本頁面說明如何建立、編輯、刪除及查看資源價值設定。
使用資源值設定建立高價值資源集。高價值資源集會決定攻擊路徑模擬將哪些資源執行個體 (稱為「資源」) 視為「高價值資源」。
您可以為Google Cloud上的資源定義資源價值設定。此外，在 Enterprise (已淘汰) 服務級別中，您可以為 Security Command Center 連線的其他雲端服務供應商資源定義設定。
執行攻擊路徑模擬時，系統會找出攻擊路徑，並計算指定為高價值資源的資源，以及 Vulnerability 類別、Misconfiguration 類別和 Toxic combination 類別發現項目的受攻擊風險分數。
攻擊路徑模擬會依排程執行，每 48 小時會提供新結果。建立、修改或刪除資源或資源價值設定，不會觸發模擬作業。
如要瞭解高價值資源集和資源價值設定，請參閱「高價值資源集」。
事前準備
如要取得查看及使用資源價值設定所需的權限，請要求管理員授予您組織的下列 IAM 角色：
- 資源值設定編輯者 (
roles/securitycenter.resourceValueConfigEditor) - 資源價值設定檢視者 (
roles/securitycenter.resourceValueConfigsViewer) - 安全中心設定編輯者 (
roles/securitycenter.settingsEditor)
如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。
建立資源值設定
如要建立資源價值設定，請前往 Google Cloud 控制台的 Security Command Center「Settings」(設定) 頁面，然後使用「Attack path simulation」(攻擊路徑模擬) 分頁。
如要建立資源值設定，請按一下雲端服務供應商的分頁標籤，然後按照下列步驟操作：
Google Cloud
前往 Security Command Center「Settings」(設定) 的「Attack path simulation」(攻擊路徑模擬) 頁面：
選取您的機構。「攻擊路徑模擬」頁面隨即開啟。
按一下「建立新設定」。「Create resource value configuration」(建立資源值設定) 面板隨即開啟。
在「Name」(名稱) 欄位中，指定這項資源價值設定的名稱。
選用：輸入設定說明。
在「Cloud provider」(雲端服務供應商) 下方，選取「Google Cloud」。
在「Select scope」(選取範圍) 欄位中，按一下「Select」(選取)，然後使用專案瀏覽器選取專案、資料夾或組織。這項設定僅適用於指定範圍內的資源執行個體。
按一下「Select resource type」(選取資源類型) 欄位，然後選取資源類型或「Any」(任何)。這項設定適用於所選資源類型的執行個體，如果選取「Any」(任何)，則適用於所有支援資源類型的執行個體。預設值為「Any」。
選用：在「Label」(標籤) 區段中，按一下「Add label」(新增標籤)，指定一或多個標籤。指定標籤後，設定只會套用至中繼資料含有該標籤的資源。
如果您將新標籤套用至任何資源，可能需要數小時，設定才能比對該標籤。
選用：在「Tag」(標記) 部分，按一下「Add tag」(新增標記)，指定一或多個標記。指定標記後，設定只會套用至中繼資料含有該標記的資源。
如果您為資源定義新標記，可能需要數小時，設定才能比對該標記。
指定下列其中一個選項，為相符資源設定優先順序值：
選用：如果您使用 Sensitive Data Protection 探索服務，請啟用 Security Command Center，根據 Sensitive Data Protection 的資料機密程度分類，自動設定支援資料資源的優先順序值：
- 按一下「Include discovery insights from Sensitive Data Protection」(採用 Sensitive Data Protection 的探索深入分析資訊) 旁的滑桿。
- 在第一個「Assign resource value」(指派資源值) 欄位中，選取要指派給含有高度機密資料的相符資源的優先順序值。
- 在第二個「Assign resource value」(指派資源值) 欄位中，選取要指派給含有中度機密資料的相符資源的優先順序值。
在「Assign resource value」(指派資源值) 欄位中，選取要指派給資源執行個體的值。這個值是相對於高價值資源集中的其他資源執行個體。這個值會用於計算遭受攻擊的風險分數。
按一下 [儲存]。
AWS
您必須先將 Security Command Center 連結至 AWS，Security Command Center 才能針對您在資源價值設定中指定的資源，產生受攻擊風險分數和攻擊路徑。詳情請參閱「多雲端支援」。
前往 Security Command Center「Settings」(設定) 的「Attack path simulation」(攻擊路徑模擬) 頁面：
選取您的機構。「攻擊路徑模擬」頁面隨即開啟。
按一下「建立新設定」。「Create resource value configuration」(建立資源值設定) 面板隨即開啟。
在「Name」(名稱) 欄位中，指定這項資源價值設定的名稱。
選用：輸入設定說明。
在「Cloud provider」(雲端服務供應商) 下方，選取「Amazon Web Services」。
選用：在「Account ID」(帳戶 ID) 欄位中，輸入 12 碼的 AWS 帳戶 ID。如未指定，資源值設定會套用至 AWS 連線設定中指定的所有 AWS 帳戶。
選用：在「Region」(區域) 欄位中輸入 AWS 區域。例如：
us-east-1。如未指定，資源值設定會套用至所有 AWS 區域。按一下「選取資源類型」欄位，然後選取資源類型或「任何」。這項設定適用於所選資源類型的執行個體，如果選取「Any」(任何)，則適用於所有支援的資源類型。預設值為「Any」。
選用：在「Tag」(標記) 部分，按一下「Add tag」(新增標記)，指定一或多個標記。定義標記後，連接器只會掃描中繼資料包含該標記的資源。
如果您為資源定義新標記，可能需要數小時，設定才能比對該標記。
在「Assign resource value」(指派資源值) 欄位中，指定下列其中一個選項，為相符資源選取優先順序值：
選用：如果您使用 Sensitive Data Protection 探索服務，請啟用 Security Command Center，根據 Sensitive Data Protection 的資料敏感度分類，自動設定支援的 AWS 資料資源優先順序值：
- 按一下「Include discovery insights from Sensitive Data Protection」(採用 Sensitive Data Protection 的探索深入分析資訊) 旁的滑桿。
- 在第一個「Assign resource value」(指派資源值) 欄位中，選取要指派給含有高度機密資料的相符資源的優先順序值。
- 在第二個「Assign resource value」(指派資源值) 欄位中，選取要指派給含有中度機密資料的相符資源的優先順序值。
在「Assign resource value」(指派資源值) 欄位中，選取要指派給資源執行個體的值。這個值是相對於高價值資源集中的其他資源執行個體。這個值會用於計算遭受攻擊的風險分數。
按一下 [儲存]。
Azure
您必須先將 Security Command Center 連結至 Azure，Security Command Center 才能針對您在資源價值設定中指定的 Azure 資源，產生受攻擊風險分數和攻擊路徑。詳情請參閱「多雲端支援」。
前往 Security Command Center「Settings」(設定) 的「Attack path simulation」(攻擊路徑模擬) 頁面：
選取您的機構。「攻擊路徑模擬」頁面隨即開啟。
按一下「建立新設定」。「Create resource value configuration」(建立資源值設定) 面板隨即開啟。
在「Name」(名稱) 欄位中，指定這項資源價值設定的名稱。
選用：在「Description」(說明) 部分輸入設定說明。
在「Cloud provider」(雲端服務供應商) 下方，選取「Microsoft Azure」。
選用：在「Subscription ID」(訂閱 ID) 中，輸入 36 位數的 Azure 訂閱 ID。如未指定，資源價值設定會套用至 Azure 連接器設定中指定的所有訂閱項目。
選用：在「Select location」(選取位置) 欄位中，選取 Azure 位置，例如
East US 2。如未設定位置，資源價值設定會套用至 Azure 連接器設定中指定的所有位置。按一下「選取資源類型」，然後選取資源類型或「任何」。這項設定適用於所選資源類型的執行個體，如果選取「Any」(任何)，則適用於所有支援的資源類型。預設值為「Any」。
選用：在「Tag」(標記) 部分，按一下「Add tag」(新增標記)，指定一或多個標記。指定標記後，設定只會套用至中繼資料含有該標記的資源。
如果您為資源定義新標記，可能需要數小時，設定才能比對該標記。
在「Assign resource value」(指派資源值) 欄位中，選取優先順序值。
按一下 [儲存]。
新的設定會在下次攻擊路徑模擬執行後，反映在受攻擊風險分數和攻擊路徑中。
查看高價值資源集時，您會看到與資源集中資源相符的資源價值設定。詳情請參閱「查看與高價值資源相符的設定」。
如要瞭解如何設定 Sensitive Data Protection，將資料敏感度分類傳送至 Security Command Center，請參閱 Sensitive Data Protection 說明文件中的「將資料剖析檔發布至 Security Command Center」。
編輯設定
除了名稱以外，您可以更新資源價值設定中的任何規格。
以下步驟假設您知道要編輯的資源值設定名稱。如果您只知道相關資源的名稱，請改為參閱「查看與高價值資源相符的設定」。
如要更新現有的資源價值設定，請按照下列步驟操作：
前往 Security Command Center「Settings」(設定) 的「Attack path simulation」(攻擊路徑模擬) 頁面：
選取您的機構。「Attack path simulation」(攻擊路徑模擬) 頁面隨即開啟，並顯示現有設定。
在「Configuration name」(設定名稱) 欄中，按一下要更新的設定名稱。「Edit resource value configuration」(編輯資源值設定) 頁面隨即開啟。
視需要更新設定中的規格。
按一下 [儲存]。
下次攻擊路徑模擬執行後，受攻擊風險分數和攻擊路徑才會反映變更。
刪除設定
如要刪除資源價值設定，請按照下列步驟操作：
前往 Security Command Center「Settings」(設定) 的「Attack path simulation」(攻擊路徑模擬) 頁面：
選取您的機構。「攻擊路徑模擬」頁面隨即開啟。
在「Resource value configurations」(資源價值設定) 下方，找到要刪除的設定，然後按一下該列右側的垂直點，顯示動作選單。如果沒看到垂直排列的三點圖示，請向右捲動。
在顯示的動作選單中，選取「刪除」。
在確認對話方塊中，選取「確認」。
設定已刪除。
查看設定
您可以在 Security Command Center「設定」的「攻擊路徑模擬」頁面，查看所有現有的資源價值設定。
如要查看特定資源價值設定，請前往「攻擊路徑模擬」頁面：
選取您的機構。「攻擊路徑模擬」頁面隨即開啟。
在「Attack path simulation」(攻擊路徑模擬) 頁面的「Resource value configurations」(資源價值設定) 下方，捲動資源價值設定清單，直到找到所需設定。
如要查看設定屬性，請按一下設定名稱。「Edit resource value configuration」(編輯資源值設定) 頁面會顯示這些屬性。
查看與高價值資源相符的設定
您可以查看與高價值資源集中資源相符的所有設定。如果您想查看決定高價值資源集資源價值的規則，這項功能就非常實用。
如要查看與高價值資源相符的設定，請按照下列步驟操作：
- 查看高價值資源組合。
- 找出要查看設定的資源。該資源的相符設定會列在「Matching configurations」(相符設定) 欄中。系統會根據指派給資源的資源值 (
High、Medium或Low)，由高到低列出設定。 如要查看設定的屬性，請按一下設定名稱。屬性會顯示在「Edit resource value configuration」(編輯資源價值設定) 頁面。
最近刪除的設定仍會顯示，但無法點選，直到下次執行攻擊路徑模擬作業為止。
選用：編輯設定，然後按一下「儲存」。
疑難排解
如果建立、編輯或刪除資源價值設定後收到錯誤訊息，請按照下列步驟，在Google Cloud 控制台中檢查 SCC Error 類別發現項目：
前往 Google Cloud 控制台的「Findings」(發現項目) 頁面：
在「快速篩選器」面板中，前往「發現項目類別」部分，然後選取「SCC 錯誤」。
在「發現項目查詢結果」面板中，掃描發現項目，找出下列
SCC Error發現項目，然後按一下類別名稱：APS no resource value configs match any resourcesAPS resource value assignment limit exceeded
系統會開啟發現項目詳細資料面板。
在發現項目詳細資料面板中，查看「Next steps」(後續步驟) 部分的資訊。
如要查看說明文件中攻擊路徑模擬 SCC Error 發現項目的修復操作說明，請參閱：
後續步驟
如要瞭解如何使用 Security Command Center 發現項目，請參閱「查看及管理發現項目」。