受攻擊風險分數和攻擊路徑簡介

Security Command Center Risk Engine 會產生受攻擊風險分數和攻擊路徑，協助您找出並優先處理高風險的受攻擊路徑，確保高價值雲端資源安全無虞。這些模擬會評估外部暴露、安全漏洞、設定錯誤和有害組合之間的互動，讓您能專注於修復重大威脅。

受攻擊風險分數和攻擊路徑總覽

系統會為下列項目產生攻擊路徑分數和攻擊路徑：

  • 外部暴露 (預先發布版)、安全漏洞和設定錯誤發現項目，會暴露有效高價值資源集中的資源執行個體。
  • 有效高價值資源集中的資源。
  • Security Command Center Premium 或 Enterprise 中的問題，包括有害組合和瓶頸。

如要使用攻擊風險分數和攻擊路徑，必須在組織層級啟用 Security Command Center Premium 或 Enterprise。您無法在專案層級啟用時使用受攻擊風險分數和攻擊路徑。

攻擊路徑代表可能性

攻擊路徑中不會顯示實際攻擊的證據。

Risk Engine 會模擬假設攻擊者在取得 Google Cloud 環境存取權，並發現 Security Command Center 已找到的攻擊路徑和安全漏洞後，可能採取的行動，藉此產生攻擊路徑和受攻擊風險分數。

每個攻擊路徑都會顯示攻擊者取得特定資源的存取權後，可能使用的一或多種攻擊方法。請勿將這些攻擊方法與實際攻擊混淆。

同樣地，下列任何一項的攻擊暴露分數偏高，不代表攻擊正在進行：

  • Security Command Center 發現項目或資源
  • Security Command Center Premium 或 Enterprise 問題

如要監控實際攻擊，請監控威脅偵測服務 (例如 Event Threat Detection 和 Container Threat Detection) 產生的 THREAT 類別發現項目。

詳情請參閱本頁面下列各節：

受攻擊風險分數

下列項目會顯示受攻擊風險分數：

  • Security Command Center 發現項目或資源
  • Security Command Center Premium 或 Enterprise 問題

受攻擊風險分數可衡量惡意行為人存取 Google Cloud環境時，資源可能遭受攻擊的風險。

在某些情況下，例如 Google Cloud 控制台的「Findings」(發現項目) 頁面，有害組合或瓶頸發現項目的受攻擊風險分數稱為有害組合分數。

在說明分數計算方式、提供有關排定發現項目補救措施優先順序的一般指引，以及在某些其他情況下，「受攻擊風險分數」一詞也適用於有害組合分數。

在發現項目中，分數會衡量偵測到的安全性問題，對一或多項高價值資源造成潛在網路攻擊的風險有多高。針對高價值資源，這個分數會評估資源遭受潛在網路攻擊的風險。

根據外部暴露、軟體安全漏洞、設定錯誤、有害組合或瓶頸發現項目的分數，排定這些發現項目的修復優先順序。

使用資源的受攻擊風險分數，主動保護對貴商家最有價值的資源。

在攻擊路徑模擬中，風險引擎一律會從公開網際網路發動模擬攻擊。因此，攻擊暴露分數不會將惡意或疏忽的內部行為者可能造成的暴露納入考量。

有受攻擊風險分數的發現項目

攻擊暴露程度分數適用於「支援的發現項目類別」中列出的有效發現項目類別。

攻擊路徑模擬只會將有效和取消忽略的發現項目納入計算。狀態為 INACTIVE 或 MUTED 的發現項目不會納入模擬、不會獲得分數，也不會納入攻擊路徑。

會取得受攻擊風險分數的資源

攻擊路徑模擬會計算高價值資源集中支援資源類型的受攻擊風險分數。您可以建立資源值設定，指定哪些資源屬於高價值資源集。

如果高價值資源集中的資源受攻擊風險分數為 0，表示攻擊路徑模擬未找出潛在攻擊者可利用的資源路徑。

攻擊路徑模擬支援下列資源類型：

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/ReasoningEngine
  • aiplatform.googleapis.com/TrainingPipeline
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudbuild.googleapis.com/BitbucketServerConfig
  • cloudbuild.googleapis.com/BuildTrigger
  • cloudbuild.googleapis.com/Connection
  • cloudbuild.googleapis.com/GithubEnterpriseConfig
  • cloudbuild.googleapis.com/Repository
  • cloudbuild.googleapis.com/WorkerPool
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • dataproc.googleapis.com/Cluster
  • dataproc.googleapis.com/Job
  • run.googleapis.com/Job
  • run.googleapis.com/Service
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

分數計算方式

每次執行攻擊路徑模擬時，系統都會重新計算攻擊暴露分數。每次攻擊路徑模擬實際上會執行多項模擬，模擬攻擊者會嘗試已知的攻擊方法和技術，存取及入侵高價值資源。

攻擊路徑模擬會依排程執行，每 48 小時會提供新結果。建立、修改或刪除資源或資源值設定，不會觸發模擬執行。

模擬作業會使用多種指標計算分數，包括：

  • 指派給有風險的高價值資源的優先級值。您可以指派的優先順序值如下：
    • 高 = 10
    • MED = 5
    • LOW = 1
  • 攻擊者為了存取特定資源，可能採用的路徑數量。
  • 模擬攻擊者在特定攻擊路徑結束時，能存取及入侵高價值資源的次數，以模擬總數的百分比表示。
  • 僅限發現項目：偵測到的外部暴露、安全漏洞或設定錯誤，導致暴露的高價值資源數量。

資源的受攻擊風險分數範圍為 0 到 10。

概括來說，模擬作業會將攻擊成功率乘以資源的優先順序數值，計算出資源分數。

發現項目的分數沒有固定上限。如果發現項目在攻擊路徑中出現的頻率越高，且高價值資源集中受攻擊資源的優先順序值越高，分數就會越高。

從高層次來看，模擬作業會使用與計算資源分數相同的計算方式，計算發現項目分數，但對於發現項目分數，模擬作業會將計算結果乘以發現項目揭露的高價值資源數量。

變更分數

每次執行攻擊路徑模擬時，分數都可能變動。今天分數為零的發現項目或資源，明天可能會有非零分數。

分數變動的原因有很多，包括：

  • 直接或間接暴露高價值資源的安全漏洞偵測或修復。
  • 在環境中新增或移除資源。

模擬作業執行後，發現項目或資源的變更不會反映在分數中，直到下次模擬作業執行為止。

根據分數排定修復優先順序

如要根據攻擊暴露程度或有害組合分數，有效排定發現項目的修復優先順序，請考量下列幾點：

  • 任何分數大於零的發現項目，都代表高價值資源可能以某種方式遭受攻擊，因此應優先修復，而非分數為零的發現項目。
  • 發現項目的分數越高，表示高價值資源的風險越大，應優先修復。

一般來說，請優先修復分數最高、最能有效阻擋高價值資源攻擊路徑的發現項目。

如果有害組合和瓶頸發現項目，以及其他發現項目類別中的發現項目分數大致相等，請優先修正有害組合和瓶頸發現項目，因為這代表攻擊者可能從公開網際網路，完整路徑入侵一或多個高價值資源。

在 Google Cloud 控制台的 Security Command Center「發現項目」頁面中，按一下欄標題，即可依分數排序頁面面板上的發現項目。

在 Google Cloud 控制台中，您也可以在調查結果查詢中新增篩選器，只傳回攻擊風險分數大於指定數字的調查結果，藉此查看分數最高的調查結果。

在 Security Command Center Enterprise 的「案件」頁面中，您也可以依據遭受攻擊的風險分數，排序有害組合和瓶頸案件。

無法修復的發現項目

在某些情況下，您可能無法修復攻擊風險分數偏高的發現項目，原因可能是該項目代表已知且可接受的風險，或無法立即修復。在這些情況下，您可能需要以其他方式降低風險。查看相關聯的攻擊路徑，或許能讓您想到其他可能的緩解措施。

使用受攻擊風險分數保護資源

如果資源的受攻擊風險分數不為零，表示攻擊路徑模擬作業找出了一或多個從公開網際網路到該資源的攻擊路徑。

如要查看高價值資源的受攻擊風險分數，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的 Security Command Center「Assets」(資產) 頁面。

    前往「素材資源」頁面

  2. 選取啟用 Security Command Center 的機構。

  3. 選取「高價值資源組合」分頁標籤。高價值資源集中的資源會依遭受攻擊風險分數，由高到低排序。

  4. 如要顯示資源的攻擊路徑，請在「Attack exposure score」(受攻擊風險分數) 欄中，點選該資源所在資料列的數字。系統會顯示從公開網際網路到資源的攻擊路徑。

  5. 查看攻擊路徑。如要瞭解如何解讀攻擊路徑，請參閱「攻擊路徑」。

  6. 如要顯示詳細資料視窗，並查看相關發現項目的連結，請按一下節點。

  7. 按一下相關發現項目的連結。「Finding」(發現項目) 視窗隨即開啟，其中會顯示發現項目的詳細資料和修復方式。

您也可以前往「設定」>「攻擊路徑模擬」分頁，在「攻擊路徑模擬」分頁中查看高價值資源的受攻擊風險分數。按一下「查看上次模擬時使用的帶值資源」。

您也可以在資安營運控制台的「資產」頁面中，找到「高價值資源集」分頁。

受攻擊風險分數為 0

如果資源的受攻擊風險分數為 0，代表在最新的攻擊路徑模擬中，Security Command Center 未發現攻擊者可能用來存取資源的潛在路徑。

如果發現項目的受攻擊風險分數為 0，表示在最近一次攻擊模擬中，模擬攻擊者無法透過該發現項目存取任何高價值資源。

不過，遭受攻擊的風險分數為 0 並不代表沒有風險。受攻擊風險分數會反映支援的 Google Cloud 服務、資源和 Security Command Center 發現項目，暴露於來自公開網際網路的潛在威脅的程度。舉例來說，分數不會考量內部人員、零時差安全漏洞或第三方基礎架構帶來的威脅。

沒有受攻擊風險分數

如果發現項目或資源沒有分數，可能是下列原因：

  • 這項發現是在最近一次模擬攻擊路徑後產生。
  • 這項資源是在上次模擬攻擊路徑後，才新增至高價值資源集。
  • 攻擊暴露功能不支援發現項目類別或資源類型。

如需支援的發現項目類別清單，請參閱「風險引擎功能支援」。

如需支援的資源類型清單，請參閱「會取得攻擊風險分數的資源」。

資源值

雖然 Google Cloud 上的所有資源都有價值，但 Security Command Center 只會針對您指定為高價值資源 (有時稱為重要資源) 的資源，找出攻擊路徑並計算遭受攻擊風險分數。

高價值資源

Google Cloud 中的高價值資源是指對貴組織來說特別重要的資源，必須防範潛在攻擊。舉例來說，高價值資源可能是儲存重要或機密資料的資源，或是代管業務關鍵工作負載的資源。

您可以在資源值設定中定義資源屬性，將資源指定為高價值資源。最多 1,000 個資源例項。Security Command Center 會將符合您在設定中指定屬性的任何資源例項，視為高價值資源。

優先順序值

在您指定為高價值的資源中，可能需要優先保護某些資源。舉例來說，一組資料資源可能包含高價值資料，但其中某些資料資源可能包含比其他資料更敏感的資料。

為確保分數反映出您需要優先保護高價值資源集內的資源，請在資源價值設定中指派優先順序值，將資源指定為高價值。

如果您使用 Sensitive Data Protection，也可以根據資源所含資料的機密程度，自動設定資源優先順序。

手動設定資源優先順序值

在資源價值設定中，您可以指定下列其中一個優先順序值，為相符的高價值資源指派優先順序：

  • LOW = 1
  • MEDIUM = 5
  • HIGH = 10
  • NONE = 0

如果您在資源價值設定中指定 LOW 的優先順序值，相符的資源仍是高價值資源，但攻擊路徑模擬會以較低的優先順序處理這些資源，並指派較低於優先順序值為 MEDIUM 或 HIGH 的高價值資源的攻擊暴露分數。

如果多項設定為同一資源指派不同值，系統會套用最高值，除非設定指派的值為 NONE。

資源值為 NONE 時，系統會排除相符資源，不會將其視為高價值資源，並覆寫相同資源的所有其他資源值設定。因此，請確保指定 NONE 的任何設定僅適用於一組有限的資源。

依據資料機密程度自動設定資源優先順序值

如果您使用 Sensitive Data Protection 探索功能，並將資料剖析檔發布至 Security Command Center，則可根據資源所含資料的機密程度，將 Security Command Center 設為自動為特定高價值資源設定優先順序值。

在資源值設定中指定資源時，即可啟用資料敏感度優先順序。

啟用後，如果 Sensitive Data Protection 探索功能將資源中的資料分類為 MEDIUM 或 HIGH 機密程度，攻擊路徑模擬預設會將資源的優先順序值設為相同的值。

資料機密程度是由 Sensitive Data Protection 定義，但您可以解讀如下：

高度敏感資料
Sensitive Data Protection 探索功能在資源中找到至少一項高敏感度資料。
中度私密/機密資料
Sensitive Data Protection 探索功能在資源中找到至少一個中等機密資料例項，但沒有高度機密資料例項。
低度敏感資料
Sensitive Data Protection 探索功能未在資源中偵測到機密資料，或任何任意形式的文字或非結構化資料。

如果 Sensitive Data Protection 探索功能在相符的資料資源中，只找到低機密性資料，該資源就不會標示為高價值資源。

如果需要將僅含低機密性資料的資料資源指定為高價值資源，且優先順序較低，請建立重複的資源價值設定，但指定優先順序值為 LOW，而非啟用資料機密性優先順序。使用 Sensitive Data Protection 的設定會覆寫指派 LOW 優先順序值的設定，但僅限含有 HIGH 或 MEDIUM 機密資料的資源。

您可以在資源值設定中偵測到機密資料時，變更 Security Command Center 使用的預設優先順序值。

如要進一步瞭解 Sensitive Data Protection，請參閱「Sensitive Data Protection 總覽」。

資料機密程度優先順序和預設高價值資源集

在您建立自己的高價值資源集之前，Security Command Center 會使用預設的高價值資源集，計算受攻擊風險分數和攻擊路徑。

如果您使用 Sensitive Data Protection 探索功能，Security Command Center 會自動將含有 HIGH 或 MEDIUM 機密程度資料的支援資料資源類型例項，新增至預設的高價值資源集。

支援自動資料機密程度優先順序值的 Google Cloud 資源類型

攻擊路徑模擬功能可根據 Sensitive Data Protection 探索的資料機密程度分類，自動設定優先順序值，但僅限下列資料資源類型：

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

支援自動資料機密程度優先順序值的 AWS 資源類型

攻擊路徑模擬可根據Sensitive Data Protection 探索的資料敏感度分類，自動設定優先順序值，但僅限下列 AWS 資料資源類型：

  • Amazon S3 儲存貯體

高價值資源集

高價值資源集是指 Google Cloud 環境中，最需要保護的重要資源集合。

如要定義高價值資源集，您必須指定 Google Cloud 環境中哪些資源屬於高價值資源集。在定義高價值資源集之前，受攻擊風險分數、攻擊路徑和有害組合發現項目，都無法準確反映您的安全性優先順序。

您可以建立資源值設定，指定高價值資源集中的資源。所有資源價值設定的組合，會定義高價值資源集。詳情請參閱「資源價值設定」。

在您定義第一個資源價值設定前，Security Command Center 會使用預設的高價值資源集。預設設定會套用至整個組織，以及攻擊路徑模擬支援的所有資源類型。詳情請參閱「預設高價值資源集」。

如要查看上次攻擊路徑模擬中使用的高價值資源集，包括攻擊曝險分數和相符設定，請參閱「查看高價值資源集」。

資源值設定

您可以使用資源值設定，管理高價值資源集中的資源。

如要建立資源價值設定，請前往 Google Cloud 控制台，在 Security Command Center 的「Settings」(設定) 頁面，點選「Attack path simulation」(攻擊路徑模擬) 分頁標籤。

在資源價值設定中，您可以指定資源必須具備的屬性，Security Command Center 才會將其新增至高價值資源組合。

您可以指定的屬性包括資源類型、資源標記、資源標籤，以及上層專案、資料夾或組織。

您也可以為設定中的資源指派資源價值。資源價值會根據高價值資源集中的其他資源，優先考量設定中的資源。詳情請參閱「資源值」。

一個Google Cloud 組織最多可建立 100 項資源價值設定。

您建立的所有資源價值設定，會共同定義 Security Command Center 用於攻擊路徑模擬的高價值資源集。

資源屬性

如要將資源納入高價值資源集，資源的屬性必須與您在資源值設定中指定的屬性一致。

您可以指定的屬性包括：

  • 資源類型或 Any。指定 Any 時，設定會套用至指定範圍內所有支援的資源類型。預設值為 Any。
  • 資源必須位於某個範圍 (上層組織、資料夾或專案) 內。預設範圍是您的組織。如果指定組織或資料夾，設定也會套用至子資料夾或專案中的資源。
  • (選用) 每項資源必須包含的一或多個標記或標籤。

如果您指定一或多個資源價值設定，但環境 Google Cloud 中沒有任何資源符合設定中指定的屬性，Security Command Center 會產生 SCC Error 發現項目，並還原為預設的高價值資源集。

預設高價值資源集

如果未定義任何資源價值設定，或定義的設定與任何資源都不相符，Security Command Center 會使用預設的高價值資源集，計算遭受攻擊的風險分數。

除非您使用 Sensitive Data Protection 探索功能，否則 Security Command Center 會為預設高價值資源指派 LOW 的優先順序值。如果您使用 Sensitive Data Protection 探索功能，Security Command Center 會為含有高度或中度機密資料的資源，指派 HIGH 或 MEDIUM 的優先順序值。

Risk Engine 會分析標記、標籤和資源名稱中使用的常見業界術語，並運用經驗法則找出資源的風險暴露分數。系統會先為預設高價值資源集中最重大的安全性問題指派風險暴露分數。接著，風險引擎會計算非正式環境資源的受攻擊風險分數，這些資源的重要性較低。

如果至少有一項資源價值設定與環境中的至少一項資源相符，Security Command Center 就會停止使用預設的高價值資源集。

如要取得能準確反映安全優先順序的受攻擊風險和有害組合分數，請自行定義高價值資源集，取代預設的高價值資源集。詳情請參閱「定義及管理高價值資源集」。

下列清單列出預設高價值資源集包含的資源類型：

  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/ReasoningEngine
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudbuild.googleapis.com/BuildTrigger
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • run.googleapis.com/Job
  • run.googleapis.com/Service
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

高價值資源集中的資源數量限制

Security Command Center 會將高價值資源集中的資源數量限制為每個雲端服務供應商 1,000 個。

如果一或多項資源價值設定中的屬性規格非常廣泛，符合屬性規格的資源數量可能會超過 1,000 項。

如果相符資源數量超過上限，Security Command Center 會從資源集中排除資源，直到資源數量符合上限為止。Security Command Center 會先排除指派值最低的資源。如果資源獲派相同的值，Security Command Center 會使用演算法排除資源執行個體，將排除的資源分配到各個資源類型。

如果資源排除在高價值資源集之外，系統就不會將其納入攻擊風險分數的計算。

如果超出分數計算的執行個體限制，Security Command Center 會產生 SCC error 發現項目，並在 Google Cloud 控制台的「Attack path simulation」(攻擊路徑模擬) 設定分頁中顯示訊息，向您發出警示。如果預設的高價值組合超過執行個體限制，Security Command Center 就不會產生 SCC error 發現項目。

為避免超出限制，請調整資源值設定，以精簡高價值資源集中的執行個體。

您可以採取下列幾項行動，進一步調整高價值資源集：

  • 使用標記或標籤，減少特定資源類型或指定範圍內的相符項目數量。
  • 建立資源值設定，將 NONE 值指派給另一個設定中指定的資源子集。如果指定 NONE 值，系統會覆寫任何其他設定，並從高價值資源集中排除資源執行個體。
  • 縮減資源值設定中的範圍規格。
  • 刪除指派 LOW 值的資源值設定。

高價值資源

如要填入高價值資源集，您必須決定環境中哪些資源執行個體確實屬於高價值資源。

一般來說，真正的高價值資源是處理及儲存機密資料的資源。例如，在 Google Cloud，這些可能是 Compute Engine 執行個體、BigQuery 資料集或 Cloud Storage bucket。

您不需要將高價值資源附近的資源 (例如跳躍伺服器) 指定為高價值資源。攻擊路徑模擬已將這些鄰近資源納入考量，如果您也將這些資源指定為高價值資源，可能會導致受攻擊風險分數的可靠性降低。

攻擊路徑

攻擊路徑是以互動式視覺化方式呈現的一或多個潛在路徑，假設攻擊者可透過這些路徑從公開網際網路抵達您的高價值資源執行個體。

攻擊路徑模擬會模擬攻擊者對 Security Command Center 在環境中偵測到的安全漏洞和設定錯誤，套用已知攻擊方法，嘗試存取高價值資源，藉此找出潛在攻擊路徑。

如要查看攻擊路徑，請在 Google Cloud 控制台中，點選發現項目或資源的受攻擊風險分數。

在 Enterprise 級別，查看有害組合案件時，您可以在案件的「Overview」(總覽) 分頁中，查看有害組合的簡化攻擊路徑。簡化版攻擊路徑會提供完整攻擊路徑的連結。如要進一步瞭解有害組合發現項目的攻擊路徑，請參閱「有害組合攻擊路徑」。

查看較大的攻擊路徑時，可以拖曳紅色方形焦點選取器，在顯示畫面右側的攻擊路徑縮圖檢視畫面周圍移動，變更攻擊路徑的檢視畫面。

在攻擊路徑中，路徑上的資源會以方塊或「節點」表示。線條代表資源之間可能具有可存取性。節點和線條共同代表攻擊路徑。

攻擊路徑節點

攻擊路徑中的節點代表攻擊路徑上的資源。

顯示節點資訊

點選攻擊路徑中的節點，即可查看更多相關資訊。

按一下節點中的資源名稱，即可查看資源的詳細資訊，以及影響資源的任何發現。

按一下「Expand node」(展開節點)，即可查看攻擊者取得資源存取權後，可能採用的攻擊方法。

節點類型

節點分為三種：

  • 模擬攻擊的起點或進入點，也就是公開網際網路。按一下進入點節點，即可查看進入點說明，以及攻擊者可能用來存取環境的攻擊方法。
  • 攻擊者可用來繼續前進的受影響資源。
  • 路徑結尾的暴露資源，也就是高價值資源集中的其中一項資源。只有已定義或預設高價值資源集中的資源，才能成為公開資源。如要定義高價值資源集，請建立資源價值設定。

上游和下游節點

在攻擊路徑中，節點可以位於其他節點的「上游」或「下游」。上游節點較靠近進入點和攻擊路徑頂端。下游節點則更接近攻擊路徑底部，也就是暴露的高價值資源。

代表多個容器資源執行個體的節點

如果執行個體具有相同特徵，節點可以代表特定容器資源類型的多個執行個體。

下列容器資源類型的多個執行個體可由單一節點表示：

  • ReplicaSet 控制器
  • Deployment Controller
  • 工作控制器
  • CronJob 控制器
  • DaemonSet 控制器

攻擊路徑線

在攻擊路徑中，方塊之間的線條代表資源之間潛在的可存取性，攻擊者可利用這些資源存取高價值資源。

這些線條不代表Google Cloud中定義的資源關係。

如果有多個路徑從多個上游節點指向下游節點，上游節點之間可以有 AND 關係或 OR 關係。

AND 關係代表攻擊者必須同時存取兩個上游節點，才能存取路徑上的下游節點。

舉例來說，從公開網際網路到攻擊路徑尾端高價值資源的直接連線，與攻擊路徑中至少一條其他連線有 AND 關係。除非攻擊者能存取您的Google Cloud 環境，以及攻擊路徑中顯示的至少一項其他資源，否則無法存取高價值資源。

OR 關係表示攻擊者只需要存取其中一個上游節點，就能存取下游節點。

攻擊路徑模擬

為判斷所有可能的攻擊路徑並計算受攻擊風險分數，Security Command Center 會執行進階攻擊路徑模擬。

模擬時間表

攻擊路徑模擬會依排程執行，每 48 小時最多會提供一次新結果。建立、修改或刪除資源或資源值設定，不會觸發模擬執行。

攻擊路徑模擬步驟

模擬作業包含下列步驟：

  1. 模型生成：系統會根據環境資料，自動生成 Google Cloud 環境模型。這個模型是環境的圖表表示法，專為攻擊路徑分析而設計。
  2. 攻擊路徑模擬：在圖表模型上執行攻擊路徑模擬。模擬作業會讓虛擬攻擊者嘗試存取及入侵高價值資源集中的資源。模擬作業會運用各項特定資源和關係的洞察資訊，包括網路、IAM、設定、錯誤設定和安全漏洞。
  3. 洞察報表：根據模擬結果，Security Command Center 會為高價值資源和導致這些資源受攻擊的發現項目指派受攻擊風險分數，並以視覺化方式呈現攻擊者可能採取的資源存取路徑。

模擬執行特性

除了提供受攻擊風險分數、攻擊路徑洞察和攻擊路徑之外，攻擊路徑模擬還具有下列特徵：

  • 不會影響實際環境：所有模擬作業都在虛擬模型上進行，且僅使用讀取權限建立模型。
  • 動態：模型建立時不需代理程式，只需 API 讀取權限，因此模擬作業可隨著環境變化動態調整。
  • 模擬攻擊會讓虛擬攻擊者盡可能嘗試多種方法和安全漏洞，以存取及入侵高價值資源。這不僅包括「已知」的項目，例如安全漏洞、設定、設定錯誤和網路關係，也包括機率較低的「已知未知」項目，也就是我們知道存在的風險，例如網路釣魚或憑證外洩的可能性。
  • 自動化：攻擊邏輯已內建於工具中。您不需要建構或維護大量查詢或大型資料集。

攻擊者情境和能力

在模擬中，Security Command Center 會以邏輯方式呈現攻擊者嘗試利用高價值資源的情況，包括取得 Google Cloud 環境的存取權，以及透過資源和偵測到的安全漏洞，沿著潛在路徑存取資源。

虛擬攻擊者

模擬使用的虛擬攻擊者具有下列特徵：

  • 攻擊者來自外部：攻擊者並非Google Cloud 環境的合法使用者。模擬作業不會模擬或納入惡意或疏忽使用者的攻擊，這些使用者有權存取您的環境。
  • 攻擊者從公開網際網路發動攻擊，如要發動攻擊，攻擊者必須先從公開網際網路存取您的環境。
  • 攻擊者會持續發動攻擊。攻擊者不會因為特定攻擊方法難度較高而打退堂鼓或失去興趣。
  • 攻擊者技術高超且知識豐富。攻擊者會嘗試使用已知的方法和技術，存取高價值資源。

初始存取權

每次模擬都會由虛擬攻擊者嘗試下列方法，從公開網際網路存取 Google Cloud 環境中的資源：

  • 探索並連線至可從公開網際網路存取的服務和資源。在 Google Cloud 環境中，這可能包括下列項目：
    • Compute Engine 虛擬機器 (VM) 執行個體和 Google Kubernetes Engine 節點上的服務
    • 資料庫
    • 容器
    • Cloud Storage 值區
    • Cloud Run functions
  • 取得金鑰和憑證。在 Google Cloud 環境中，這可能包括下列項目：
    • 服務帳戶金鑰
    • 使用者提供的加密金鑰
    • VM 執行個體安全殼層金鑰
    • 專案層級安全殼層金鑰
    • 外部金鑰管理系統
    • 未強制執行多重驗證 (MFA) 的使用者帳戶
    • 遭攔截的虛擬多重驗證權杖
  • 使用遭竊的憑證或利用安全漏洞，存取可公開連線的雲端資產。

如果模擬作業找到環境的可能進入點，就會讓虛擬攻擊者嘗試從進入點存取及入侵高價值資源，方法是連續探索及利用環境中的安全性設定和安全漏洞。

戰術和技術

模擬作業會使用各種策略和技術，包括利用合法存取權、橫向移動、提權、安全漏洞、錯誤設定和執行程式碼。

納入 CVE 資料

計算安全漏洞發現項目的受攻擊風險分數時，攻擊路徑模擬會考量安全漏洞的 CVE 記錄、CVSS 分數，以及 Mandiant 提供的安全漏洞可利用性評估結果。

系統會考量下列 CVE 資訊：

  • 攻擊向量：攻擊者必須具備 CVSS 攻擊向量中指定的存取層級，才能使用 CVE。舉例來說，如果資產具有公開 IP 位址和開放通訊埠，且含有網路攻擊向量的 CVE，則具有網路存取權的攻擊者就能利用該 CVE。如果攻擊者只有網路存取權，而 CVE 需要實際存取權，則攻擊者無法利用 CVE。
  • 攻擊複雜度：一般來說，攻擊複雜度低的安全漏洞或設定錯誤，比攻擊複雜度高的安全漏洞或設定錯誤，更容易獲得高受攻擊風險分數。
  • 漏洞利用活動：一般來說，如果 Mandiant 的網路威脅情報分析師判定某個安全漏洞發現項目有廣泛的漏洞利用活動，則該發現項目的攻擊暴露分數，會高於僅有預期漏洞利用活動的發現項目。攻擊路徑模擬作業不會考量沒有已知攻擊活動的安全漏洞。

多雲端風險評估

除了 Google Cloud，Security Command Center 還能執行攻擊路徑模擬，評估多個雲端服務供應商平台上的部署作業風險。

與其他平台建立連線後，您可以建立資源價值設定，指定其他雲端服務供應商的高價值資源，就像在 Google Cloud上設定資源一樣。

Security Command Center 會獨立執行雲端平台的模擬作業，不會與其他雲端平台的模擬作業相互影響。

在您為其他雲端服務供應商建立第一個資源價值設定之前，Security Command Center 會使用各雲端服務供應商專屬的預設高價值資源組合。

如要瞭解詳情，請參考下列資源：

後續步驟