מנוע הסיכון של Security Command Center יוצר ניקוד של חשיפה להתקפות ונתיבי התקפה כדי לעזור לכם לזהות ולתעדף מסלולי חשיפה בסיכון גבוה למשאבי הענן החשובים שלכם. הסימולציות האלה בודקות את האינטראקציה בין חשיפות חיצוניות, נקודות חולשה, הגדרות שגויות ושילובים רעילים, כדי שתוכלו להתמקד בתיקון של איומים קריטיים.
סקירה כללית של ציוני החשיפה להתקפות ונתיבי התקפה
הציונים ונתיבי ההתקפה נוצרים בשביל:
- ממצאים לגבי חשיפה חיצונית (גרסת טרום-השקה (Preview)), נקודות חולשה והגדרות שגויות שחושפים את המכונות של המשאבים בקבוצת המשאבים בפועל בעלי הערך הגבוה.
- המשאבים בקבוצת המשאבים היעילה בעלת הערך הגבוה.
- בעיות ב-Security Command Center Premium או Enterprise, שמכילות שילובים רעילים ונקודות חסימה.
כדי להשתמש בציוני החשיפה להתקפות ובנתיבי ההתקפות, צריך להפעיל את Security Command Center Premium או Enterprise ברמת הארגון. אי אפשר להשתמש בציוני החשיפה להתקפות ובנתיבי ההתקפות בהפעלות ברמת הפרויקט.
נתיבי התקפה מייצגים אפשרויות
לא תראו הוכחות להתקפה בפועל בנתיב התקפה.
מנגנון הסיכונים יוצר נתיבי תקיפה וציוני חשיפה להתקפות באמצעות סימולציה של מה שתוקפים היפותטיים יכולים לעשות אם הם יקבלו גישה לסביבת Google Cloud ויגלו את נתיבי התקיפה ונקודות החולשה ש-Security Command Center כבר מצא.
בכל נתיב התקפה מוצגת שיטה אחת או יותר להתקפה, שפורץ יכול להשתמש בה אם הוא יקבל גישה למשאב מסוים. אל תתבלבלו בין שיטות ההתקפה האלה לבין התקפות בפועל.
באופן דומה, ציון גבוה של חשיפה להתקפה באחד מהמקרים הבאים לא אומר שמתרחשת התקפה:
- ממצא או משאב של Security Command Center
- בעיה ב-Security Command Center Premium או Enterprise
כדי לעקוב אחרי מתקפות בפועל, עוקבים אחרי הממצאים מסוג THREAT שנוצרו על ידי שירותי זיהוי האיומים, כמו Event Threat Detection וזיהוי איומים בקונטיינר.
למידע נוסף, קראו את הקטעים הבאים בדף הזה:
ציוני חשיפה להתקפות
ציון החשיפה להתקפות מופיע במקרים הבאים:
- ממצא או משאב של Security Command Center
- בעיה ב-Security Command Center Premium או Enterprise
ציון חשיפה להתקפה הוא מדד לרמת החשיפה של משאבים להתקפה פוטנציאלית אם גורם זדוני יקבל גישה לסביבת Google Cloud.
במקרים מסוימים, כמו בדף Findings במסוף Google Cloud , ציון החשיפה להתקפה שמתקבל משילוב רעיל או מנקודת חולשה נקרא ציון השילוב הרעיל.
בתיאורים של אופן חישוב הניקוד, בהנחיות כלליות לגבי תעדוף של תיקון הממצאים ובהקשרים מסוימים אחרים, המונח ציון חשיפה להתקפה מתייחס גם לציונים של שילובים רעילים.
הציון של ממצא מסוים הוא מדד לרמת החשיפה של משאבים בעלי ערך גבוה להתקפות סייבר פוטנציאליות בעקבות בעיית אבטחה שזוהתה. במשאב בעל ערך גבוה, הציון הוא מדד למידת החשיפה של המשאב למתקפות סייבר פוטנציאליות.
כדי לתעדף את הטיפול בממצאים, אתם יכולים להשתמש בציונים של חשיפה חיצונית, פגיעויות בתוכנה, הגדרות שגויות, שילובים רעילים או נקודות חסימה.
אתם יכולים להשתמש בציוני החשיפה להתקפות על משאבים כדי לאבטח באופן יזום את המשאבים החשובים ביותר לעסק שלכם.
בסימולציות של נתיבי ההתקפה, מנוע הסיכונים תמיד מתחיל את ההתקפות המדומות מהאינטרנט הציבורי. לכן, ציוני החשיפה להתקפות לא מביאים בחשבון חשיפה אפשרית לגורמים פנימיים זדוניים או רשלניים.
ממצאים שמקבלים ציוני חשיפה להתקפות
ציוני החשיפה להתקפות חלים על סוגי הממצאים הפעילים שמפורטים בקטע קטגוריות הממצאים הנתמכות.
הדמיות של נתיבי התקפה כוללות בחישובים שלהן רק ממצאים פעילים ולא מושתקים. ממצאים בסטטוס INACTIVE או MUTED לא נכללים בסימולציות, לא מקבלים ניקוד ולא נכללים במסלולי התקפה.
משאבים שמקבלים ציוני חשיפה להתקפות
סימולציות של נתיבי תקיפה מחשבות את ציוני החשיפה לתקיפה עבור סוגי משאבים נתמכים בקבוצת המשאבים בעלי הערך הגבוה. כדי לציין אילו משאבים שייכים לקבוצת המשאבים החשובים, יוצרים הגדרות של ערכי משאבים.
אם ל-resource ב-resource set עם ערך גבוה יש ציון חשיפה למתקפה של 0, סימולציות של נתיבי התקפה לא זיהו נתיבים ל-resource שאפשר לנצל למתקפה פוטנציאלית.
הדמיות של נתיבי התקפה תומכות בסוגי המשאבים הבאים:
aiplatform.googleapis.com/Datasetaiplatform.googleapis.com/Featurestoreaiplatform.googleapis.com/MetadataStoreaiplatform.googleapis.com/Modelaiplatform.googleapis.com/ReasoningEngineaiplatform.googleapis.com/TrainingPipelineartifactregistry.googleapis.com/Repositorybigquery.googleapis.com/Datasetcloudbuild.googleapis.com/BitbucketServerConfigcloudbuild.googleapis.com/BuildTriggercloudbuild.googleapis.com/Connectioncloudbuild.googleapis.com/GithubEnterpriseConfigcloudbuild.googleapis.com/Repositorycloudbuild.googleapis.com/WorkerPoolcloudfunctions.googleapis.com/CloudFunctioncompute.googleapis.com/Instancecontainer.googleapis.com/Clusterdataproc.googleapis.com/Clusterdataproc.googleapis.com/Jobrun.googleapis.com/Jobrun.googleapis.com/Servicespanner.googleapis.com/Instancesqladmin.googleapis.com/Instancestorage.googleapis.com/Bucket
חישוב הציון
בכל פעם שהסימולציות של נתיבי ההתקפה מופעלות, הן מחשבות מחדש את ציוני החשיפה להתקפה. כל סימולציה של נתיב התקפה מריצה בפועל כמה סימולציות שבהן תוקף מדומה מנסה שיטות וטכניקות התקפה ידועות כדי להגיע למשאבים החשובים ולפגוע בהם.
הסימולציות של נתיבי התקפה מופעלות לפי לוח זמנים, והתוצאות החדשות זמינות כל 48 שעות. הפעלות של סימולציות לא מופעלות על ידי יצירה, שינוי או מחיקה של משאבים או הגדרות של ערכי משאבים.
הסימולציות מחשבות את הציונים באמצעות מגוון מדדים, כולל:
- ערך העדיפות שמוקצה למשאבים החשובים שנחשפים.
אלה ערכי העדיפות שאפשר להקצות:
- HIGH = 10
- MED = 5
- LOW = 1
- מספר הנתיבים האפשריים שתוקף יכול לעבור כדי להגיע למשאב נתון.
- מספר הפעמים שבהן תוקף מדומה מצליח להגיע למשאב בעל ערך גבוה בסוף נתיב התקפה נתון ולפגוע בו, מבוטא כאחוז מהמספר הכולל של הסימולציות.
- רק בממצאים, מספר המשאבים בעלי הערך הגבוה שנחשפים בגלל החשיפה החיצונית, החולשה או ההגדרה השגויה שזוהו.
במשאבים, הציונים של החשיפה להתקפות יכולים להיות בטווח שבין 0 ל-10.
ברמה גבוהה, הסימולציות מחשבות את הציונים של המשאבים על ידי הכפלת אחוז ההתקפות המוצלחות בערך המספרי של העדיפות של המשאבים.
בממצאים, אין מגבלה עליונה קבועה לניקוד. ככל שהממצא מופיע לעיתים קרובות יותר בנתיבי התקפה למשאבים חשופים בקבוצת המשאבים החשובים, וככל שערכי העדיפות של המשאבים האלה גבוהים יותר, כך הציון גבוה יותר.
באופן כללי, הסימולציות מחשבות את הציונים של הממצאים באמצעות אותו חישוב שמשמש לציוני המשאבים, אבל במקרה של ציוני הממצאים, הסימולציות מכפילות את תוצאת החישוב במספר המשאבים בעלי הערך הגבוה שהממצא חושף.
שינוי הציונים
הציונים יכולים להשתנות בכל פעם שמופעלת סימולציה של נתיב התקפה. ממצא או משאב שקיבלו היום ציון אפס יכולים לקבל מחר ציון שגדול מאפס.
הציונים משתנים ממגוון סיבות, כולל:
- זיהוי או תיקון של נקודת חולשה שחושפת באופן ישיר או עקיף משאב בעל ערך גבוה.
- הוספה או הסרה של משאבים בסביבה שלכם.
שינויים בממצאים או במשאבים אחרי הרצת סימולציה לא משתקפים בציונים עד להרצת הסימולציה הבאה.
שימוש בציונים כדי לקבוע סדר עדיפויות לפתרונות
כדי לתעדף בצורה יעילה את הטיפול בממצאים על סמך חשיפה להתקפות או ציוני שילוב רעיל, כדאי לקחת בחשבון את הנקודות הבאות:
- כל ממצא עם ציון שגדול מאפס חושף משאב בעל ערך גבוה למתקפה פוטנציאלית בדרך כלשהי, ולכן צריך לתת עדיפות לתיקון שלו על פני ממצאים עם ציון אפס.
- ככל שהציון של הממצא גבוה יותר, כך הממצא חושף יותר את המשאבים החשובים שלכם, וצריך לתת עדיפות גבוהה יותר לטיפול בו.
באופן כללי, כדאי לתת עדיפות גבוהה לתיקון הממצאים עם הציונים הכי גבוהים, שחוסמים בצורה הכי יעילה את נתיבי התקיפה למשאבים בעלי ערך גבוה.
אם הדירוגים של ממצא של שילוב רעיל ונקודת חנק ושל ממצא בסיווג ממצאים אחר שווים בערך, תנו עדיפות לטיפול בממצא של השילוב הרעיל ונקודת החנק, כי הוא מייצג נתיב מלא מהאינטרנט הציבורי למשאב אחד או יותר בעלי ערך גבוה, שתוקף יכול לעקוב אחריו אם הוא קיבל גישה לסביבת הענן שלכם.
בדף Findings ב-Security Command Center בGoogle Cloud מסוף, אפשר למיין את הממצאים בחלונית הדף לפי ניקוד. לשם כך, לוחצים על כותרת העמודה.
במסוף Google Cloud , אפשר גם להוסיף מסנן לשאילתת הממצאים כדי להציג רק ממצאים עם ציון חשיפה להתקפה שגבוה ממספר שאתם מציינים. כך תוכלו לראות את הממצאים עם הציונים הכי גבוהים.
בדף Cases ב-Security Command Center Enterprise, אפשר גם למיין את השילובים הרעילים ואת הבקשות שנתקעו לפי ציון החשיפה להתקפה.
ממצאים שאי אפשר לתקן
במקרים מסוימים, יכול להיות שלא תוכלו לטפל בממצא עם ציון גבוה של חשיפה להתקפות, או כי הוא מייצג סיכון מוכר ומקובל, או כי אי אפשר לטפל בממצא באופן מיידי. במקרים האלה, יכול להיות שתצטרכו לצמצם את הסיכון בדרכים אחרות. בדיקת נתיב ההתקפה המשויך עשויה לתת לכם רעיונות להפחתות אפשריות אחרות.
אבטחת משאבים באמצעות ציוני חשיפה להתקפות
אם ציון החשיפה להתקפה של משאב מסוים הוא לא אפס, המשמעות היא שהסימולציות של נתיבי ההתקפה זיהו נתיב התקפה אחד או יותר מהאינטרנט הציבורי למשאב.
כדי לראות את ציוני החשיפה להתקפות של המשאבים בעלי הערך הגבוה:
במסוף Google Cloud , עוברים לדף Assets של Security Command Center.
בוחרים את הארגון שבו הפעלתם את Security Command Center.
לוחצים על הכרטיסייה קבוצת משאבים בעלי ערך גבוה. המשאבים בקבוצת המשאבים בעלי הערך הגבוה מוצגים בסדר יורד לפי ציון החשיפה להתקפות.
כדי להציג את נתיבי ההתקפה של משאב, לוחצים על המספר בשורה שלו בעמודה Attack exposure score. יוצגו נתיבי ההתקפה מהאינטרנט הציבורי למשאב.
בודקים את נתיבי ההתקפה. במאמר נתיבי התקפה מוסבר איך לפרש את נתיבי ההתקפה.
כדי להציג חלון פרטים עם קישורים לצפייה בממצאים קשורים, לוחצים על צומת.
לוחצים על קישור לממצאים קשורים. ייפתח החלון Finding עם פרטים על הממצא ועל אופן הטיפול בו.
אתם יכולים גם לראות את ציוני החשיפה להתקפות של המשאבים החשובים בכרטיסייה Attack path simulations, דרך הגדרות > הכרטיסייה Attack Path simulation. לוחצים על View valued resources used in last simulation.
הכרטיסייה High value resource set זמינה גם בדף Assets במסוף Security Operations.
ציוני חשיפה להתקפות של 0
אם למשאב מסוים יש ציון חשיפה להתקפות של 0, המשמעות היא שבסימולציות האחרונות של מסלולי התקפה, Security Command Center לא זיהה מסלולים פוטנציאליים שבהם תוקף יכול להגיע למשאב.
ציון חשיפה למתקפה של 0 בממצא מסוים מציין שבסימולציית המתקפה האחרונה, התוקף המדומה לא הצליח להגיע למשאבים בעלי ערך גבוה דרך הממצא.
עם זאת, ציון חשיפה להתקפות של 0 לא אומר שאין סיכון. הציון משקף את החשיפה של Google Cloud השירות, המשאבים והממצאים של Security Command Center לאיומים פוטנציאליים שמקורם באינטרנט הציבורי. לדוגמה, הניקוד לא לוקח בחשבון איומים מצד גורמים פנימיים, פגיעויות מסוג zero-day או תשתית של צד שלישי.
אין ציון חשיפה להתקפה
אם לממצא או למשאב אין ניקוד, יכולות להיות לכך כמה סיבות:
- הממצא נוצר אחרי ההדמיה האחרונה של מסלול ההתקפה.
- המשאב נוסף לקבוצת המשאבים החשובים אחרי ההדמיה האחרונה של נתיב ההתקפה.
- התכונה 'חשיפה להתקפות' לא תומכת בקטגוריית הממצאים או בסוג המשאב.
רשימה של קטגוריות הממצאים הנתמכות מופיעה במאמר בנושא תמיכה בתכונות של מנוע הסיכונים.
במאמר משאבים שמקבלים ציוני חשיפה להתקפות מפורטים סוגי המשאבים הנתמכים.
ערכי המשאבים
למרות שלכל המשאבים ב- Google Cloud יש ערך, מערכת Security Command Center מזהה מסלולי תקיפה ומחשבת ציוני חשיפה להתקפות רק למשאבים שאתם מגדירים כמשאבים בעלי ערך גבוה (לפעמים נקראים משאבים מוערכים).
משאבים בעלי ערך גבוה
משאב בעל ערך גבוה ב- Google Cloud הוא משאב שחשוב במיוחד להגן עליו מפני התקפות פוטנציאליות. לדוגמה, משאבים בעלי ערך גבוה יכולים להיות משאבים שמאחסנים נתונים חשובים או רגישים, או שמארחים עומסי עבודה קריטיים לעסק.
כדי להגדיר משאב כמשאב בעל ערך גבוה, צריך להגדיר את המאפיינים של המשאב בהגדרת ערך משאב. עד למגבלה של 1,000 מופעי משאבים, כל מופע של משאב שתואם למאפיינים שציינתם בהגדרות נחשב ב-Security Command Center כמשאב בעל ערך גבוה.
ערכי עדיפות
מבין המשאבים שאתם מגדירים כבעלי ערך גבוה, סביר להניח שתצטרכו לתעדף את האבטחה של חלק מהם על פני אחרים. לדוגמה, יכול להיות שקבוצה של משאבי נתונים תכיל נתונים בעלי ערך גבוה, אבל חלק ממשאבי הנתונים האלה יכילו נתונים רגישים יותר מהשאר.
כדי שהציונים ישקפו את הצורך לתת עדיפות לאבטחת המשאבים בקבוצת המשאבים החשובים, אתם מקצים ערך עדיפות בהגדרות של ערכי המשאבים שמגדיר את המשאבים כחשובים.
אם אתם משתמשים ב-Sensitive Data Protection, אתם יכולים גם לתעדף משאבים באופן אוטומטי לפי רמת הרגישות של הנתונים שהם מכילים.
הגדרה ידנית של ערכי העדיפות של המשאבים
בהגדרה של ערך המשאב, מקצים עדיפות למשאבים התואמים בעלי הערך הגבוה, על ידי ציון אחד מערכי העדיפות הבאים:
-
LOW= 1 MEDIUM= 5HIGH= 10NONE= 0
אם תציינו ערך עדיפות של LOW בהגדרת ערך המשאב, המשאבים התואמים עדיין יהיו משאבים בעלי ערך גבוה. ההדמיות של מסלולי ההתקפה פשוט יתייחסו אליהם בעדיפות נמוכה יותר ויקצו להם ציון חשיפה להתקפות נמוך יותר מאשר למשאבים בעלי ערך גבוה עם ערך עדיפות של MEDIUM או HIGH.
אם כמה הגדרות מקצות ערכים שונים לאותו משאב, המערכת תחיל את הערך הכי גבוה, אלא אם אחת ההגדרות מקצה ערך של NONE.
אם ערך המשאב הוא NONE, המשאבים התואמים לא ייחשבו כמשאבים בעלי ערך גבוה, והערך הזה יבטל כל הגדרה אחרת של ערך המשאב עבור אותו משאב. לכן, חשוב לוודא שכל הגדרה שמציינת את NONE חלה רק על קבוצה מוגבלת של משאבים.
הגדרה אוטומטית של ערכי עדיפות למשאבים לפי רגישות הנתונים
אם אתם משתמשים בזיהוי של Sensitive Data Protection ומפרסמים את פרופילי הנתונים ב-Security Command Center, אתם יכולים להגדיר ש-Security Command Center יקבע באופן אוטומטי את ערך העדיפות של משאבים מסוימים בעלי ערך גבוה, לפי רגישות הנתונים שהמשאבים מכילים.
כדי להפעיל את התעדוף לפי רגישות הנתונים, צריך לציין את המשאבים בהגדרת ערך המשאב.
כשהאפשרות הזו מופעלת, אם סריקת הגילוי של Sensitive Data Protection מסווגת את הנתונים במשאב כרגישות MEDIUM או HIGH, סימולציות של נתיבי התקפה מגדירות כברירת מחדל את ערך העדיפות של המשאב לאותו ערך.
רמות הרגישות של הנתונים מוגדרות על ידי Sensitive Data Protection, אבל אפשר לפרש אותן באופן הבא:
- מידע אישי רגיש מאוד
- הכלי Sensitive Data Protection גילה לפחות מופע אחד של נתונים ברמת רגישות גבוהה במשאב.
- מידע ברמת רגישות בינונית
- בזיהוי של Sensitive Data Protection נמצא לפחות מופע אחד של מידע ברגישות בינונית במשאב, ולא נמצאו מופעים של מידע ברגישות גבוהה.
- נתונים ברמת רגישות נמוכה
- הגילוי של Sensitive Data Protection לא זיהה מידע אישי רגיש או טקסט חופשי או נתונים לא מובנים במשאב.
אם גילוי Sensitive Data Protection מזהה רק נתונים ברמת רגישות נמוכה במשאב נתונים תואם, המשאב לא יוגדר כמשאב בעל ערך גבוה.
אם אתם צריכים שמשאבי נתונים שמכילים רק נתונים ברמת רגישות נמוכה יוגדרו כמשאבים בעלי ערך גבוה עם עדיפות נמוכה, אתם יכולים ליצור הגדרת ערך משאב כפולה, אבל לציין ערך עדיפות של LOW במקום להפעיל תעדוף של רגישות נתונים.
ההגדרה שמשתמשת ב-Sensitive Data Protection מבטלת את ההגדרה שמקצה את ערך העדיפות LOW, אבל רק למשאבים שמכילים נתונים ברמת הרגישות HIGH או MEDIUM.
אתם יכולים לשנות את ערכי העדיפות שמוגדרים כברירת מחדל ושמשמשים את Security Command Center כשמזוהים נתונים רגישים בהגדרת ערך המשאב.
מידע נוסף על Sensitive Data Protection זמין במאמר סקירה כללית על Sensitive Data Protection.
תעדוף רמת הרגישות של הנתונים וקבוצת ברירת המחדל של משאבים בעלי ערך גבוה
לפני שאתם יוצרים קבוצת משאבים משלכם, Security Command Center משתמש בקבוצת משאבים עם ערך גבוה שמוגדרת כברירת מחדל כדי לחשב את ציוני החשיפה להתקפות ואת מסלולי ההתקפות.
אם אתם משתמשים ב-Sensitive Data Protection, מערכת Security Command Center מוסיפה באופן אוטומטי מופעים של סוגי משאבי נתונים נתמכים שמכילים נתונים ברמת רגישות HIGH או MEDIUM לקבוצת ברירת המחדל של המשאבים החשובים.
Google Cloud סוגי המשאבים שנתמכים בערכי העדיפות האוטומטיים של רגישות הנתונים
סימולציות של נתיבי תקיפה יכולות להגדיר באופן אוטומטי ערכי עדיפות על סמך סיווגים של רגישות נתונים מגילוי נתונים רגישים ב-Sensitive Data Protection רק לסוגים הבאים של משאבי נתונים:
aiplatform.googleapis.com/Datasetbigquery.googleapis.com/Datasetsqladmin.googleapis.com/Instancestorage.googleapis.com/Bucket
סוגי משאבי AWS שנתמכים לערכי עדיפות אוטומטיים של רגישות נתונים
הדמיות של נתיבי התקפה יכולות להגדיר באופן אוטומטי ערכי עדיפות על סמך סיווגים של רגישות נתונים מגילוי של Sensitive Data Protection, רק לסוגי משאבי הנתונים הבאים של AWS:
- קטגוריה ב-Amazon S3
קבוצות משאבים עם ערך גבוה
קבוצת משאבים בעלי ערך גבוה היא אוסף מוגדר של המשאבים בסביבת Google Cloud שהכי חשוב לאבטח ולהגן עליהם.
כדי להגדיר את קבוצת המשאבים עם הערך הגבוה, צריך לציין אילו משאבים בסביבה שלכם Google Cloud שייכים לקבוצת המשאבים עם הערך הגבוה. עד שתגדירו את קבוצת המשאבים בעלי הערך הגבוה, ציוני החשיפה להתקפות, נתיבי ההתקפה והממצאים לגבי שילובים רעילים לא ישקפו בצורה מדויקת את סדרי העדיפויות שלכם בנושא אבטחה.
כדי לציין את המשאבים בקבוצת המשאבים החשובים, יוצרים הגדרות של ערכי משאבים. השילוב של כל ההגדרות של ערכי המשאבים קובע את קבוצת המשאבים עם הערך הגבוה. מידע נוסף מופיע במאמר הגדרות של ערכי משאבים.
עד שתגדירו את ערך המשאב הראשון, Security Command Center ישתמש בקבוצת ברירת המחדל של משאבים בעלי ערך גבוה. קבוצת ברירת המחדל חלה על כל הארגון, על כל סוגי המשאבים שנתמכים בהדמיות של נתיבי התקפה. מידע נוסף מופיע במאמר קבוצת ברירת המחדל של משאבים בעלי ערך גבוה.
כדי לראות את קבוצת המשאבים החשובים ששימשה בסימולציה האחרונה של נתיב ההתקפה, כולל ציוני החשיפה להתקפה וההגדרות התואמות, קראו את המאמר הצגת קבוצת המשאבים החשובים.
הגדרות של ערכי משאבים
אתם מנהלים את המשאבים בקבוצת המשאבים הרווחיים באמצעות הגדרות של ערכי משאבים.
יוצרים הגדרות של ערכי משאבים בכרטיסייה Attack path simulation בדף Settings של Security Command Center במסוף Google Cloud .
בהגדרת ערך המשאב, אתם מציינים את המאפיינים שצריכים להיות למשאב כדי ש-Security Command Center יוסיף אותו לקבוצת המשאבים בעלי הערך הגבוה.
המאפיינים שאפשר לציין כוללים את סוג המשאב, תגי המשאב, תוויות המשאב והפרויקט, התיקייה או הארגון שמעל למשאב בהיררכיה.
אתם גם מקצים ערך למשאבים בהגדרה. ערך המשאב מתעדף את המשאבים בהגדרה ביחס למשאבים האחרים בקבוצת המשאבים בעלי הערך הגבוה. מידע נוסף זמין במאמר ערכי משאבים.
אפשר ליצור עד 100 הגדרות של ערכי משאבים בGoogle Cloud ארגון.
כל ההגדרות של ערכי המשאבים שאתם יוצרים מגדירות את קבוצת המשאבים בעלי הערך הגבוה שבה Security Command Center משתמש להדמיות של מסלולי התקפה.
מאפייני המשאבים
כדי שמשאב ייכלל בקבוצת המשאבים עם הערך הגבוה, המאפיינים שלו צריכים להתאים למאפיינים שציינתם בהגדרת ערך המשאב.
המאפיינים שאפשר לציין כוללים:
- סוג משאב או
Any. אם מציינים אתAny, ההגדרה חלה על כל סוגי המשאבים הנתמכים בהיקף שצוין. ערך ברירת המחדל הואAny. - היקף (הארגון, התיקייה או הפרויקט ההורה) שבו המשאבים צריכים להימצא. ההיקף שמוגדר כברירת מחדל הוא הארגון שלכם. אם מציינים ארגון או תיקייה, ההגדרה חלה גם על המשאבים בתיקיות או בפרויקטים הצאצאים.
- אופציונלי: תג אחד או יותר או תווית אחת או יותר שכל משאב חייב להכיל.
אם תגדירו ערך אחד או יותר למשאבים, אבל אף משאב בסביבת Google Cloud לא יתאים למאפיינים שצוינו בהגדרות, Security Command Center ייצור ממצא מסוג SCC Error ויחזור לקבוצת ברירת המחדל של המשאבים בעלי הערך הגבוה.
קבוצת ברירת מחדל של משאבים בעלי ערך גבוה
ב-Security Command Center נעשה שימוש בקבוצת ברירת מחדל של משאבים בעלי ערך גבוה כדי לחשב את ציוני החשיפה להתקפות, אם לא מוגדרות הגדרות של ערכי משאבים או אם אין התאמה בין הגדרות מוגדרות לבין משאבים כלשהם.
Security Command Center מקצה למשאבים שמוגדרים כברירת המחדל של משאבים בעלי ערך גבוה את ערך העדיפות LOW, אלא אם משתמשים בגילוי של Sensitive Data Protection. במקרה כזה, Security Command Center מקצה למשאבים שמכילים נתונים ברגישות גבוהה או בינונית את ערך העדיפות התואם HIGH או MEDIUM.
מנוע הסיכונים משתמש ביוריסטיקה כדי לזהות את ציון החשיפה לסיכון של משאבים, על ידי ניתוח של מונחים נפוצים בתחום שמופיעים בתגים, בתוויות ובשמות של משאבים. בעיות האבטחה הקריטיות ביותר בקבוצת ברירת המחדל של המשאבים החשובים מקבלות קודם את ציוני החשיפה לסיכון. לאחר מכן, מנוע הסיכונים מחשב את ציון החשיפה להתקפה של משאבים שלא קשורים לייצור, שנחשבים פחות חשובים.
אם יש לכם לפחות הגדרה אחת של ערך משאב שתואמת לפחות למשאב אחד בסביבה שלכם, Security Command Center מפסיק להשתמש בקבוצת ברירת המחדל של המשאבים בעלי הערך הגבוה.
כדי לקבל ציונים של חשיפה להתקפות ושילובים רעילים שמשקפים בצורה מדויקת את סדרי העדיפויות שלכם בתחום האבטחה, החליפו את קבוצת המשאבים בעלי הערך הגבוה שמוגדרת כברירת מחדל בקבוצת משאבים בעלי ערך גבוה משלכם. מידע נוסף זמין במאמר הגדרה וניהול של קבוצת המשאבים בעלי הערך הגבוה.
ברשימה הבאה מוצגים סוגי המשאבים שנכללים בקבוצת המשאבים שמוגדרת כברירת מחדל כבעלי ערך גבוה:
aiplatform.googleapis.com/Modelaiplatform.googleapis.com/ReasoningEngineartifactregistry.googleapis.com/Repositorybigquery.googleapis.com/Datasetcloudbuild.googleapis.com/BuildTriggercloudfunctions.googleapis.com/CloudFunctioncompute.googleapis.com/Instancerun.googleapis.com/Jobrun.googleapis.com/Servicespanner.googleapis.com/Instancesqladmin.googleapis.com/Instancestorage.googleapis.com/Bucket
מגבלה על משאבים בקבוצת משאבים בעלי ערך גבוה
ב-Security Command Center, מספר המשאבים בקבוצת משאבים בעלי ערך גבוה מוגבל ל-1,000 לכל ספק שירותי ענן.
אם מפרטי המאפיינים באחת או יותר מהגדרות ערכי המשאבים רחבים מאוד, מספר המשאבים שתואמים למפרטי המאפיינים יכול להיות גדול מ-1,000.
אם מספר המשאבים התואמים חורג מהמגבלה, Security Command Center מסיר משאבים מהקבוצה עד שמספר המשאבים עומד במגבלה. ב-Security Command Center, המשאבים עם הערך הנמוך ביותר מוחרגים קודם. מבין המשאבים עם אותו ערך שהוקצה, Security Command Center מחריג מופעי משאבים באמצעות אלגוריתם שמפיץ את המשאבים שהוחרגו בין סוגי המשאבים.
משאב שמוחרג מקבוצת המשאבים החשובים לא נכלל בחישוב של ציוני החשיפה להתקפות.
כדי להתריע על חריגה ממגבלת המכונות לחישוב הניקוד, מערכת Security Command Center יוצרת ממצא מסוג SCC error ומציגה הודעה בכרטיסייה Attack path simulation במסוף Google Cloud .
Security Command Center לא יוצר ממצא של SCC error אם קבוצת ברירת המחדל של המשאבים בעלי הערך הגבוה חורגת ממגבלת המכונות.
כדי לא לחרוג מהמגבלה, צריך לשנות את ההגדרות של ערכי המשאבים כדי לצמצם את מספר המקרים בקבוצת המשאבים הרווחיים.
כדי לצמצם את קבוצת המשאבים החשובים, אתם יכולים:
- כדי לצמצם את מספר ההתאמות לסוג משאב מסוים או בהיקף מסוים, אפשר להשתמש בתגים או בתוויות.
- יוצרים הגדרת ערך משאב שמקצה ערך של
NONEלקבוצת משנה של המשאבים שצוינו בהגדרה אחרת. אם מציינים את הערךNONE, הוא מבטל את כל ההגדרות האחרות ומחריג את מופעי המשאבים מקבוצת המשאבים בעלי הערך הגבוה. - מצמצמים את היקף ההגדרה של ערך המשאב.
- מוחקים את ההגדרות של ערכי המשאבים שמקצות ערך של
LOW.
משאבים בעלי ערך גבוה
כדי לאכלס את קבוצת המשאבים החשובים, אתם צריכים להחליט אילו מופעי משאבים בסביבה שלכם הם באמת חשובים.
באופן כללי, המשאבים החשובים באמת הם אלה שמעבדים ומאחסנים את המידע הרגיש. לדוגמה, ב- Google Cloud, אלה יכולים להיות מכונות וירטואליות ב-Compute Engine, מערך נתונים ב-BigQuery או קטגוריה ב-Cloud Storage.
אין צורך לסמן משאבים שסמוכים למשאבים בעלי ערך גבוה, כמו שרת מעבר, כמשאבים בעלי ערך גבוה. הסימולציות של נתיבי ההתקפה כבר מביאות בחשבון את המשאבים הסמוכים האלה, ואם תגדירו גם אותם כבעלי ערך גבוה, ציוני החשיפה להתקפות יהיו פחות מהימנים.
נתיבי התקפה
נתיב תקיפה הוא תיאור חזותי ואינטראקטיבי של נתיב פוטנציאלי אחד או יותר שתוקף היפותטי יכול לעבור כדי להגיע מהאינטרנט הציבורי לאחד ממופעי המשאבים בעלי הערך הגבוה שלכם.
בסימולציות של מסלולי התקפה, המערכת ממדלת מה יקרה אם תוקף ישתמש בשיטות התקפה מוכרות כדי לנצל את נקודות החולשה וההגדרות השגויות ש-Security Command Center זיהה בסביבה שלכם, במטרה להגיע למשאבים החשובים שלכם.
כדי לראות את נתיבי המתקפה, לוחצים על ציון החשיפה למתקפה בתוצאת חיפוש או במשאב במסוף Google Cloud .
במהדורת Enterprise, כשצופים במקרה של שילוב רעיל, אפשר לראות את נתיב המתקפה הפשוט של השילוב הרעיל בכרטיסייה סקירה כללית של המקרה. נתיב ההתקפה הפשוט כולל קישור לנתיב ההתקפה המלא. מידע נוסף על נתיבי התקפה של ממצאים של שילובים רעילים מופיע במאמר נתיבי התקפה של שילובים רעילים.
כשמציגים נתיבי תקיפה גדולים יותר, אפשר לשנות את התצוגה של נתיב התקיפה על ידי גרירת הריבוע האדום של אזור המיקוד בתצוגה המיניאטורית של נתיב התקיפה בצד שמאל של המסך.
בנתיב תקיפה, משאבים בנתיב תקיפה מיוצגים כתיבות או כצמתים. הקווים מייצגים נגישות פוטנציאלית בין משאבים. הצמתים והקווים ביחד מייצגים את נתיב התקיפה.
צמתים בנתיב ההתקפה
הצמתים בנתיב התקפה מייצגים את המשאבים בנתיב התקפה.
הצגת מידע על צומת
כדי להציג מידע נוסף על כל צומת בנתיב התקפה, לוחצים עליו.
לחיצה על שם המשאב בצומת מציגה מידע נוסף על המשאב, וגם את כל הממצאים שמשפיעים על המשאב.
לחיצה על Expand node מציגה שיטות תקיפה אפשריות שבהן התוקף יכול להשתמש אם הוא יקבל גישה למשאב.
סוגי הצמתים
יש שלושה סוגים שונים של צמתים:
- נקודת ההתחלה או נקודת הכניסה של המתקפה המדומה, שהיא האינטרנט הציבורי. לחיצה על צומת של נקודת כניסה מציגה תיאור של נקודת הכניסה, יחד עם שיטות תקיפה שתוקף יכול להשתמש בהן כדי לקבל גישה לסביבה שלכם.
- המשאבים המושפעים שתוקף יכול להשתמש בהם כדי להתקדם בנתיב.
- המשאב החשוף בסוף הנתיב, שהוא אחד מהמשאבים בקבוצת המשאבים החשובים. רק משאב בקבוצת משאבים מוגדרת או בקבוצת משאבים כברירת מחדל בעלי ערך גבוה יכול להיות משאב חשוף. כדי להגדיר קבוצת משאבים בעלי ערך גבוה, יוצרים הגדרות של ערכי משאבים.
צמתים במעלה הזרם ובמורד הזרם
במסלול התקפה, צומת יכול להיות במעלה הזרם או במורד הזרם ביחס לצמתים האחרים. צומת במעלה הזרם קרוב יותר לנקודת הכניסה ולחלק העליון של נתיב ההתקפה. צומת במורד הזרם קרוב יותר למשאב החשוף בעל הערך הגבוה בתחתית נתיב ההתקפה.
צמתים שמייצגים כמה מופעים של משאבי קונטיינרים
צומת יכול לייצג כמה מופעים של סוגי משאבים מסוימים של קונטיינרים, אם המופעים חולקים את אותם מאפיינים.
צומת אחד יכול לייצג כמה מופעים של סוגי המשאבים הבאים של מאגרים:
- בקר ReplicaSet
- Deployment Controller
- בקר משימות
- CronJob Controller
- בקר DaemonSet
קווי נתיב התקפה
בנתיב התקפה, הקווים בין התיבות מייצגים את הגישה הפוטנציאלית בין המשאבים, שתוקף יכול לנצל כדי להגיע למשאבים בעלי ערך גבוה.
הקווים לא מייצגים קשר בין משאבים שמוגדרים ב-Google Cloud.
אם יש כמה נתיבים שמצביעים על צומת במורד הזרם מכמה צמתים במעלה הזרם, לצמתים במעלה הזרם יכול להיות קשר AND או קשר OR זה עם זה.
קשר מסוג AND אומר שהתוקף צריך גישה לשני הצמתים במעלה הזרם כדי לגשת לצומת במורד הזרם בנתיב.
לדוגמה, קו ישיר מהאינטרנט הציבורי למשאב בעל ערך גבוה בסוף מסלול התקפה נמצא ביחס AND עם קו אחד לפחות במסלול ההתקפה. תוקף לא יוכל להגיע למשאב בעל הערך הגבוה, אלא אם תהיה לו גישה גם לסביבתGoogle Cloud וגם למשאב אחד נוסף לפחות שמוצג בנתיב ההתקפה.
קשר OR פירושו שהתוקף צריך גישה רק לאחד מהצמתים במעלה הזרם כדי לגשת לצומת במורד הזרם.
הדמיות של נתיבי תקיפה
כדי לזהות את כל נתיבי ההתקפה האפשריים ולחשב את ציוני החשיפה להתקפות, ב-Security Command Center מתבצעות הדמיות מתקדמות של נתיבי התקפה.
לוח הזמנים של הסימולציה
הדמיות של מסלולי התקפה פועלות לפי לוח זמנים, ותוצאות חדשות זמינות כל 48 שעות. הפעלות של סימולציות לא מופעלות על ידי יצירה, שינוי או מחיקה של משאבים או הגדרות של ערכי משאבים.
שלבים בסימולציה של נתיב התקפה
הסימולציה כוללת את השלבים הבאים:
- יצירת מודל: מודל של הסביבה שלכם ב- Google Cloud נוצר באופן אוטומטי על סמך נתוני הסביבה. המודל הוא ייצוג גרפי של הסביבה, שמותאם לניתוח מסלולים.
- סימולציית נתיב תקיפה: סימולציות של נתיבי תקיפה מתבצעות במודל הגרף. בסימולציות, תוקף וירטואלי מנסה להגיע למשאבים בערכה של משאבים בעלי ערך גבוה ולפגוע בהם. הסימולציות מתבססות על תובנות לגבי כל משאב ספציפי והקשרים שלו, כולל רשתות, IAM, הגדרות, הגדרות שגויות ונקודות חולשה.
- דיווח על תובנות: על סמך הסימולציות, Security Command Center מקצה ציוני חשיפה להתקפות למשאבים החשובים שלכם ולממצאים שחושפים אותם, ומציג באופן חזותי את הנתיבים הפוטנציאליים שתוקף יכול לעבור בהם כדי להגיע למשאבים האלה.
מאפייני הרצת הסימולציה
בנוסף לציון של דירוג החשיפה להתקפות, תובנות לגבי נתיבי התקפה ונתיבי התקפה, לסימולציות של נתיבי התקפה יש את המאפיינים הבאים:
- הם לא משפיעים על סביבת הייצור: כל הסימולציות מתבצעות במודל וירטואלי, והגישה למודל היא רק לצורך קריאה.
- הם דינמיים: המודל נוצר בלי סוכנים, באמצעות גישת קריאה בלבד ל-API, מה שמאפשר לסימולציות לעקוב באופן דינמי אחרי שינויים בסביבה לאורך זמן.
- הם משתמשים בתוקף וירטואלי שמנסה כמה שיותר שיטות ונקודות חולשה כדי להגיע למשאבים החשובים שלכם ולפגוע בהם. זה כולל לא רק את "הידועים", כמו נקודות החולשה, ההגדרות, ההגדרות השגויות והקשרים ברשת, אלא גם "לא ידועים ידועים" שהסיכוי שלהם נמוך יותר – סיכונים שאנחנו יודעים שקיימים, כמו האפשרות של פישינג או של פרטי כניסה שנחשפו.
- הם אוטומטיים: לוגיקת המתקפה מובנית בכלי. אתם לא צריכים ליצור או לתחזק קבוצות נרחבות של שאילתות או מערכי נתונים גדולים.
תרחיש ויכולות של תוקף
בסימולציות, Security Command Center מציג ייצוג לוגי של ניסיון תוקף לנצל את המשאבים החשובים שלכם על ידי קבלת גישה לסביבת Google Cloud שלכם ומעקב אחרי נתיבי גישה פוטנציאליים דרך המשאבים והפגיעויות שזוהו.
התוקף הווירטואלי
התוקף הווירטואלי שבו נעשה שימוש בסימולציות כולל את המאפיינים הבאים:
- התוקף הוא חיצוני: התוקף הוא לא משתמש לגיטימי בסביבתGoogle Cloud . הסימולציות לא כוללות מודלים של התקפות ממשתמשים זדוניים או רשלניים שיש להם גישה לגיטימית לסביבה שלכם.
- התוקף מתחיל מהאינטרנט הציבורי. כדי להתחיל מתקפה, התוקף צריך קודם לקבל גישה לסביבה שלכם מהאינטרנט הציבורי.
- התוקף מתמיד. התוקף לא יתייאש ולא יאבד עניין בגלל הקושי של שיטת התקפה מסוימת.
- התוקף מיומן ובקיא. התוקף מנסה שיטות וטכניקות מוכרות כדי לגשת למשאבים בעלי ערך גבוה.
גישה ראשונית
בכל סימולציה, תוקף וירטואלי מנסה להשתמש בשיטות הבאות כדי לקבל גישה מהאינטרנט הציבורי למשאבים בסביבת Google Cloud :
- למצוא שירותים ומשאבים שנגישים מהאינטרנט הציבורי ולהתחבר אליהם. בסביבת Google Cloud , זה יכול לכלול את הדברים הבאים:
- שירותים במכונות וירטואליות (VM) של Compute Engine ובצמתים של Google Kubernetes Engine
- מסדי נתונים
- קונטיינרים
- קטגוריות של Cloud Storage
- פונקציות Cloud Run
- לקבל גישה למפתחות ולפרטי כניסה. בסביבת Google Cloud , זה יכול לכלול את הדברים הבאים:
- מפתחות של חשבונות שירות
- מפתחות הצפנה שסופקו על ידי המשתמש
- מפתחות SSH של מכונות וירטואליות
- מפתחות SSH ברמת הפרויקט
- מערכות חיצוניות לניהול מפתחות
- חשבונות משתמשים שבהם לא נאכף אימות רב-שלבי (MFA)
- טוקנים וירטואליים של MFA שיירטו
- קבלת גישה לנכסי ענן שנגישים לציבור באמצעות פרטי כניסה גנובים או ניצול נקודות חולשה.
אם ההדמיה מוצאת נקודת כניסה אפשרית לסביבה, התוקף הווירטואלי מנסה להגיע למשאבים בעלי ערך גבוה ולפגוע בהם מנקודת הכניסה, על ידי חקר רציף של הגדרות האבטחה והפגיעויות בסביבה וניצול שלהן.
טקטיקות ושיטות
הסימולציה משתמשת במגוון רחב של טקטיקות וטכניקות, כולל מינוף גישה לגיטימית, תנועה רוחבית, הסלמת הרשאות, נקודות חולשה, הגדרות שגויות והרצת קוד.
שילוב נתוני CVE
בחישוב של ציוני החשיפה למתקפות עבור ממצאי נקודות החולשה, הסימולציות של נתיבי המתקפות מתבססות על נתונים מרשומת ה-CVE של נקודת החולשה, על ציוני ה-CVSS וגם על הערכות של מידת הניצול של נקודת החולשה שסופקו על ידי Mandiant.
המידע הבא על נקודות החולשה והחשיפה נלקח בחשבון:
- וקטור התקפה: כדי להשתמש ב-CVE, לתוקף צריכה להיות רמת הגישה שצוינה בווקטור ההתקפה של CVSS. לדוגמה, תוקף עם גישה לרשת יכול לנצל פרצת אבטחה עם וקטור תקיפה ברשת, שנמצאת בנכס עם כתובת IP ציבורית ויציאות פתוחות. אם לתוקף יש גישה לרשת בלבד, והפגיעות שמוגדרת ב-CVE דורשת גישה פיזית, התוקף לא יכול לנצל את הפגיעות.
- מורכבות ההתקפה: בדרך כלל, ממצא של פגיעות או של הגדרה שגויה עם מורכבות התקפה נמוכה יקבל סביר להניח ציון גבוה של חשיפה להתקפה, בהשוואה לממצא עם מורכבות התקפה גבוהה.
- פעילות ניצול: בדרך כלל, ממצא של פגיעות עם פעילות ניצול נרחבת, כפי שנקבע על ידי אנליסטים של מודיעין איומי סייבר ב-Mandiant, סביר יותר שיקבל ציון גבוה של חשיפה להתקפה מאשר ממצא עם פעילות ניצול צפויה בלבד. נקודת חולשה שאין בה פעילות ניצול ידועה לא נכללת בהדמיות של נתיבי ההתקפה.
הערכות סיכונים בסביבות מרובות עננים
בנוסף ל Google Cloud, Security Command Center יכול להריץ סימולציות של נתיבי תקיפה כדי להעריך את הסיכון בפריסות שלכם בפלטפורמות שונות של ספקי שירותי ענן.
אחרי שיוצרים חיבור לפלטפורמה אחרת, אפשר להגדיר את המשאבים החשובים בספק שירותי הענן האחר על ידי יצירת הגדרות של ערכי משאבים, כמו שעושים למשאבים ב- Google Cloud.
ב-Security Command Center, הסימולציות של פלטפורמת ענן מסוימת פועלות בנפרד מהסימולציות של פלטפורמות ענן אחרות.
לפני שיוצרים את ההגדרה הראשונה של ערך משאב עבור ספק אחר של שירותי ענן, Security Command Center משתמש בקבוצת משאבים עם ערך גבוה כברירת מחדל, שספציפית לכל ספק של שירותי ענן.
למידע נוסף, קראו את המאמרים הבאים:
AWS
Microsoft Azure
המאמרים הבאים