Scanner 自定义扫描的指南后,在 Security Command Center 中可获取自定义扫描发现结果。
检测器与合规性
Web Security Scanner 支持 OWASP 十大类别中的类别,该文档根据开 Web 应用安全项目 (OWASP) 对前 10 个最重要的 Web 应用安全风险进行排名并提供补救指南。如需查看如何缓解 OWASP 风险的指导信息,请参阅 Google Cloud 上的 OWASP 十大缓解选项。
合规性映射仅供参考,并非由 OWASP 基金会提供或审核。
此功能仅用于监控合规性控制的违规行为。您不应将提供的映射作为针对产品或服务的监管、行业基准或标准合规性的审计、认证或报告的基础或替代方案。
Web Security Scanner 自定义和代管式扫描可识别以下发现结果类型。在标准层级中,Web Security Scanner 支持对公共网址和 IP 不受防火墙保护的已部署应用进行自定义扫描。
类别 | 发现结果说明 | OWASP 2017 年排名前 10 | OWASP 2021 年排名前 10 |
---|---|---|---|
Accessible Git repository
API 中的类别名称: |
Git 代码库被公开。如需解决此发现结果,请移除对 Git 代码库的意外公开访问权限。
价格层级:标准 |
A5 | A01 |
Accessible SVN repository
API 中的类别名称: |
SVN 代码库会公开。要解决此发现结果,请移除对 SVN 代码库的意外公开访问权限。
价格层级:标准 |
A5 | A01 |
Cacheable password input
API 中的类别名称: |
在 Web 应用中输入的密码可以缓存在常规浏览器的缓存中,而不是安全的密码存储空间中。 价格层级:付费方案 |
A3 | A04 |
Clear text password
API 中的类别名称: |
密码以明文形式传输,可以被拦截。要解决此发现结果,请对通过网络传输的密码进行加密。
价格层级:标准 |
A3 | A02 |
Insecure allow origin ends with validation
API 中的类别名称: |
跨站 HTTP 或 HTTPS 端点仅验证 Origin 请求标头的后缀,然后将其呈现在 Access-Control-Allow-Origin 响应标头内。如需解决此发现结果,请先验证预期根域名是否是 Origin 标头值的一部分,然后再将其呈现在 Access-Control-Allow-Origin 响应标头内。对于子网域通配符,请在根域名前面附加英文句点,例如 .endsWith(".google.com") 。价格层级:付费方案 |
A5 | A01 |
Insecure allow origin starts with validation
API 中的类别名称: |
跨站 HTTP 或 HTTPS 端点仅验证 Origin 请求标头的前缀,然后将其呈现在 Access-Control-Allow-Origin 响应标头内。如需解决此发现结果,请先验证预期域名是否与 Origin 标头值完全匹配,然后再将其呈现在 Access-Control-Allow-Origin 响应标头内,例如 .equals(".google.com") 。价格层级:付费方案 |
A5 | A01 |
Invalid content type
API 中的类别名称: |
加载的资源与响应的 Content-Type HTTP 标头不匹配。如需解决此发现结果,请使用正确的值设置 X-Content-Type-Options HTTP 标头。价格层级:标准 |
A6 | A05 |
Invalid header
API 中的类别名称: |
安全标头存在语法错误,因此被浏览器忽略。要解决此发现结果,请正确设置 HTTP 安全标头。
价格层级:标准 |
A6 | A05 |
Mismatching security header values
API 中的类别名称: |
安全标头具有重复的、不匹配的值,这会导致未定义的行为。要解决此发现结果,请正确设置 HTTP 安全标头。
价格层级:标准 |
A6 | A05 |
Misspelled security header name
API 中的类别名称: |
安全标头拼写错误并且被忽略。要解决此发现结果,请正确设置 HTTP 安全标头。
价格层级:标准 |
A6 | A05 |
Mixed content
API 中的类别名称: |
资源是通过 HTTPS 页面上的 HTTP 提供的。要解决此发现结果,请确保所有资源通过 HTTPS 传送。
价格层级:标准 |
A6 | A05 |
Outdated library
API 中的类别名称: |
检测到有已知漏洞的库。要解决此发现结果,请将库升级到新版本。
价格层级:标准 |
A9 | A06 |
Server side request forgery
API 中的类别名称: |
检测到服务器端请求伪造 (SSRF) 漏洞。要解决此发现结果,请使用许可名单限制 Web 应用可以向其发出请求的网域和 IP 地址。 价格层级:标准 |
不适用 | A10 |
Session ID leak
API 中的类别名称: |
在发出跨网域的请求时,Web 应用的 Referer 请求标头中包含用户的会话标识符。此漏洞会向接收网域授予会话标识符的访问权限,可用于假冒或唯一标识用户。价格层级:付费方案 |
A2 | A07 |
SQL injection
API 中的类别名称: |
检测到潜在的 SQL 注入漏洞。如需解决此发现结果,请使用参数化查询以防止用户输入影响 SQL 查询的结构。 价格层级:付费方案 |
A1 | A03 |
Struts insecure deserialization
API 中的类别名称: |
检测到使用易受攻击的 Apache Struts 版本。如需解决此发现结果,请将 Apache Strut 升级到最新版本。 价格层级:付费方案 |
A8 | A08 |
XSS
API 中的类别名称: |
此 Web 应用中的字段容易受到跨站脚本 (XSS) 攻击。要解决此发现结果,请验证和转义不受信任的用户提供的数据。
价格层级:标准 |
A7 | A03 |
XSS angular callback
API 中的类别名称: |
用户提供的字符串没有转义,并且 AngularJS 可以对其进行插入。要解决此发现结果,请验证和转义 Angular 框架处理的不受信任用户提供的数据。
价格层级:标准 |
A7 | A03 |
XSS error
API 中的类别名称: |
此 Web 应用中的字段容易受到跨站脚本攻击。要解决此发现结果,请验证和转义不受信任的用户提供的数据。
价格层级:标准 |
A7 | A03 |
XXE reflected file leakage
API 中的类别名称: |
检测到 XML 外部实体 (XXE) 漏洞。此漏洞可能会导致 Web 应用泄露主机上的文件。如需解决此发现结果,请配置 XML 解析器以禁止外部实体。 价格层级:付费方案 |
A4 | A05 |
Prototype pollution
API 中的类别名称: |
应用容易受到原型污染。这个漏洞出现在
可以为 Object.prototype 对象分配可由攻击者控制的值。在这些原型上植入的值
普遍认为会转化为跨站脚本攻击或类似的客户端漏洞,以及逻辑错误。
价格层级:标准 <ph type="x-smartling-placeholder"></ph> 修正此发现结果: |
A1 | A03 |
威胁检测服务
威胁检测服务包括内置和集成服务 可检测出可能表示潜在有害事件的事件; 例如遭遇资源或网络攻击
异常值检测
异常检测是一项内置服务,使用了来自系统外部的行为信号。它会显示与安全性相关的精细信息 针对项目和虚拟机 (VM) 实例检测到的异常值,例如 可能会泄露凭据激活 Security Command Center 标准方案或付费方案层级后,系统会自动启用异常检测功能,您可以在 Google Cloud 控制台中获取发现结果。
异常值检测发现结果包括:
异常值名称 | 发现结果类别 | 说明 |
---|---|---|
Account has leaked credentials |
account_has_leaked_credentials |
Google Cloud 服务账号的凭据意外在网站泄露或被破解。 严重级别:严重 |
账号的凭据已泄露
GitHub 通知 Security Command Center 用于提交的凭据似乎是 Google Cloud Identity and Access Management 服务账号的凭据。
通知中包含服务账号名称和私钥标识符。Google Cloud 还会向您的安全和隐私指定联系人发送电子邮件通知。
要解决此问题,请采取以下一项或多项措施:
- 确定密钥的合法用户。
- 请轮替密钥。
- 移除密钥。
- 调查在 密钥被泄露,以确保所有操作都不是恶意操作。
JSON:查找泄露的账号凭据
{ "findings": { "access": {}, "assetDisplayName": "PROJECT_NAME", "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID", "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID", "category": "account_has_leaked_credentials", "contacts": { "security": { "contacts": [ { "email": "EMAIL_ADDRESS" } ] } }, "createTime": "2022-08-05T20:59:41.022Z", "database": {}, "eventTime": "2022-08-05T20:59:40Z", "exfiltration": {}, "findingClass": "THREAT", "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat", "indicator": {}, "kubernetes": {}, "mitreAttack": {}, "mute": "UNDEFINED", "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID", "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID", "parentDisplayName": "Cloud Anomaly Detection", "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "severity": "CRITICAL", "sourceDisplayName": "Cloud Anomaly Detection", "state": "ACTIVE", "vulnerability": {}, "workflowState": "NEW" }, "resource": { "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "display_name": "PROJECT_NAME", "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID", "project_display_name": "PROJECT_NAME", "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID", "parent_display_name": "ORGANIZATION_NAME", "type": "google.cloud.resourcemanager.Project", "folders": [] }, "sourceProperties": { "project_identifier": "PROJECT_ID", "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com", "finding_type": "Potential compromise of a resource in your organization.", "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.", "action_taken": "Notification sent", "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID", "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json" } }
Container Threat Detection
Container Threat Detection 可以检测最常见的容器运行时攻击,并向您发出提醒 和 Cloud Logging(可选)。Container Threat Detection 包括多个检测功能、一个分析工具和 API。
Container Threat Detection 检测插桩收集客机内核中的低级行为并对脚本执行自然语言处理以检测以下事件:
- 已执行添加的二进制文件
- 已加载添加的库
- 执行:已添加的恶意二进制文件已执行
- 执行:已添加的恶意库已加载
- 执行:内置恶意二进制文件执行
- 执行:执行的恶意二进制文件遭到修改
- 执行:已加载经过修改的恶意库
- 已执行恶意脚本
- 反向 shell
- 意外的 Shell Shell
详细了解 Container Threat Detection。
Event Threat Detection
Event Threat Detection 使用来自系统内部的日志数据。它会监控项目的 Cloud Logging 流,并在日志可用时使用这些日志。检测到威胁时,Event Threat Detection 会将发现结果写入 Security Command Center 和 Cloud Logging 项目中。激活 Security Command Center 付费方案层级后,系统会自动启用 Event Threat Detection,您可以在 Google Cloud 控制台中获取发现结果。
下表列出了 Event Threat Detection 的发现结果示例。
<ph type="x-smartling-placeholder">数据销毁 |
针对以下场景,事件威胁检测通过检查来自备份和灾难恢复服务管理服务器的审核日志来检测数据销毁:
|
数据渗漏 |
Event Threat Detection 通过检查以下场景的审核日志来检测 BigQuery 和 Cloud SQL中的数据渗漏:
|
Cloud SQL 可疑活动 |
事件威胁检测会检查审核日志以检测以下事件 这可能表明 Cloud SQL 实例:
|
AlloyDB for PostgreSQL 可疑活动 |
事件威胁检测会检查审核日志以检测以下事件 这可能表明 AlloyDB for PostgreSQL 实例:
|
SSH 暴力破解 | Event Threat Detection 会检查 syslog 日志以检查是否存在连续失败,然后会执行成功,从而检测密码身份验证 SSH 的暴力破解。 |
挖矿 | Event Threat Detection 通过检查 VPC 流日志和 Cloud DNS 日志中与采矿池的已知不良网域或 IP 地址的连接,来检测虚拟货币挖矿恶意软件。 |
IAM 滥用行为 |
异常 IAM 授权:Event Threat Detection 会检测可能被视为异常情况的 IAM 授权,例如:
|
禁止系统恢复 |
事件威胁检测可检测可能影响备份状况的备份和灾难恢复异常变化,包括重大政策变更以及关键备份和灾难恢复组件的移除。 |
Log4j | Event Threat Detection 会检测 Log4j 漏洞利用和活跃 Log4j 漏洞的可能尝试次数。 |
恶意软件 | Event Threat Detection 通过检查 VPC 流日志和 Cloud DNS 日志来检查已知命令和控制网域和 IPs,从而检测恶意软件。 |
传出 DoS | Event Threat Detection 会检查 VPC 流日志以检测传出拒绝服务流量。 |
异常访问 | Event Threat Detection 通过检查源自匿名代理 IP 地址(例如 Tor IP 地址)的 Google Cloud 服务修改来检测异常访问。 |
异常 IAM 行为 |
Event Threat Detection 通过检查以下场景的 Cloud Audit Logs 来检测异常 IAM 行为:
|
服务账号自行调查 | Event Threat Detection 检测何时使用服务账号凭据来调查与同一服务账号关联的角色和权限。 |
Compute Engine 管理员添加了 SSH 密钥 | Event Threat Detection 会检测已建立的实例(早于 1 周)上对 Compute Engine 实例元数据 SSH 密钥的修改。 |
Compute Engine 管理员添加了启动脚本 | Event Threat Detection 会在已建立的实例上(早于 1 周)检测到 Compute Engine 实例元数据启动脚本值的修改。 |
可疑的账号活动 | Event Threat Detection 通过检查异常账号活动的审核日志来检测 Google Workspace 账号的潜在入侵,包括泄露的密码和尝试的可疑登录。 |
受政府支持的攻击 | Event Threat Detection 会检查 Google Workspace 审核日志,以检测政府支持的攻击者可能在何时尝试破解了用户账号或计算机。 |
单点登录 (SSO) 更改 | Event Threat Detection 会检查 Google Workspace 审核日志,以检测何时停用 SSO 或更改 Google Workspace 管理员账号的设置。 |
两步验证 | Event Threat Detection 会检查 Google Workspace 审核日志,以检测用户和管理员账号何时停用两步验证。 |
异常 API 行为 | Event Threat Detection 通过检查主账号之前未见过的 Google Cloud 服务请求的 Cloud Audit Logs 来检测异常 API 行为。 |
防护规避 |
事件威胁检测通过检查 Cloud Audit Logs 来检测防护规避 用于以下情况:
|
《发现》杂志 |
Event Threat Detection 检查以下场景的审核日志来检测发现操作:
|
初始访问 | Event Threat Detection 通过检查以下场景的审核日志来检测初始访问操作:
|
提升权限 |
Event Threat Detection 检查以下场景的审核日志来检测 GKE 中的提权:
|
Cloud IDS 检测 | Cloud IDS 通过分析镜像数据包来检测第 7 层攻击,并在检测到可疑事件时触发 Event Threat Detection 发现结果。如需详细了解 Cloud IDS 检测,请参阅 Cloud IDS Logging 信息。预览版 |
横向移动 | 事件威胁检测通过检查 Cloud Audit Logs 来检查 Cloud Audit Logs 中是否存在 Compute Engine 实例间频繁分离和重新挂接的启动磁盘,以检测潜在的经过修改的启动磁盘攻击。 |
Forseti Security
Forseti Security 为您提供了各种工具,帮助您了解 Google Cloud 中的所有资源。核心 Forseti 模块协同工作,可提供完整的信息,以便您可以保护资源并最大限度地降低安全风险。
要在 Security Command Center 中显示 Forseti 违规通知,请遵循 Forseti Security Command Center 通知指南。
如需了解详情,请参阅:
- 了解 Forseti。
- 获取 Forseti 方面的帮助。
Google Cloud Armor
Google Cloud Armor 可帮助您 应用模型。Google Cloud Armor 会清理传入 请求常见 Web 攻击或其他第 7 层属性,以阻止 流量才能到达负载均衡的后端服务或后端 存储分区。
Google Cloud Armor 会将两个发现结果导出到 Security Command Center:
虚拟机威胁检测
虚拟机威胁检测是 Security Command Center 高级方案的内置服务, 通过 Hypervisor 级别的插桩和永久性磁盘进行威胁检测 分析。 VM 威胁检测可检测潜在的恶意应用,例如 加密货币挖矿软件、内核模式 rootkit 以及 遭到入侵的云环境
VM Threat Detection 是 Security Command Center Premium 的威胁检测套件的一部分,旨在补充 Event Threat Detection 和 Container Threat Detection 的现有功能。
如需详细了解 VM Threat Detection,请参阅 VM Threat Detection 概览。
VM Threat Detection 威胁发现结果
虚拟机威胁检测可以生成以下威胁发现结果。
加密货币挖矿威胁发现结果
虚拟机威胁检测通过哈希匹配或 YARA 规则检测以下发现结果类别。
类别 | 单元 | 说明 |
---|---|---|
Execution: Cryptocurrency Mining Hash Match
|
CRYPTOMINING_HASH
|
将正在运行的程序的内存哈希与加密货币挖矿软件的已知内存哈希匹配。 |
Execution: Cryptocurrency Mining YARA Rule
|
CRYPTOMINING_YARA
|
匹配已知会由加密货币挖矿软件使用的内存模式,如工作证明常量。 |
Execution: Cryptocurrency Mining Combined Detection
|
|
识别由
CRYPTOMINING_HASH 和 CRYPTOMINING_YARA 模块。
如需了解详情,请参阅合检测。 |
内核模式 rootkit 威胁发现结果
VM Threat Detection 在运行时分析内核完整性,以检测常见的规避技术 被恶意软件使用的应用
KERNEL_MEMORY_TAMPERING
模块通过对
虚拟机的内核代码和内核只读数据内存。
KERNEL_INTEGRITY_TAMPERING
模块通过检查
重要内核数据结构的完整性。
类别 | 单元 | 说明 |
---|---|---|
内核内存篡改 | ||
Defense Evasion: Unexpected kernel code modification 预览版
|
KERNEL_MEMORY_TAMPERING
|
内核代码内存存在意外修改行为。 |
Defense Evasion: Unexpected kernel read-only data modification 预览版
|
KERNEL_MEMORY_TAMPERING
|
内核只读数据内存存在意外修改行为。 |
内核完整性篡改 | ||
Defense Evasion: Unexpected ftrace handler 预览版
|
KERNEL_INTEGRITY_TAMPERING
|
存在 ftrace 点,且回调指向不在
预期的内核或模块代码范围。
|
Defense Evasion: Unexpected interrupt handler 预览版
|
KERNEL_INTEGRITY_TAMPERING
|
存在不在预期内核或模块代码区域的中断处理程序。 |
Defense Evasion: Unexpected kernel modules 预览版
|
KERNEL_INTEGRITY_TAMPERING
|
存在不在预期内核或模块代码区域的内核代码页面。 |
Defense Evasion: Unexpected kprobe handler 预览版
|
KERNEL_INTEGRITY_TAMPERING
|
存在 kprobe 点,且回调指向不在
预期的内核或模块代码范围。
|
Defense Evasion: Unexpected processes in runqueue 预览版
|
KERNEL_INTEGRITY_TAMPERING
|
调度器运行队列中存在意外进程。此类进程正在运行中 队列中,但不在进程任务列表中。 |
Defense Evasion: Unexpected system call handler 预览版
|
KERNEL_INTEGRITY_TAMPERING
|
存在不在预期内核或模块代码区域的系统调用处理程序。 |
Rootkit | ||
Defense Evasion: Rootkit 预览版
|
|
存在与已知内核模式 rootkit 匹配的信号组合。接收 此类别的发现结果,请确保同时启用这两个模块。 |
VM Threat Detection 观察发现结果
VM Threat Detection 可以生成以下观察发现结果。
类别名称 | API 名称 | 摘要 | 严重程度 |
---|---|---|---|
VMTD disabled
|
VMTD_DISABLED |
VM Threat Detection 已停用。在您启用之前,此服务无法扫描 Compute Engine 项目和虚拟机实例是否存在有害应用。
此发现结果会在 30 天后设置为 |
高 |
错误
错误检测器可帮助您检测配置中的错误,从而防止安全来源生成发现结果。错误发现结果由 Security Command Center
安全来源生成,且具有发现结果类 SCC errors
。
意外操作
以下发现结果类别表示可能由意外操作导致的错误。
类别名称 | API 名称 | 摘要 | 严重程度 |
---|---|---|---|
API disabled |
API_DISABLED |
发现结果说明:项目已停用所需的 API。已停用的服务无法将发现结果发送到 Security Command Center。 价格层级:付费方案或标准方案
支持的资产 批量扫描:每 60 小时 |
严重 |
Attack path simulation: no resource value configs match any resources |
APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES |
发现结果说明:资源值配置是为攻击路径模拟定义的,但它们与您环境中的任何资源实例都不匹配。模拟将改用默认的高价值资源集。 此错误可能由以下任何原因造成:
价格层级:付费方案
支持的资源 批量扫描:每次攻击路径模拟之前。 |
严重 |
Attack path simulation: resource value assignment limit exceeded |
APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED |
发现结果说明:在上一次攻击路径模拟中,高价值资源实例的数量(由资源值配置标识)超出了高价值资源集中 1,000 个资源实例的限制。因此,Security Command Center 从高价值资源集中排除了过多的实例。 Google Cloud 控制台的 影响被排除资源实例的发现结果的攻击风险得分并不反映资源实例的高价值指定。 价格层级:付费方案
支持的资源 批量扫描:每次攻击路径模拟之前。 |
高 |
Container Threat Detection
Image Pull Failure |
KTD_IMAGE_PULL_FAILURE |
发现结果说明:无法为集群启用 Container Threat Detection,因为无法从 Container Registry 映像主机 尝试部署 Container Threat Detection DaemonSet 会导致以下错误:
价格层级:付费方案
支持的资源 批量扫描:每 30 分钟 |
严重 |
Container Threat Detection
Blocked By Admission Controller |
KTD_BLOCKED_BY_ADMISSION_CONTROLLER |
发现结果说明: 无法对 Kubernetes 集群启用 Container Threat Detection。第三方准入控制器阻止部署 Container Threat Detection 所需的 Kubernetes DaemonSet 对象。 在 Google Cloud 控制台中查看时,发现结果详细信息包括当 Container Threat Detection 尝试部署 Container Threat Detection DaemonSet 对象时 Google Kubernetes Engine 返回的错误消息。 价格层级:付费方案
支持的资源 批量扫描:每 30 分钟 |
高 |
Container Threat
Detection service account missing permissions |
KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS |
发现结果说明:服务账号缺少 Container Threat Detection 所需的权限。Container Threat Detection 可能会停止运行,因为无法启用、升级或停用检测插桩。 价格层级:付费方案
支持的资产 批量扫描:每 30 分钟 |
严重 |
GKE service account missing
permissions |
GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS |
发现结果说明:Container Threat Detection 无法为 Google Kubernetes Engine 集群生成发现结果,因为集群上的 GKE 默认服务账号缺少权限。这会阻止在集群上成功启用 Container Threat Detection。 价格层级:付费方案
支持的资源 批量扫描:每周 |
高 |
Misconfigured Cloud Logging Export |
MISCONFIGURED_CLOUD_LOGGING_EXPORT |
发现结果说明:配置为 持续导出到 Cloud Logging 的项目不可用。Security Command Center 无法将发现结果发送到 Logging。 价格层级:付费方案
支持的资产 批量扫描:每 30 分钟 |
高 |
VPC Service Controls Restriction |
VPC_SC_RESTRICTION |
发现结果说明:Security Health Analytics 无法为项目生成某些发现结果。该项目受服务边界保护,而 Security Command Center 服务账号无权访问该边界。 价格层级:付费方案或标准方案
支持的资产 批量扫描:每 6 小时 |
高 |
Security Command
Center service account missing permissions |
SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS |
发现结果说明:Security Command Center 服务账号缺少正常运行所需的权限。系统不会生成任何发现结果。 价格层级:付费方案或标准方案
支持的资源 批量扫描:每 30 分钟 |
严重 |
如需了解详情,请参阅 Security Command Center 错误。
后续步骤
- 参阅 Security Command Center 概览,了解 Security Command Center 以及用例示例。
- 了解如何添加新的安全来源: 配置 Security Command Center 服务。