Panoramica dei punteggi di esposizione agli attacchi e dei percorsi di attacco

Il motore di rischio di Security Command Center genera punteggi di esposizione agli attacchi e percorsi di attacco per aiutarti a identificare e dare priorità ai percorsi di esposizione ad alto rischio per le tue risorse cloud di valore elevato. Queste simulazioni valutano l'interazione tra esposizioni esterne, vulnerabilità, configurazioni errate e combinazioni tossiche, in modo da poter concentrare le azioni di correzione sulle minacce critiche.

Panoramica dei punteggi di esposizione agli attacchi e dei percorsi di attacco

I punteggi e i percorsi di attacco vengono generati per:

  • Risultati relativi a esposizione esterna (anteprima), vulnerabilità ed errori di configurazione che espongono le istanze delle risorse nel set di risorse di alto valore effettivo.
  • Le risorse nel set di risorse di alto valore effettivo.
  • Problemi in Security Command Center Premium o Enterprise, che contengono combinazioni tossiche e colli di bottiglia.

Per utilizzare i punteggi di esposizione agli attacchi e i percorsi di attacco, devi attivare Security Command Center Premium o Enterprise a livello di organizzazione. Non puoi utilizzare i punteggi di esposizione agli attacchi e i percorsi di attacco con le attivazioni a livello di progetto.

I percorsi di attacco rappresentano le possibilità

Non vedrai prove di un attacco effettivo in un percorso di attacco.

Risk Engine genera percorsi di attacco e punteggi di esposizione agli attacchi simulando cosa potrebbero fare gli autori degli attacchi ipotetici se ottenessero l'accesso al tuo ambiente Google Cloud e scoprissero i percorsi di attacco e le vulnerabilità che Security Command Center ha già trovato.

Ogni percorso di attacco mostra uno o più metodi di attacco che un utente malintenzionato potrebbe utilizzare se ottenesse l'accesso a una determinata risorsa. Non confondere questi metodi di attacco con gli attacchi effettivi.

Allo stesso modo, un punteggio di esposizione agli attacchi elevato su uno dei seguenti elementi non significa che è in corso un attacco:

  • Un risultato o una risorsa di Security Command Center
  • Un problema di Security Command Center Premium o Enterprise

Per tenere d'occhio gli attacchi effettivi, monitora i risultati della classe THREAT prodotti dai servizi di rilevamento delle minacce, come Event Threat Detection e Container Threat Detection.

Per saperne di più, consulta le sezioni seguenti in questa pagina:

Punteggi di esposizione agli attacchi

Viene visualizzato un punteggio di esposizione agli attacchi per:

  • Un risultato o una risorsa di Security Command Center
  • Un problema di Security Command Center Premium o Enterprise

Un punteggio di esposizione agli attacchi è una misura di quanto le risorse sono esposte a potenziali attacchi se un malintenzionato dovesse ottenere l'accesso al tuo ambiente Google Cloud.

Un punteggio di esposizione agli attacchi su un risultato di combinazione tossica o chokepoint viene definito punteggio delle combinazioni tossiche in alcuni contesti, ad esempio nella pagina Risultati della console Google Cloud .

Nelle descrizioni di come vengono calcolati i punteggi, nelle indicazioni generali sulla definizione delle priorità per la correzione dei risultati e in alcuni altri contesti, il termine punteggio di esposizione agli attacchi si applica anche ai punteggi delle combinazioni tossiche.

In un risultato, il punteggio è una misura di quanto un problema di sicurezza rilevato espone una o più risorse di alto valore a potenziali attacchi informatici. In una risorsa di alto valore, il punteggio è una misura di quanto la risorsa sia esposta a potenziali attacchi informatici.

Utilizza i punteggi relativi a esposizione esterna, vulnerabilità del software, errori di configurazione e risultati di combinazioni tossiche o chokepoint per dare la priorità alla correzione di questi risultati.

Utilizza i punteggi di esposizione agli attacchi sulle risorse per proteggere in modo proattivo le risorse più preziose per la tua attività.

Nelle simulazioni dei percorsi di attacco, Risk Engine inizia sempre gli attacchi simulati da internet pubblico. Di conseguenza, i punteggi di esposizione agli attacchi non tengono conto di alcuna possibile esposizione ad attori interni dannosi o negligenti.

Risultati che ricevono punteggi di esposizione agli attacchi

I punteggi di esposizione agli attacchi vengono applicati alle classi di risultati attivi elencate in Categorie di risultati supportate.

Le simulazioni dei percorsi di attacco includono nei calcoli solo i risultati attivi e non disattivati. I risultati con stato INACTIVE o MUTED non sono inclusi nelle simulazioni, non ricevono punteggi e non sono inclusi nei percorsi di attacco.

Risorse che ricevono punteggi di esposizione agli attacchi

Le simulazioni del percorso di attacco calcolano i punteggi di esposizione agli attacchi per i tipi di risorse supportati nel set di risorse di alto valore. Puoi specificare quali risorse appartengono al set di risorse di alto valore creando configurazioni dei valori delle risorse.

Se una risorsa in un set di risorse di alto valore ha un punteggio di esposizione all'attacco pari a 0, le simulazioni del percorso di attacco non hanno identificato alcun percorso alla risorsa che un potenziale utente malintenzionato potrebbe sfruttare.

Le simulazioni del percorso di attacco supportano i seguenti tipi di risorse:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/ReasoningEngine
  • aiplatform.googleapis.com/TrainingPipeline
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudbuild.googleapis.com/BitbucketServerConfig
  • cloudbuild.googleapis.com/BuildTrigger
  • cloudbuild.googleapis.com/Connection
  • cloudbuild.googleapis.com/GithubEnterpriseConfig
  • cloudbuild.googleapis.com/Repository
  • cloudbuild.googleapis.com/WorkerPool
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • dataproc.googleapis.com/Cluster
  • dataproc.googleapis.com/Job
  • run.googleapis.com/Job
  • run.googleapis.com/Service
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Calcolo del punteggio

Ogni volta che vengono eseguite le simulazioni del percorso di attacco, i punteggi di esposizione agli attacchi vengono ricalcolati. Ogni simulazione del percorso di attacco esegue in realtà diverse simulazioni in cui un utente malintenzionato simulato prova metodi e tecniche di attacco noti per raggiungere e compromettere le risorse di valore.

Le simulazioni dei percorsi di attacco vengono eseguite in base a una pianificazione e i nuovi risultati sono disponibili ogni 48 ore. Le esecuzioni della simulazione non vengono attivate dalla creazione, dalla modifica o dall'eliminazione di risorse o configurazioni dei valori delle risorse.

Le simulazioni calcolano i punteggi utilizzando una serie di metriche, tra cui:

  • Il valore di priorità assegnato alle risorse di alto valore esposte. I valori di priorità che puoi assegnare sono i seguenti:
    • HIGH = 10
    • MED = 5
    • LOW = 1
  • Il numero di percorsi possibili che un utente malintenzionato potrebbe seguire per raggiungere una determinata risorsa.
  • Il numero di volte in cui un utente malintenzionato simulato è in grado di raggiungere e compromettere una risorsa di alto valore alla fine di un determinato percorso di attacco, espresso come percentuale del numero totale di simulazioni.
  • Solo per i risultati, il numero di risorse di alto valore esposte dall'esposizione esterna, dalla vulnerabilità o dalla configurazione errata rilevata.

Per le risorse, i punteggi di esposizione all'attacco possono variare da 0 a 10.

In generale, le simulazioni calcolano i punteggi delle risorse moltiplicando la percentuale di attacchi riusciti per il valore di priorità numerica delle risorse.

Per i risultati, i punteggi non hanno un limite massimo fisso. Più spesso un risultato si verifica sui percorsi di attacco alle risorse esposte nel set di risorse di alto valore e più alti sono i valori di priorità di queste risorse, più alto è il punteggio.

In generale, le simulazioni calcolano i punteggi dei risultati utilizzando lo stesso calcolo dei punteggi delle risorse, ma per i punteggi dei risultati, le simulazioni moltiplicano il risultato del calcolo per il numero di risorse di alto valore esposte dal risultato.

Modifica dei punteggi

I punteggi possono cambiare ogni volta che viene eseguita una simulazione del percorso di attacco. Un risultato o una risorsa con un punteggio pari a zero oggi potrebbe avere un punteggio diverso da zero domani.

I punteggi cambiano per una serie di motivi, tra cui:

  • Il rilevamento o la correzione di una vulnerabilità che espone direttamente o indirettamente una risorsa di alto valore.
  • L'aggiunta o la rimozione di risorse nel tuo ambiente.

Le modifiche ai risultati o alle risorse dopo l'esecuzione di una simulazione non vengono riflesse nei punteggi fino all'esecuzione della simulazione successiva.

Utilizzo dei punteggi per dare priorità alle correzioni dei risultati

Per dare priorità in modo efficace alla correzione dei risultati in base ai punteggi di esposizione agli attacchi o di combinazione tossica, tieni presente quanto segue:

  • Qualsiasi risultato con un punteggio maggiore di zero espone una risorsa di alto valore a un potenziale attacco in qualche modo, quindi la correzione deve avere la priorità rispetto ai risultati con un punteggio pari a zero.
  • Più alto è il punteggio di un risultato, maggiore è l'esposizione delle tue risorse di alto valore e maggiore è la priorità da assegnare alla sua correzione.

In genere, dai la massima priorità alla correzione dei risultati che hanno i punteggi più alti e che bloccano più efficacemente i percorsi di attacco alle tue risorse di alto valore.

Se i punteggi di una combinazione tossica e di un chokepoint e di un risultato in un'altra classe di risultati sono più o meno uguali, dai la priorità alla correzione della combinazione tossica e del chokepoint, perché rappresentano un percorso completo da internet pubblico a una o più risorse di alto valore che un attaccante può potenzialmente seguire se ha ottenuto l'accesso al tuo ambiente cloud.

Nella pagina Risultati di Security Command Center nella consoleGoogle Cloud , puoi ordinare i risultati nel riquadro della pagina in base al punteggio facendo clic sull'intestazione della colonna.

Nella console Google Cloud , puoi anche visualizzare i risultati con i punteggi più alti aggiungendo un filtro alla query dei risultati che restituisce solo i risultati con un punteggio di esposizione agli attacchi superiore a un numero specificato.

Nella pagina Richieste di Security Command Center Enterprise, puoi anche ordinare le combinazioni tossiche e i casi di colli di bottiglia in base al punteggio di esposizione agli attacchi.

Risultati che non possono essere corretti

In alcuni casi, potresti non essere in grado di correggere un risultato con un punteggio di esposizione agli attacchi elevato, perché rappresenta un rischio noto e accettato o perché il risultato non può essere corretto immediatamente. In questi casi, potrebbe essere necessario mitigare il rischio in altri modi. L'esame del percorso di attacco associato potrebbe darti idee per altre possibili mitigazioni.

Proteggere le risorse utilizzando i punteggi di esposizione agli attacchi

Un punteggio di esposizione agli attacchi diverso da zero su una risorsa indica che le simulazioni del percorso di attacco hanno identificato uno o più percorsi di attacco dalla rete internet pubblica alla risorsa.

Per visualizzare i punteggi di esposizione agli attacchi per le tue risorse di alto valore, segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Asset di Security Command Center.

    Vai ad Asset

  2. Seleziona l'organizzazione in cui hai attivato Security Command Center.

  3. Seleziona la scheda Set di risorse di alto valore. Le risorse nel tuo set di risorse di alto valore vengono visualizzate in ordine decrescente in base al punteggio di esposizione agli attacchi.

  4. Per visualizzare i percorsi di attacco per una risorsa, fai clic sul numero nella relativa riga della colonna Punteggio di esposizione all'attacco. Vengono visualizzati i percorsi di attacco dalla rete internet pubblica alla risorsa.

  5. Esamina i percorsi di attacco. Per informazioni su come interpretare i percorsi di attacco, consulta Percorsi di attacco.

  6. Per visualizzare una finestra dei dettagli con link per visualizzare i risultati correlati, fai clic su un nodo.

  7. Fai clic su un link ai risultati correlati. Viene visualizzata la finestra Risultato con i dettagli sul risultato e su come correggerlo.

Puoi anche visualizzare i punteggi di esposizione agli attacchi delle tue risorse di alto valore nella scheda Simulazioni del percorso di attacco in Impostazioni > scheda Simulazione del percorso di attacco. Fai clic su Visualizza le risorse con valori utilizzate nell'ultima simulazione.

La scheda Set di risorse di alto valore è disponibile anche nella pagina Asset della console di Security Operations.

Punteggi di esposizione agli attacchi di 0

Un punteggio di esposizione agli attacchi pari a 0 su una risorsa significa che, nelle simulazioni dei percorsi di attacco più recenti, Security Command Center non ha identificato potenziali percorsi che un utente malintenzionato potrebbe seguire per raggiungere la risorsa.

Un punteggio di esposizione agli attacchi pari a 0 su un risultato indica che, nell'ultima simulazione di attacco, l'utente malintenzionato simulato non è riuscito a raggiungere risorse di alto valore tramite il risultato.

Tuttavia, un punteggio di esposizione agli attacchi pari a 0 non significa che non ci sia alcun rischio. Un punteggio di esposizione agli attacchi riflette l'esposizione di servizi, risorse e risultati di Security Command Center supportati da Google Cloud a potenziali minacce provenienti dalla rete internet pubblica. Ad esempio, i punteggi non tengono conto delle minacce provenienti da attori interni, delle vulnerabilità zero-day o dell'infrastruttura di terze parti.

Nessun punteggio di esposizione agli attacchi

Se un risultato o una risorsa non ha un punteggio, i motivi possono essere i seguenti:

  • Il risultato è stato generato dopo l'ultima simulazione del percorso di attacco.
  • La risorsa è stata aggiunta al set di risorse di alto valore dopo l'ultima simulazione del percorso di attacco.
  • La funzionalità di esposizione agli attacchi non supporta la categoria di risultati o il tipo di risorsa.

Per un elenco delle categorie di risultati supportate, consulta Supporto delle funzionalità del motore di rischio.

Per un elenco dei tipi di risorse supportati, consulta Risorse che ricevono punteggi di esposizione agli attacchi.

Valori delle risorse

Sebbene tutte le tue risorse su Google Cloud abbiano un valore, Security Command Center identifica i percorsi di attacco e calcola i punteggi di esposizione agli attacchi solo per le risorse che designi come risorse di alto valore (a volte denominate risorse di valore).

Risorse di alto valore

Una risorsa di alto valore su Google Cloud è una risorsa particolarmente importante per la tua attività ed è essenziale proteggerla da potenziali attacchi. Ad esempio, le risorse di alto valore potrebbero essere quelle che archiviano i tuoi dati preziosi o sensibili o che ospitano i tuoi workload aziendali critici.

Puoi designare una risorsa come risorsa di alto valore definendo gli attributi della risorsa in una configurazione del valore della risorsa. Fino a un limite di 1000 istanze di risorse, Security Command Center considera qualsiasi istanza di risorsa che corrisponde agli attributi specificati nella configurazione come risorsa di alto valore.

Valori di priorità

Tra le risorse che designi come di alto valore, è probabile che tu debba dare priorità alla sicurezza di alcune rispetto ad altre. Ad esempio, un insieme di risorse di dati potrebbe contenere dati di alto valore, ma alcune di queste risorse potrebbero contenere dati più sensibili rispetto al resto.

Affinché i punteggi riflettano la tua esigenza di dare priorità alla sicurezza delle risorse all'interno del set di risorse di alto valore, assegni un valore di priorità nelle configurazioni dei valori delle risorse che designa le risorse come di alto valore.

Se utilizzi Sensitive Data Protection, puoi anche dare la priorità alle risorse automaticamente in base alla sensibilità dei dati che contengono.

Imposta manualmente i valori di priorità delle risorse

In una configurazione del valore delle risorse, assegni una priorità alle risorse di alto valore corrispondenti specificando uno dei seguenti valori di priorità:

  • LOW = 1
  • MEDIUM = 5
  • HIGH = 10
  • NONE = 0

Se specifichi un valore di priorità pari a LOW in una configurazione del valore della risorsa, le risorse corrispondenti sono comunque risorse di alto valore; le simulazioni del percorso di attacco le trattano semplicemente con una priorità inferiore e assegnano loro un punteggio di esposizione agli attacchi inferiore rispetto alle risorse di alto valore con un valore di priorità pari a MEDIUM o HIGH.

Se più configurazioni assegnano valori diversi alla stessa risorsa, viene applicato il valore più alto, a meno che una configurazione non assegni un valore pari a NONE.

Un valore della risorsa pari a NONE esclude le risorse corrispondenti dall'essere considerate risorse di alto valore e sostituisce qualsiasi altra configurazione del valore della risorsa per la stessa risorsa. Per questo motivo, assicurati che qualsiasi configurazione che specifica NONE si applichi solo a un insieme limitato di risorse.

Imposta automaticamente i valori di priorità delle risorse in base alla sensibilità dei dati

Se utilizzi il rilevamento di Sensitive Data Protection e pubblichi i profili di dati in Security Command Center, puoi configurare Security Command Center in modo che imposti automaticamente il valore di priorità di determinate risorse di alto valore in base alla sensibilità dei dati contenuti nelle risorse.

Puoi attivare la definizione della priorità in base alla sensibilità dei dati quando specifichi le risorse in una configurazione dei valori delle risorse.

Se abilitata, se il rilevamento di Sensitive Data Protection classifica i dati in una risorsa come sensibilità MEDIUM o HIGH, le simulazioni del percorso di attacco impostano per impostazione predefinita il valore di priorità della risorsa sullo stesso valore.

I livelli di sensibilità dei dati sono definiti da Sensitive Data Protection, ma puoi interpretarli come segue:

Dati ad alta sensibilità
Il rilevamento di Sensitive Data Protection ha trovato almeno un'istanza di dati ad alta sensibilità nella risorsa.
Dati con sensibilità media
Il discovery di Sensitive Data Protection ha trovato almeno un'istanza di dati con sensibilità media nella risorsa e nessuna istanza di dati con sensibilità elevata.
Dati a bassa sensibilità
Il discovery di Sensitive Data Protection non ha rilevato dati sensibili o testo in formato libero o dati non strutturati nella risorsa.

Se il rilevamento di Sensitive Data Protection identifica solo dati a bassa sensibilità in una risorsa di dati corrispondente, la risorsa non viene designata come risorsa di alto valore.

Se hai bisogno di risorse di dati che contengono solo dati a bassa sensibilità da designare come risorse di alto valore con una priorità bassa, crea una configurazione dei valori delle risorse duplicata, ma specifica un valore di priorità pari a LOW anziché attivare l'assegnazione della priorità in base alla sensibilità dei dati. La configurazione che utilizza Sensitive Data Protection override la configurazione che assegna il valore di priorità LOW, ma solo per le risorse che contengono dati sensibili HIGH o MEDIUM.

Puoi modificare i valori di priorità predefiniti utilizzati da Security Command Center quando vengono rilevati dati sensibili nella configurazione del valore della risorsa.

Per ulteriori informazioni su Sensitive Data Protection, consulta la panoramica di Sensitive Data Protection.

Prioritizzazione della sensibilità dei dati e set di risorse di alto valore predefinito

Prima di creare il tuo set di risorse di alto valore, Security Command Center utilizza un set di risorse di alto valore predefinito per calcolare i punteggi di esposizione agli attacchi e i percorsi di attacco.

Se utilizzi l'individuazione di Sensitive Data Protection, Security Command Center aggiunge automaticamente le istanze dei tipi di risorse di dati supportati che contengono dati sensibili HIGH o MEDIUM al set di risorse di alto valore predefinito.

Tipi di risorse Google Cloud supportati per i valori di priorità automatizzati della sensibilità dei dati

Le simulazioni dei percorsi di attacco possono impostare automaticamente i valori di priorità in base alle classificazioni della sensibilità dei dati della scoperta di Sensitive Data Protection solo per i seguenti tipi di risorse di dati:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Tipi di risorse AWS supportati per i valori di priorità della sensibilità dei dati automatizzati

Le simulazioni dei percorsi di attacco possono impostare automaticamente i valori di priorità in base alle classificazioni della sensibilità dei dati del rilevamento di Sensitive Data Protection solo per i seguenti tipi di risorse di dati AWS:

  • Bucket Amazon S3

Set di risorse di alto valore

Un set di risorse di alto valore è una raccolta definita delle risorse nel tuo ambiente Google Cloud che sono più importanti da proteggere.

Per definire il set di risorse di alto valore, devi specificare quali risorse nel tuo ambiente Google Cloud appartengono al set di risorse di alto valore. Finché non definisci il set di risorse di alto valore, i punteggi di esposizione agli attacchi, i percorsi di attacco e i risultati delle combinazioni tossiche non riflettono con precisione le tue priorità di sicurezza.

Puoi specificare le risorse nel set di risorse di alto valore creando configurazioni dei valori delle risorse. La combinazione di tutte le configurazioni dei valori delle risorse definisce il set di risorse di alto valore. Per saperne di più, consulta la sezione Configurazioni dei valori delle risorse.

Fino a quando non definisci la prima configurazione del valore delle risorse, Security Command Center utilizza un set di risorse di alto valore predefinito. Il set predefinito si applica all'intera organizzazione per tutti i tipi di risorse supportati dalle simulazioni dei percorsi di attacco. Per saperne di più, consulta Set di risorse di alto valore predefinito.

Per visualizzare il set di risorse di alto valore utilizzato nell'ultima simulazione del percorso di attacco, inclusi i punteggi di esposizione agli attacchi e le configurazioni corrispondenti, consulta Visualizzare il set di risorse di alto valore.

Configurazioni dei valori delle risorse

Gestisci le risorse nel tuo insieme di risorse di alto valore con le configurazioni dei valori delle risorse.

Puoi creare configurazioni dei valori delle risorse nella scheda Simulazione del percorso di attacco della pagina Impostazioni di Security Command Center nella console Google Cloud .

In una configurazione del valore delle risorse, specifichi gli attributi che una risorsa deve avere affinché Security Command Center la aggiunga al tuo set di risorse di alto valore.

Gli attributi che puoi specificare includono il tipo di risorsa, i tag delle risorse, le etichette delle risorse e il progetto, la cartella o l'organizzazione padre.

Assegni anche un valore risorsa alle risorse in una configurazione. Il valore della risorsa assegna la priorità alle risorse in una configurazione rispetto alle altre risorse nel set di risorse di alto valore. Per saperne di più, consulta Valori delle risorse.

Puoi creare fino a 100 configurazioni dei valori delle risorse in un'organizzazioneGoogle Cloud .

Tutte le configurazioni dei valori delle risorse che crei definiscono il set di risorse di alto valore che Security Command Center utilizza per le simulazioni dei percorsi di attacco.

Attributi risorsa

Affinché una risorsa venga inclusa nel set di risorse di alto valore, i suoi attributi devono corrispondere a quelli specificati in una configurazione del valore della risorsa.

Gli attributi che puoi specificare includono:

  • Un tipo di risorsa o Any. Se specifichi Any, la configurazione si applica a tutti i tipi di risorse supportati nell'ambito specificato. Any è il valore predefinito.
  • Un ambito (l'organizzazione, la cartella o il progetto padre) all'interno del quale devono risiedere le risorse. L'ambito predefinito è la tua organizzazione. Se specifichi un'organizzazione o una cartella, la configurazione viene applicata anche alle risorse nelle cartelle o nei progetti secondari.
  • (Facoltativo) Uno o più tag o etichette che ogni risorsa deve contenere.

Se specifichi una o più configurazioni dei valori delle risorse, ma nessuna risorsa nel tuo ambiente Google Cloud corrisponde agli attributi specificati in una delle configurazioni, Security Command Center genera un risultato SCC Error e torna al set di risorse di alto valore predefinito.

Set di risorse di alto valore predefinito

Security Command Center utilizza un insieme predefinito di risorse di alto valore per calcolare i punteggi di esposizione agli attacchi quando non sono definite configurazioni di valori delle risorse o quando nessuna configurazione definita corrisponde a risorse.

Security Command Center assegna alle risorse nella risorsa di valore elevato predefinita un valore di priorità pari a LOW, a meno che non utilizzi il discovery di Sensitive Data Protection, nel qual caso Security Command Center assegna alle risorse che contengono dati con sensibilità alta o media un valore di priorità corrispondente pari a HIGH o MEDIUM.

Il motore di rischio utilizza l'euristica per identificare il punteggio di esposizione al rischio delle risorse analizzando la terminologia comune del settore utilizzata all'interno di tag, etichette e nomi delle risorse. Ai problemi di sicurezza più critici nel set di risorse di alto valore predefinito vengono assegnati per primi i punteggi di esposizione al rischio. Poi, il motore di rischio calcola il punteggio di esposizione agli attacchi per le risorse non di produzione, che sono considerate di minore importanza.

Se hai almeno una configurazione del valore delle risorse che corrisponde ad almeno una risorsa nel tuo ambiente, Security Command Center smette di utilizzare il set di risorse di alto valore predefinito.

Per ricevere punteggi di esposizione agli attacchi e combinazione tossica che riflettano con precisione le tue priorità di sicurezza, sostituisci il set predefinito di risorse di alto valore con uno tuo. Per saperne di più, consulta Definisci e gestisci il set di risorse di alto valore.

L'elenco seguente mostra i tipi di risorse inclusi nel set di risorse di valore elevato predefinito:

  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/ReasoningEngine
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudbuild.googleapis.com/BuildTrigger
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • run.googleapis.com/Job
  • run.googleapis.com/Service
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Limite delle risorse in un set di risorse di alto valore

Security Command Center limita il numero di risorse in un set di risorse di alto valore a 1000 per provider di servizi cloud.

Se le specifiche degli attributi in una o più configurazioni dei valori delle risorse sono molto ampie, il numero di risorse che corrispondono alle specifiche degli attributi può superare 1000.

Quando il numero di risorse corrispondenti supera il limite, Security Command Center esclude le risorse dal set finché il numero di risorse non rientra nel limite. Security Command Center esclude prima le risorse con il valore assegnato più basso. Tra le risorse con lo stesso valore assegnato, Security Command Center esclude le istanze delle risorse in base a un algoritmo che distribuisce le risorse escluse tra i tipi di risorse.

Una risorsa esclusa dal set di risorse di alto valore non viene presa in considerazione nel calcolo dei punteggi di esposizione agli attacchi.

Per avvisarti quando viene superato il limite di istanze per il calcolo del punteggio, Security Command Center genera un risultato SCC error e visualizza un messaggio nella scheda delle impostazioni Simulazione del percorso di attacco nella console Google Cloud . Security Command Center non genera un risultato SCC error se il set di valori elevati predefinito supera il limite dell'istanza.

Per evitare di superare il limite, modifica le configurazioni dei valori delle risorse per perfezionare le istanze nel set di risorse di alto valore.

Ecco alcune delle azioni che puoi intraprendere per perfezionare il set di risorse di alto valore:

  • Utilizza i tag o le etichette per ridurre il numero di corrispondenze per un determinato tipo di risorsa o all'interno di un ambito specificato.
  • Crea una configurazione del valore delle risorse che assegna un valore NONE a un sottoinsieme delle risorse specificate in un'altra configurazione. Se specifichi un valore NONE, viene eseguito l'override di qualsiasi altra configurazione e le istanze delle risorse vengono escluse dal set di risorse di alto valore.
  • Riduci la specifica dell'ambito nella configurazione del valore delle risorse.
  • Elimina le configurazioni dei valori delle risorse che assegnano un valore di LOW.

Risorse di alto valore

Per popolare il set di risorse di alto valore, devi decidere quali istanze di risorse nel tuo ambiente sono effettivamente di alto valore.

In genere, le risorse di alto valore sono quelle che elaborano e archiviano i tuoi dati sensibili. Ad esempio, su Google Cloud, potrebbero essere istanze di Compute Engine, un set di dati BigQuery o un bucket Cloud Storage.

Non è necessario designare come di alto valore le risorse adiacenti alle tue risorse di alto valore, ad esempio un jump server. Le simulazioni del percorso di attacco tengono già conto di queste risorse adiacenti e, se le designi anche come di alto valore, i punteggi di esposizione agli attacchi possono diventare meno affidabili.

Percorsi di attacco

Un percorso di attacco è una rappresentazione visiva interattiva di uno o più percorsi potenziali che un attaccante ipotetico potrebbe seguire per passare da internet pubblico a una delle tue istanze di risorse di alto valore.

Le simulazioni del percorso di attacco identificano i potenziali percorsi di attacco modellando cosa succederebbe se un utente malintenzionato applicasse metodi di attacco noti alle vulnerabilità e agli errori di configurazione che Security Command Center ha rilevato nel tuo ambiente per cercare di raggiungere le tue risorse di alto valore.

Puoi visualizzare i percorsi di attacco facendo clic sul punteggio di esposizione agli attacchi in un risultato o una risorsa nella console Google Cloud .

Nel livello Enterprise, quando visualizzi una richiesta relativa a una combinazione tossica, puoi visualizzare un percorso di attacco semplificato per la combinazione tossica nella scheda Panoramica della richiesta. Il percorso di attacco semplificato include un link al percorso di attacco completo. Per ulteriori informazioni sui percorsi di attacco per i risultati delle combinazioni tossiche, consulta Percorsi di attacco delle combinazioni tossiche.

Quando visualizzi percorsi di attacco più grandi, puoi modificare la visualizzazione del percorso di attacco trascinando il selettore dell'area di messa a fuoco quadrata rossa intorno alla visualizzazione in miniatura del percorso di attacco sul lato destro del display.

In un percorso di attacco, le risorse sono rappresentate come caselle o nodi. Le linee rappresentano la potenziale accessibilità tra le risorse. Insieme, i nodi e le linee rappresentano il percorso di attacco.

Nodi del percorso di attacco

I nodi in un percorso di attacco rappresentano le risorse in un percorso di attacco.

Visualizzazione delle informazioni sui nodi

Puoi visualizzare ulteriori informazioni su ogni nodo di un percorso di attacco facendo clic sul nodo.

Se fai clic sul nome della risorsa in un nodo, vengono visualizzate ulteriori informazioni sulla risorsa, nonché eventuali risultati che la riguardano.

Se fai clic su Espandi nodo, vengono visualizzati i possibili metodi di attacco che potrebbero essere utilizzati se un attaccante ottenesse l'accesso alla risorsa.

Tipi di nodi

Esistono tre tipi di nodi:

  • Il punto di partenza o punto di ingresso dell'attacco simulato, ovvero l'internet pubblico. Se fai clic su un nodo di un entry point, viene visualizzata una descrizione dell'entry point insieme ai metodi di attacco che un utente malintenzionato potrebbe utilizzare per ottenere l'accesso al tuo ambiente.
  • Le risorse interessate che un utente malintenzionato può utilizzare per avanzare lungo un percorso.
  • La risorsa esposta alla fine di un percorso, che è una delle risorse nel tuo set di risorse di alto valore. Solo una risorsa in un set di risorse di alto valore definito o predefinito può essere una risorsa esposta. Puoi definire un set di risorse di alto valore creando configurazioni dei valori delle risorse.

Nodi upstream e downstream

In un percorso di attacco, un nodo può essere upstream o downstream rispetto agli altri nodi. Un nodo upstream è più vicino al punto di ingresso e alla parte superiore del percorso di attacco. Un nodo downstream è più vicino alla risorsa di alto valore esposta nella parte inferiore del percorso di attacco.

Nodi che rappresentano più istanze di risorse container

Un nodo può rappresentare più istanze di determinati tipi di risorse container se le istanze condividono le stesse caratteristiche.

Più istanze dei seguenti tipi di risorse container possono essere rappresentate da un singolo nodo:

  • Controller ReplicaSet
  • Controller Deployment
  • Controller del job
  • Controller CronJob
  • Controller DaemonSet

Linee dei percorsi di attacco

In un percorso di attacco, le linee tra le caselle rappresentano la potenziale accessibilità tra le risorse che un utente malintenzionato potrebbe sfruttare per raggiungere risorse di alto valore.

Le linee non rappresentano una relazione tra le risorse definita inGoogle Cloud.

Se esistono più percorsi che puntano a un nodo downstream da più nodi upstream, i nodi upstream possono avere una relazione AND o OR tra loro.

Una relazione AND significa che un malintenzionato deve accedere a entrambi i nodi upstream per accedere a un nodo downstream nel percorso.

Ad esempio, una linea diretta da internet pubblico a una risorsa di alto valore alla fine di un percorso di attacco ha una relazione AND con almeno un'altra linea nel percorso di attacco. Un malintenzionato non potrebbe raggiungere la risorsa di alto valore a meno che non ottenga l'accesso sia al tuo ambienteGoogle Cloud sia ad almeno un'altra risorsa mostrata nel percorso di attacco.

Una relazione OR indica che un malintenzionato deve accedere a un solo nodo upstream per accedere al nodo downstream.

Simulazioni del percorso di attacco

Per determinare tutti i possibili percorsi di attacco e calcolare i punteggi di esposizione agli attacchi, Security Command Center esegue simulazioni avanzate dei percorsi di attacco.

Pianificazione della simulazione

Le simulazioni dei percorsi di attacco vengono eseguite in base a una pianificazione e i nuovi risultati sono disponibili ogni 48 ore. Le esecuzioni della simulazione non vengono attivate dalla creazione, dalla modifica o dall'eliminazione di risorse o configurazioni dei valori delle risorse.

Passaggi della simulazione del percorso di attacco

La simulazione è costituita dai seguenti passaggi:

  1. Generazione del modello: un modello del tuo ambiente Google Cloud viene generato automaticamente in base ai dati dell'ambiente. Il modello è una rappresentazione grafica del tuo ambiente, personalizzata per le analisi dei percorsi di attacco.
  2. Simulazione del percorso di attacco: le simulazioni del percorso di attacco vengono eseguite sul modello grafico. Le simulazioni prevedono che un attaccante virtuale tenti di raggiungere e compromettere le risorse nel set di risorse di alto valore. Le simulazioni sfruttano gli approfondimenti su ogni risorsa e relazione specifica, tra cui networking, IAM, configurazioni, configurazioni errate e vulnerabilità.
  3. Report sugli insight: in base alle simulazioni, Security Command Center assegna punteggi di esposizione agli attacchi alle tue risorse di alto valore e ai risultati che le espongono e visualizza i potenziali percorsi che un utente malintenzionato potrebbe seguire per raggiungere queste risorse.

Caratteristiche di esecuzione della simulazione

Oltre a fornire i punteggi di esposizione agli attacchi, gli insight sui percorsi di attacco e i percorsi di attacco, le simulazioni dei percorsi di attacco hanno le seguenti caratteristiche:

  • Non influiscono sul tuo ambiente live: tutte le simulazioni vengono eseguite su un modello virtuale e utilizzano l'accesso di sola lettura per la creazione del modello.
  • Sono dinamici: il modello viene creato senza agenti, solo tramite l'accesso in lettura all'API, il che consente alle simulazioni di seguire dinamicamente le modifiche apportate all'ambiente nel tempo.
  • Un attaccante virtuale tenta il maggior numero possibile di metodi e vulnerabilità per raggiungere e compromettere le tue risorse di alto valore. Ciò include non solo "le cose note", come vulnerabilità, configurazioni, configurazioni errate e relazioni di rete, ma anche "le incognite note" a bassa probabilità, ovvero i rischi che sappiamo esistere, come la possibilità di phishing o di credenziali trapelate.
  • Sono automatizzati: la logica di attacco è integrata nello strumento. Non devi creare o gestire set di query estesi o grandi set di dati.

Scenario e funzionalità dell'autore dell'attacco

Nelle simulazioni, Security Command Center ha una rappresentazione logica di un utente malintenzionato che tenta di sfruttare le tue risorse di valore elevato ottenendo l'accesso al tuo ambiente Google Cloud e seguendo potenziali percorsi di accesso attraverso le tue risorse e le vulnerabilità rilevate.

L'attaccante virtuale

L'aggressore virtuale utilizzato dalle simulazioni ha le seguenti caratteristiche:

  • L'autore dell'attacco è esterno: l'autore dell'attacco non è un utente legittimo del tuo ambienteGoogle Cloud . Le simulazioni non modellano né includono attacchi da utenti malintenzionati o negligenti che hanno accesso legittimo al tuo ambiente.
  • L'attaccante parte dalla rete internet pubblica. Per iniziare un attacco, l'attaccante deve prima accedere al tuo ambiente da internet pubblico.
  • L'attaccante è persistente. L'aggressore non si scoraggerà né perderà interesse a causa della difficoltà di un particolare metodo di attacco.
  • L'autore dell'attacco è esperto e competente. L'autore dell'attacco prova metodi e tecniche noti per accedere alle tue risorse di alto valore.

Accesso iniziale

In ogni simulazione, un utente malintenzionato virtuale prova i seguenti metodi per ottenere l'accesso da internet pubblico alle risorse nel tuo ambiente Google Cloud :

  • Scopri e connettiti a servizi e risorse accessibili dalla rete internet pubblica. In un ambiente Google Cloud , questo potrebbe includere quanto segue:
    • Servizi su istanze di macchine virtuali (VM) Compute Engine e nodi Google Kubernetes Engine
    • Database
    • Container
    • Bucket Cloud Storage
    • Cloud Run Functions
  • Ottenere l'accesso a chiavi e credenziali. In un ambiente Google Cloud , questo potrebbe includere quanto segue:
    • Chiavi service account
    • Chiavi di crittografia fornite dall'utente
    • Chiavi SSH dell'istanza VM
    • Chiavi SSH a livello di progetto
    • Sistemi di gestione delle chiavi esterni
    • Account utente in cui l'autenticazione a più fattori (MFA) non è applicata
    • Token MFA virtuali intercettati
  • Ottenere l'accesso ad asset cloud raggiungibili pubblicamente utilizzando credenziali rubate o sfruttando vulnerabilità.

Se la simulazione trova un possibile punto di ingresso nell'ambiente, l'utente malintenzionato virtuale tenta di raggiungere e compromettere le tue risorse di alto valore dal punto di ingresso esplorando e sfruttando consecutivamente le configurazioni di sicurezza e le vulnerabilità all'interno dell'ambiente.

Tattiche e tecniche

La simulazione utilizza un'ampia gamma di tattiche e tecniche, tra cui lo sfruttamento dell'accesso legittimo, il movimento laterale, l'escalation dei privilegi, le vulnerabilità, le configurazioni errate e l'esecuzione di codice.

Incorporamento dei dati CVE

Quando calcolano i punteggi di esposizione agli attacchi per i risultati delle vulnerabilità, le simulazioni dei percorsi di attacco considerano i dati del record CVE della vulnerabilità, i punteggi CVSS, nonché le valutazioni della sfruttabilità della vulnerabilità fornite da Mandiant.

Vengono prese in considerazione le seguenti informazioni sulle CVE:

  • Vettore d'attacco: l'utente malintenzionato deve disporre del livello di accesso specificato nel vettore d'attacco CVSS per utilizzare la CVE. Ad esempio, una CVE con un vettore d'attacco di rete rilevato su un asset con un indirizzo IP pubblico e porte aperte può essere sfruttata da un utente malintenzionato con accesso alla rete. Se un malintenzionato ha solo accesso alla rete e il CVE richiede l'accesso fisico, allora non può sfruttare il CVE.
  • Complessità dell'attacco: in genere, un risultato di vulnerabilità o configurazione errata con una complessità dell'attacco bassa ha maggiori probabilità di ottenere un punteggio di esposizione agli attacchi elevato rispetto a un risultato con una complessità dell'attacco elevata.
  • Attività di exploit: in genere, un risultato di vulnerabilità con un'ampia attività di exploit, come determinato dagli analisti di cyber threat intelligence di Mandiant, ha maggiori probabilità di ottenere un punteggio di esposizione agli attacchi elevato rispetto a un risultato con un'attività di exploit solo prevista. Una vulnerabilità senza attività di exploit nota non viene presa in considerazione nelle simulazioni dei percorsi di attacco.

Analisi del rischio multi-cloud

Oltre a Google Cloud, Security Command Center può eseguire simulazioni dei percorsi di attacco per valutare il rischio nei tuoi deployment su più piattaforme di provider di servizi cloud.

Dopo aver stabilito una connessione a un'altra piattaforma, puoi designare le tue risorse di alto valore sull'altro provider di servizi cloud creando configurazioni del valore delle risorse, come faresti per le risorse su Google Cloud.

Security Command Center esegue simulazioni per una piattaforma cloud indipendentemente dalle simulazioni eseguite per altre piattaforme cloud.

Prima di creare la prima configurazione del valore della risorsa per un altro provider di servizi cloud, Security Command Center utilizza un insieme di risorse di alto valore predefinito specifico per ogni provider di servizi cloud.

Per ulteriori informazioni, consulta le seguenti risorse:

Passaggi successivi