查看安全漏洞報告

軟體安全漏洞是指可能導致系統意外故障的弱點，或是惡意活動。詳情請參閱「安全漏洞報告」。

本文說明如何使用 VM 管理員設定 VM，以及查看作業系統的安全漏洞報告。

事前準備

  • 查看 OS 設定配額。
  • 設定 VM 管理員。
  • 查看 OS 庫存管理的限制。
  • 如果尚未設定驗證，請先完成設定。 驗證可確認您的身分，以便存取 Google Cloud 服務和 API。如要從本機開發環境執行程式碼或範例，請選取下列其中一個選項，向 Compute Engine 進行驗證：

    選取這個頁面上範例的預計用途分頁：

    控制台

    使用 Google Cloud 控制台存取 Google Cloud 服務和 API 時，您不需要設定驗證機制。

    gcloud

    1. 安裝 Google Cloud CLI。 安裝完成後，請執行下列指令，初始化 Google Cloud CLI：

      gcloud init

      若您採用的是外部識別資訊提供者 (IdP)，請先 使用聯合身分登入 gcloud CLI。

  • 設定預設區域和可用區。

    • REST

    如要在本機開發環境中使用本頁的 REST API 範例，請使用您提供給 gcloud CLI 的憑證。

      安裝 Google Cloud CLI。

      如果您使用外部識別資訊提供者 (IdP)，請先 使用聯合身分登入 gcloud CLI。

    詳情請參閱 Google Cloud 驗證說明文件中的「使用 REST 進行驗證」一節。

支援的作業系統

如要查看可使用 VM 管理員取得安全漏洞報告的作業系統和版本完整清單，請參閱「作業系統詳細資料」。

所需角色和權限

如要取得查看安全漏洞報告所需的權限，請要求管理員在專案中授予您下列 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

除了這些角色，如要使用 Google Cloud 控制台存取 Compute Engine 資源，您必須具備專案的 compute.projects.get 權限。

查看安全漏洞報告

如要查看安全漏洞報告，請使用下列任一選項：

使用 gcloud CLI 或 API 查看安全漏洞報告

請使用下列任一方法，查看 VM 的安全漏洞報告。

控制台

如要使用 Google Cloud 控制台查看 VM 的 OS 弱點報告，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的「VM instances」(VM 執行個體) 頁面。

    前往 VM 執行個體

  2. 按一下要查看 OS 資訊的執行個體名稱。「Instance details」(執行個體詳細資料) 頁面隨即顯示。
  3. 按一下「OS info」(作業系統資訊) 分頁標籤。
    如要查看 OS 目錄資料，請啟用 VM 管理員。 如果 Google Cloud 控制台提示您啟用 VM 管理員，請選取下列其中一個選項：
    • 為目前的專案啟用：為所選專案中的所有 VM 啟用 VM 管理員
    • 為這個 VM 啟用：僅為所選 VM 啟用 VM 管理員
  4. 查看「OS 資訊」分頁中的 OS 安全漏洞清單。

gcloud

  • 如要查看特定可用區中 VM 的安全漏洞報告，請使用 os-config vulnerability-reports list 指令。

    舉例來說，如要列出所有含有商品目錄資料的 VM，請執行下列指令：

    gcloud compute os-config vulnerability-reports list \
   --location=ZONE

    將 ZONE 替換為 VM 所在的可用區。

    範例

    gcloud compute os-config vulnerability-reports list \
   --location=us-west2-a

    輸出範例

    INSTANCE_ID         VULNERABILITY_COUNT  UPDATE_TIME
29255009728795105   2                    2021-04-13T19:10:10.303046Z
307058717116242358  1                    2021-04-13T19:10:10.303046Z

  • 如要查看特定 VM 的安全漏洞報告，請執行 os-config vulnerability-reports describe 指令，並指定上一步傳回的 INSTANCE_ID 或 INSTANCE_NAME。

    gcloud compute os-config vulnerability-reports describe INSTANCE_NAME \
   --location=ZONE

    更改下列內容：

    • INSTANCE_NAME：VM 名稱
    • ZONE：VM 執行個體所在的可用區

    範例

    gcloud compute os-config vulnerability-reports describe vm1-centos \
   --location=us-west2-a

    輸出範例

    ┌───────────────────────────────────────────────────────────────────┐
│                          Vulnerabilities                          │
├──────────────────┬──────────┬───────────────┬─────────────────────┤
│       CVE        │ SEVERITY │ CVSS_V3_SCORE │     CREATE_TIME     │
├──────────────────┼──────────┼───────────────┼─────────────────────┤
│ CVE-2012-6655    │ LOW      │ 3.3           │ 2021-04-29T22:19:53 │
│ CVE-2016-1585    │ MEDIUM   │ 9.8           │ 2021-04-29T22:19:53 │
│ CVE-2016-2781    │ LOW      │ 6.5           │ 2021-04-29T22:19:53 │
│ CVE-2019-7306    │ LOW      │ 7.5           │ 2021-04-29T22:19:53 │
│ CVE-2020-13776   │ LOW      │ 6.7           │ 2021-04-29T22:19:53 │
│ CVE-2021-31879   │ MEDIUM   │ 6.1           │ 2021-05-05T06:11:53 │
└──────────────────┴──────────┴───────────────┴─────────────────────┘
name: projects/384587888288/locations/us-west2-a/instances/29255009728795105/vulnerabilityReport
updateTime: '2021-05-11T22:29:50'

REST

  • 如要查看特定可用區中 VM 的安全漏洞報告，請向 projects.locations.instances.vulnerabilityReports 方法發出 GET 要求。

    GET https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/instances/-/vulnerabilityReports

    更改下列內容：

    • PROJECT_ID：專案 ID
    • ZONE：VM 所在的可用區

  • 如要查看特定 VM 的安全漏洞報告，請向 projects.locations.instances.getVulnerabilityReport 方法建立 GET 要求。

    GET https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/instances/INSTANCE/vulnerabilityReport

    更改下列內容：

    • PROJECT_ID：專案 ID
    • ZONE：VM 執行個體所在的可用區
    • INSTANCE：指定 VM 的執行個體 ID 或名稱

使用 Security Command Center 資訊主頁查看安全漏洞報告

Security Command Center 是 Google Cloud的集中式安全漏洞與威脅回報服務。

如果您是 Security Command Center 進階級使用者，可以存取組織中 VM 上執行的作業系統的弱點報表資料。在 Security Command Center 資訊主頁的「發現項目」頁面中，您可以查看分類為HIGH或CRITICAL嚴重程度的安全漏洞的常見弱點與漏洞 (CVE) ID。

如要瞭解如何使用 Security Command Center 資訊主頁存取及查看作業系統安全漏洞資料，請參閱「VM 管理員」。

查看 Cloud Asset Inventory 的安全漏洞報表資料

OS 庫存管理會儲存庫存和安全漏洞報表資料，並轉送至 Cloud Asset Inventory。Cloud Asset Inventory 是一項中繼資料資產管理服務，可讓您查看、監控及分析各項專案與服務中的資產。 Google Cloud您可以透過 Cloud Asset Inventory 輪詢資訊，並查看資料變更。

如要從 Cloud Asset Inventory 存取 OS 庫存和安全漏洞報表資料，請完成下列設定：

詳情請參閱「查看 VM 管理員資料」。

如要瞭解如何查看機構的安全性弱點報告，請參閱「使用 Cloud Asset Inventory 和 BigQuery 查看機構的安全性弱點報告」。

後續步驟