Unterstützung von Risk Engine-Funktionen

Dienststufen für Premium und Enterprise (eingestellt)  (erfordert Aktivierung auf Organisationsebene)

Die Dienststufe „Security Command Center Enterprise“ wird am 21. Mai 2027 eingestellt. Wenn Ihre Organisation die Dienststufe „Enterprise“ verwendet, wird die Organisation am oder nach dem 21. Mai 2027 automatisch zur Dienststufe „Premium“ migriert. Bei Fragen wenden Sie sich an Ihren Kundenbetreuer oder einen Google Cloud Vertriebsspezialisten.

Auf dieser Seite werden die Dienste und Ergebnisse beschrieben, die von der Security Command Center Risk Engine unterstützt werden, sowie die Supportlimits, denen sie unterliegt.

Risk Engine generiert Angriffsrisikobewertungen und Angriffspfadsimulationen für Folgendes:

• Unterstützte Ergebnisklassen in den External exposure (Vorschau), Misconfiguration, und Vulnerability Ergebnisklassen.
• Ergebnisse der Klasse Toxic combination.
• Ergebnisse der Klasse Chokepoint.
• Ressourceninstanzen unterstützter Ressourcentypen, die Sie als hochwertig festlegen. Weitere Informationen finden Sie unter In Sätzen hochwertiger Ressourcen unterstützte Ressourcentypen.

Security Command Center kann Angriffsrisikobewertungen und Angriffspfadvisualisierungen für mehrere Plattformen von Cloud-Dienstanbietern bereitstellen. Die Unterstützung für Detektoren ist für jeden Cloud-Dienstanbieter unterschiedlich. Risk Engine ist von Detektoren für externe Gefährdung, Sicherheitslücken und Fehlkonfigurationen abhängig, die für jeden Cloud-Dienstanbieter spezifisch sind. In den folgenden Abschnitten werden die unterstützten Ressourcen für jeden Cloud-Dienstanbieter beschrieben.

• Google Cloud
• Amazon Web Services (AWS)
• Microsoft Azure

Nur Support auf Organisationsebene

Für die Angriffspfadsimulationen, die von Risk Engine zum Generieren der Angriffsrisikobewertungen und Angriffspfade verwendet werden, muss Security Command Center auf der Organisationsebeneaktiviert sein. Angriffspfadsimulationen werden bei Aktivierungen von Security Command Center auf Projektebene nicht unterstützt.

Damit Sie Angriffspfade sehen können, muss Ihre Google Cloud Console-Ansicht auf Ihre Organisation festgelegt sein. Wenn Sie in der Google Cloud Console eine Projekt- oder Ordneransicht auswählen, können Sie Angriffsrisikobewertungen sehen, aber Sie können keine Angriffspfade sehen.

Erforderliche Rollen

Angriffspfade sind mit bestimmten Komponenten von Security Command Center verknüpft, z. B. mit Ergebnissen und hochwertigen Ressourcen. Damit Sie Angriffspfade in Security Command Center sehen können, benötigen Sie die richtigen IAM-Rollen, um alle Ihre Security Command Center-Ressourcen aufrufen zu können.

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Aufrufen von Angriffspfaden benötigen:

• Security Center Attack Paths Reader (roles/securitycenter.attackPathsViewer)
• Angriffspfade ansehen, die aus Ergebnissen und Problemen generiert wurden (z. B. schädliche Kombinationen und Engstellen): Security Center Findings Viewer (roles/securitycenter.findingsViewer)
• Zugriff auf Angriffspfade für hochwertige Ressourcen zulassen:
  • Security Center Assets Viewer (roles/securitycenter.assetsViewer)
  • Security Center Valued Resources Reader (roles/securitycenter.valuedResourcesViewer)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Größenlimits für Organisationen

Für Angriffspfadsimulationen begrenzt Risk Engine die Anzahl der aktiven Assets und aktiven Ergebnisse, die eine Organisation enthalten kann.

Wenn eine Organisation die in der folgenden Tabelle aufgeführten Limits überschreitet, werden keine Angriffspfadsimulationen ausgeführt.

Art des Limits	Nutzungslimit
Maximale Anzahl aktiver Ergebnisse	250.000.000
Maximale Anzahl aktiver Assets	26.000.000

Wenn die Assets, Ergebnisse oder beides in Ihrer Organisation sich diesen Limits nähern oder sie überschreiten, wenden Sie sich an Cloud Customer Care, um eine Bewertung Ihrer Organisation für eine mögliche Erhöhung anzufordern.

Limits für Sätze hochwertiger Ressourcen

Ein Satz hochwertiger Ressourcen unterstützt nur bestimmte Ressourcentypen und kann nur eine bestimmte Anzahl von Ressourceninstanzen enthalten.

• Ein Satz hochwertiger Ressourcen für eine Plattform eines Cloud-Dienstanbieters kann bis zu 1.000 Ressourceninstanzen enthalten.

• Sie können bis zu 100 Konfigurationen für Ressourcenwerte pro Organisation auf Google Clouderstellen.

Unterstützung der Benutzeroberfläche

Sie können Angriffsrisikobewertungen entweder in der Google Cloud Console, in der Security Operations-Console oder in der Security Command Center API verwenden.

Angriffsrisikobewertungen und Angriffspfade für Fälle schädlicher Kombinationen können nur in der Security Operations-Console verwendet werden.

Sie können Konfigurationen für Ressourcenwerte entweder auf dem Tab „Angriffspfadsimulationen“ der Seite Einstellungen von Security Command Center in der Google Cloud Console oder über die Security Command Center API erstellen.

Google Cloud -Support

In den folgenden Abschnitten wird die Unterstützung von Risk Engine für Google Cloudbeschrieben.

Google Cloud Von Risk Engine unterstützte Dienste

Die von Risk Engine ausgeführten Simulationen können die folgenden Google Cloud Dienste umfassen:

• Artifact Registry
• BigQuery
• Cloud Build
• Cloud Run
• Cloud Run Functions
• Managed Service for Apache Spark
• Cloud Key Management Service
• Cloud Load Balancing
• Cloud NAT
• Cloud Router
• Cloud SQL
• Cloud Storage
• Compute Engine
• Google Kubernetes Engine
• Identity and Access Management
• Resource Manager
• Gemini Enterprise Agent Platform
• Virtual Private Cloud, einschließlich Subnetzen, Firewallkonfigurationen und Dienstperimeter

Google Cloud In Sätzen hochwertiger Ressourcen unterstützte Ressourcentypen

Sie können einem Satz hochwertiger Ressourcen nur die folgenden Ressourcentypen hinzufügen: Google Cloud Ressourcen

• aiplatform.googleapis.com/Dataset
• aiplatform.googleapis.com/Featurestore
• aiplatform.googleapis.com/MetadataStore
• aiplatform.googleapis.com/Model
• aiplatform.googleapis.com/ReasoningEngine
• aiplatform.googleapis.com/TrainingPipeline
• artifactregistry.googleapis.com/Repository
• bigquery.googleapis.com/Dataset
• cloudbuild.googleapis.com/BitbucketServerConfig
• cloudbuild.googleapis.com/BuildTrigger
• cloudbuild.googleapis.com/Connection
• cloudbuild.googleapis.com/GithubEnterpriseConfig
• cloudbuild.googleapis.com/Repository
• cloudbuild.googleapis.com/WorkerPool
• cloudfunctions.googleapis.com/CloudFunction
• compute.googleapis.com/Instance
• container.googleapis.com/Cluster
• dataproc.googleapis.com/Cluster
• dataproc.googleapis.com/Job
• run.googleapis.com/Job
• run.googleapis.com/Service
• spanner.googleapis.com/Instance
• sqladmin.googleapis.com/Instance
• storage.googleapis.com/Bucket

Google Cloud Ressourcentypen, die mit Klassifizierungen der Datensensibilität unterstützt werden

Angriffspfadsimulationen können Prioritätswerte basierend auf Klassifizierungen der Datensensibilität aus der Erkennung von Sensitive Data Protection nur für die folgenden Datentypen automatisch festlegen:

• aiplatform.googleapis.com/Dataset
• bigquery.googleapis.com/Dataset
• sqladmin.googleapis.com/Instance
• storage.googleapis.com/Bucket

Unterstützte Ergebnisklassen

Angriffspfadsimulationen generieren Angriffsrisikobewertungen und Angriffspfade nur für die Security Command Center-Ergebnisklassen der Security Command Center-Erkennungsdienste, die in diesem Abschnitt aufgeführt sind.

Risk Engine-Ergebnisse

Die von Risk Engine generierten Ergebnisklassen für schädliche Kombinationen und Engstellen unterstützen Angriffsrisikobewertungen.

Ergebnisse zur externen Gefährdung

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Angriffspfadsimulationen unterstützen die EXTERNALLY_EXPOSED_VM_INSTANCE Ergebnisklasse zur externen Gefährdung, die Compute Engine- oder GKE-Ressourcen mit einer direkten öffentlichen IP-Adresse identifiziert, die den Zugriff auf das Hostbetriebssystem ermöglicht. Weitere Informationen zu diesem Dienst finden Sie unter Gefährdete Ressourcen erkennen.

Sicherheitslückenbewertung für Google Cloud Ergebnisse

Angriffspfadsimulationen unterstützen die folgenden Ergebnisklassen für die Google Cloud Sicherheitslückenbewertung:

• GCE OS vulnerability
• GCE Software vulnerability
• GKE OS vulnerability
• GKE Software vulnerability

Ergebnisse zum GKE-Sicherheitsstatus

Angriffspfadsimulationen unterstützen die folgenden GKE-Sicherheits status-Ergebnisklassen:

• GKE runtime OS vulnerability

Mandiant Attack Surface Management-Ergebnisse

Angriffspfadsimulationen unterstützen die folgenden Ergebnisklassen von Mandiant Attack Surface Management:

• Software vulnerability

VM Manager-Ergebnisse

Die von VM Manager generierte Ergebnisklasse OS Vulnerability unterstützt Angriffsrisikobewertungen.

Unterstützung für Pub/Sub-Benachrichtigungen

Änderungen an Angriffsrisikobewertungen können nicht als Trigger für Benachrichtigungen an Pub/Sub verwendet werden.

Außerdem enthalten Ergebnisse, die beim Erstellen an Pub/Sub gesendet werden, keine Angriffsrisikobewertung, da sie gesendet werden, bevor eine Bewertung berechnet werden kann.

AWS-Support

Security Command Center kann Angriffsrisikobewertungen und Angriffspfadvisualisierungen für Ihre Ressourcen in AWS berechnen.

Von Risk Engine unterstützte AWS-Dienste

Die Simulationen können die folgenden AWS-Dienste umfassen:

• Identity and Access Management (IAM)
• Security Token Service (STS)
• Simple Storage Service (S3)
• Web Application Firewall (WAFv2)
• Elastic Compute Cloud (EC2)
• Elastic Load Balancing (ELB und ELBv2)
• Relational Database Service (RDS)
• Key Management Service (KMS)
• Elastic Container Registry (ECR)
• Elastic Container Service (ECS)
• ApiGateway und ApiGatewayv2
• Organizations (Account Management Service)
• CloudFront
• AutoScaling
• Lambda
• DynamoDB

In Sätzen hochwertiger Ressourcen unterstützte AWS-Ressourcentypen

Sie können einem Satz hochwertiger Ressourcen nur die folgenden AWS-Ressourcentypen hinzufügen:

• DynamoDB-Tabelle
• EC2-Instanz
• Lambda-Funktion
• RDS DBCluster
• RDS DBInstance
• S3-Bucket

AWS-Ressourcentypen, die mit Klassifizierungen der Datensensibilität unterstützt werden

Angriffspfadsimulationen können Prioritätswerte basierend auf Klassifizierungen der Datensensibilität aus der Erkennung von Sensitive Data Protection nur für die folgenden AWS-Datentypen automatisch festlegen:

• Amazon S3-Bucket

Unterstützung für Ergebnisse in Security Health Analytics für AWS

Risk Engine bietet Bewertungen und Angriffspfadvisualisierungen für die folgenden Ergebnisklassen von Security Health Analytics:

• Access keys rotated 90 days less
• Credentials unused 45 days greater disabled
• Default security group VPC restricts all traffic
• EC2 instance no public IP
• IAM password policy
• IAM password policy prevents password reuse
• IAM password policy requires minimum length 14 greater
• IAM user unused credentials check
• IAM users receive permissions groups
• KMS cmk not scheduled for deletion
• MFA delete enabled S3 buckets
• MFA enabled root user account
• Multi factor authentication MFA enabled all IAM users console
• No root user account access key exists
• No security groups allow ingress 0 remote server administration
• No security groups allow ingress 0 0 0 0 remote server administration
• One active access key available any single IAM user
• Public access given RDS instance
• Restricted common ports
• Restricted SSH
• Rotation customer created CMKS enabled
• Rotation customer created symmetric CMKS enabled
• S3 buckets configured block public access bucket settings
• S3 bucket policy set deny HTTP requests
• S3 default encryption KMS
• VPC default security group closed

Sicherheitslückenbewertung für Amazon Web Services-Ergebnisse

Die von der EC2-Sicherheitslückenbewertung generierte Ergebnisklasse Software vulnerability unterstützt Angriffsrisikobewertungen.

Azure-Support

Risk Engine kann Angriffsrisikobewertungen und Angriffspfadvisualisierungen für Ihre Ressourcen in Microsoft Azure generieren.

Nachdem Sie eine Verbindung zu Azure hergestellt haben, können Sie hochwertige Azure-Ressourcen festlegen, indem Sie Konfigurationen für Ressourcenwerte erstellen, wie Sie es für Ressourcen auf Google Cloud und AWS tun würden. Eine Anleitung finden Sie im Abschnitt Satz hochwertiger Ressourcen definieren und verwalten.

Bevor Sie Ihre erste Konfiguration für Ressourcenwerte für Azure erstellen, verwendet Security Command Center einen standardmäßigen Satz hochwertiger Ressourcen, der für den Cloud-Dienstanbieter spezifisch ist.

Security Command Center führt Simulationen für eine Cloud-Plattform aus, die unabhängig von Simulationen für andere Cloud-Plattformen sind.

Von Risk Engine unterstützte Azure-Dienste

Die Angriffspfadsimulationen können die folgenden Azure-Dienste umfassen:

• App Service
• Azure Kubernetes Service (AKS)
• Virtuelles Netzwerk
• Container Registry
• Cosmos DB
• Funktionen
• Key Vault
• MySQL-Datenbank
• Netzwerksicherheitsgruppen
• PostgreSQL-Datenbank
• Rollenbasierte Zugriffssteuerung (RBAC)
• Service Bus
• SQL-Datenbank
• Storage Account (Speicherkonto)
• VM-Skalierungsgruppen
• Virtuelle Maschinen

Azure-Ressourcentypen, die Sie in Sätzen hochwertiger Ressourcen angeben können

Sie können einem Satz hochwertiger Ressourcen nur die folgenden Azure-Ressourcentypen hinzufügen:

• Microsoft.Compute/virtualMachines
  • Linux-VM
  • Windows-VM
• Microsoft.ContainerService/managedClusters
  • Kubernetes-Cluster
• Microsoft.DBforMySQL/flexibleServers/databases
  • MySQL-Datenbank
• Microsoft.DBforPostgreSQL/flexibleServers/databases
  • PostgreSQL-Datenbank
• Microsoft.DocumentDB/databaseAccounts
  • Cosmos DB-Konto
• Microsoft.Sql/servers/databases
  • SQL-Datenbank
• Microsoft.Storage/storageAccounts
  • Storage Account (Speicherkonto)
• Microsoft.Web/sites
  • App Service
  • Function App

Im standardmäßigen Satz hochwertiger Ressourcen enthaltene Azure-Ressourcen

Die folgenden Ressourcen sind im standardmäßigen Satz hochwertiger Ressourcen enthalten:

• Microsoft.Compute/virtualMachines
  • Linux-VM
  • Windows-VM
• Microsoft.DBforPostgreSQL/flexibleServers/databases
  • PostgreSQL-Datenbank
• Microsoft.DBforMySQL/flexibleServers/databases
  • MySQL-Datenbank
• Microsoft.DocumentDB/databaseAccounts
  • Cosmos DB-Konto
• Microsoft.Sql/servers/databases
  • SQL-Datenbank
• Microsoft.Storage/storageAccounts
  • Storage Account (Speicherkonto)
• Microsoft.Web/sites
  • App Service
  • Function App