תמיכה בתכונות של Risk Engine

בדף הזה מתוארים השירותים והממצאים שנתמכים בתכונה "מנוע הסיכון" של Security Command Center, ומגבלות התמיכה שחלות עליה.

מנוע הסיכונים יוצר ניקוד חשיפה למתקפות וסימולציות של נתיבי מתקפה עבור:

ב-Security Command Center אפשר לקבל ציוני חשיפה להתקפות והמחשות חזותיות של נתיבי התקפות בפלטפורמות של כמה ספקי שירותי ענן. התמיכה בגלאים משתנה בהתאם לספק שירותי הענן. מנוע הסיכונים תלוי בגלאים של חשיפה חיצונית, נקודות חולשה והגדרות שגויות, שספציפיים לכל ספק שירותי ענן. בקטעים הבאים מפורטים המשאבים הנתמכים לכל ספק שירותי ענן.

תמיכה רק ברמת הארגון

כדי שמנוע הסיכונים יוכל להשתמש בהדמיות של מסלולי התקפה כדי ליצור את ציוני החשיפה להתקפות ואת מסלולי ההתקפה, צריך להפעיל את Security Command Center ברמת הארגון. הדמיות של מסלולי התקפה לא נתמכות בהפעלות ברמת הפרויקט של Security Command Center.

כדי לראות את נתיבי ההתקפה, צריך להגדיר את התצוגה במסוף Google Cloud לארגון שלכם. אם תבחרו בתצוגת פרויקט או תיקייה במסוףGoogle Cloud , תוכלו לראות את הציונים של החשיפה להתקפות, אבל לא את נתיבי ההתקפה.

התפקידים הנדרשים

מסלולי ההתקפה משויכים לרכיבים ספציפיים של Security Command Center, כמו ממצאים ומשאבים בעלי ערך גבוה. כדי לראות את נתיבי התקיפה ב-Security Command Center, אתם צריכים את תפקידי ה-IAM הנכונים שיאפשרו לכם לראות כל אחד מהמשאבים שלכם ב-Security Command Center.

כדי לקבל את ההרשאות שדרושות לצפייה בנתיבי התקפה, בקשו מהאדמין לתת לכם את התפקידים הבאים ב-IAM ברמת הארגון:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

מגבלות גודל לארגונים

בסימולציות של נתיבי תקיפה, מנוע הסיכון מגביל את מספר הנכסים הפעילים והממצאים הפעילים שיכולים להיות בארגון.

אם ארגון חורג מהמגבלות שמוצגות בטבלה הבאה, לא יופעלו סימולציות של נתיבי תקיפה.

סוג המגבלה מכסת שימוש
המספר המקסימלי של ממצאים פעילים 250,000,000
המספר המקסימלי של נכסים פעילים 26,000,000

אם הנכסים, הממצאים או שניהם בארגון שלכם מתקרבים למגבלות האלה או חורגים מהן, אתם יכולים לפנות ל-Cloud Customer Care כדי לבקש הערכה של הארגון שלכם לצורך הגדלה אפשרית של המגבלות.

מגבלות על קבוצות של מקורות מידע בעלי ערך גבוה

קבוצת משאבים בעלי ערך גבוה תומכת רק בסוגים מסוימים של משאבים, ויכולה להכיל רק מספר מסוים של מופעי משאבים.

  • קבוצת משאבים בעלי ערך גבוה לפלטפורמה של ספק שירותי ענן יכולה להכיל עד 1,000 מופעי משאבים.

  • אתם יכולים ליצור עד 100 הגדרות של ערכי משאבים לכל ארגון ב- Google Cloud.

תמיכה בממשק המשתמש

אתם יכולים לעבוד עם ציוני החשיפה להתקפות במסוף Google Cloud , במסוף Security Operations או ב-Security Command Center API.

אפשר לעבוד עם ציוני החשיפה להתקפות ועם נתיבי ההתקפות במקרים של שילובים רעילים רק במסוף Security Operations.

אפשר ליצור הגדרות של ערכי משאבים בכרטיסייה Attack path simulations בדף Settings של Security Command Center במסוף Google Cloud , או באמצעות Security Command Center API.

Google Cloud תמיכה

בקטעים הבאים מתואר התמיכה ב-Risk Engine ב- Google Cloud.

Google Cloud שירותים שנתמכים על ידי Risk Engine

הסימולציות שמנוע הסיכון מריץ יכולות לכלול את השירותים הבאים: Google Cloud

  • Artifact Registry
  • BigQuery
  • Cloud Build
  • Cloud Run
  • פונקציות Cloud Run
  • Managed Service for Apache Spark
  • Cloud Key Management Service
  • Cloud Load Balancing
  • Cloud NAT
  • Cloud Router
  • Cloud SQL
  • Cloud Storage
  • Compute Engine
  • Google Kubernetes Engine
  • ניהול זהויות והרשאות גישה
  • מנהל המשאבים
  • פלטפורמת הסוכנים של Gemini Enterprise
  • ענן וירטואלי פרטי (VPC), כולל רשתות משנה, הגדרות של חומת אש והיקפים של בקרת שירות

Google Cloud סוגי משאבים שנתמכים בקבוצות משאבים בעלות ערך גבוה

אפשר להוסיף רק את סוגי Google Cloud המשאבים הבאים לקבוצת משאבים בעלי ערך גבוה:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/ReasoningEngine
  • aiplatform.googleapis.com/TrainingPipeline
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudbuild.googleapis.com/BitbucketServerConfig
  • cloudbuild.googleapis.com/BuildTrigger
  • cloudbuild.googleapis.com/Connection
  • cloudbuild.googleapis.com/GithubEnterpriseConfig
  • cloudbuild.googleapis.com/Repository
  • cloudbuild.googleapis.com/WorkerPool
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • dataproc.googleapis.com/Cluster
  • dataproc.googleapis.com/Job
  • run.googleapis.com/Job
  • run.googleapis.com/Service
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Google Cloud סוגי משאבים שנתמכים בסיווגים של רגישות נתונים

סימולציות של נתיבי תקיפה יכולות להגדיר באופן אוטומטי ערכי עדיפות על סמך סיווגים של רגישות נתונים מגילוי נתונים רגישים ב-Sensitive Data Protection רק לסוגים הבאים של משאבי נתונים:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

קטגוריות נתמכות של ממצאים

הדמיות של נתיבי התקפה יוצרות ציוני חשיפה להתקפה ונתיבי התקפה רק לקטגוריות הממצאים של Security Command Center משירותי הזיהוי של Security Command Center שמפורטים בקטע הזה.

ממצאים של Risk Engine

קטגוריות הממצאים "שילוב רעיל" ו"נקודת חנק" שנוצרות על ידי Risk Engine תומכות בציוני החשיפה להתקפה.

ממצאים של External Exposure

סימולציות של נתיבי תקיפה תומכות בEXTERNALLY_EXPOSED_VM_INSTANCE קטגוריית הממצאים 'חשיפה חיצונית', שמזהה משאבים ב-Compute Engine או ב-GKE עם כתובת IP ציבורית ישירה שמאפשרת גישה למערכת ההפעלה של המארח. מידע נוסף על השירות הזה זמין במאמר זיהוי משאבים חשופים.

ממצאים של הערכת נקודות חולשה ב- Google Cloud

סימולציות של נתיבי תקיפה תומכות בקטגוריות הממצאים הבאות של הערכת פגיעות Google Cloud:

  • GCE OS vulnerability
  • GCE Software vulnerability
  • GKE OS vulnerability
  • GKE Software vulnerability

ממצאים של מצב האבטחה של GKE

הדמיות של נתיבי צירוף תומכות בקטגוריות הממצאים הבאות של מצב האבטחה של GKE:

  • GKE runtime OS vulnerability

ממצאים של Mandiant Attack Surface Management

הדמיות של נתיבי התקפה תומכות בקטגוריות הממצאים הבאות של Mandiant Attack Surface Management:

  • Software vulnerability

ממצאים של VM Manager

קטגוריית הממצאים OS Vulnerability שנוצרת על ידי VM Manager תומכת בערכי חשיפה להתקפות.

תמיכה בהתראות Pub/Sub

שינויים בציוני החשיפה להתקפות לא יכולים לשמש כטריגר להתראות ב-Pub/Sub.

בנוסף, הממצאים שנשלחים ל-Pub/Sub כשיוצרים אותם לא כוללים ציון חשיפה להתקפות, כי הם נשלחים לפני שאפשר לחשב את הציון.

תמיכה ב-AWS

ב-Security Command Center אפשר לחשב את ציוני החשיפה להתקפות ולראות את נתיבי ההתקפה של המשאבים ב-AWS.

שירותי AWS שנתמכים על ידי Risk Engine

הסימולציות יכולות לכלול את שירותי AWS הבאים:

  • ניהול זהויות והרשאות גישה (IAM)
  • Security Token Service‏ (STS)
  • Simple Storage Service (S3)
  • חומת אש ליישומי אינטרנט (WAFv2)
  • Elastic Compute Cloud (EC2)‎
  • ‫Elastic Load Balancing‏ (ELB ו-ELBv2)
  • Relational Database Service (RDS)
  • שירות ניהול מפתחות (KMS)
  • Elastic Container Registry (ECR)
  • Elastic Container Service‏ (ECS)
  • ‫ApiGateway ו-ApiGatewayv2
  • ארגונים (שירות לניהול חשבונות)
  • CloudFront
  • AutoScaling
  • Lambda
  • DynamoDB

סוגי המשאבים של AWS שנתמכים בקבוצות של משאבים חשובים

אפשר להוסיף לקבוצת משאבים בעלי ערך גבוה רק את הסוגים הבאים של משאבי AWS:

  • טבלת DynamoDB
  • מכונת EC2
  • פונקציית Lambda
  • RDS DBCluster
  • RDS DBInstance
  • קטגוריית S3

סוגי משאבים ב-AWS שנתמכים בסיווגים של רגישות נתונים

הדמיות של נתיבי התקפה יכולות להגדיר באופן אוטומטי ערכי עדיפות על סמך סיווגים של רגישות נתונים מגילוי של Sensitive Data Protection, רק לסוגי משאבי הנתונים הבאים של AWS:

  • קטגוריה של Amazon S3

איך מקבלים תמיכה ב-Security Health Analytics ל-AWS

מנוע הסיכונים מספק ציונים והמחשות חזותיות של נתיבי התקפה לקטגוריות הממצאים הבאות של Security Health Analytics:

  • מפתחות גישה שעברו רוטציית מפתחות לפני פחות מ-90 יום
  • השבתת פרטי כניסה שלא היו בשימוש במשך יותר מ-45 ימים
  • קבוצת אבטחה שמוגדרת כברירת מחדל ב-VPC מגבילה את כל התעבורה
  • מכונת EC2 ללא כתובת IP ציבורית
  • מדיניות סיסמאות ב-IAM
  • מדיניות הסיסמאות של IAM מונעת שימוש חוזר בסיסמאות
  • מדיניות הסיסמאות ב-IAM מחייבת אורך מינימלי של 14 תווים
  • בדיקה של פרטי כניסה לא בשימוש של משתמש IAM
  • משתמשי IAM מקבלים קבוצות הרשאות
  • ה-CMK של KMS לא מתוזמן למחיקה
  • קטגוריות של S3 שמופעלת בהן מחיקה עם אימות רב-שלבי
  • חשבון משתמש Root שמופעלת בו MFA
  • אימות רב-שלבי (MFA) מופעל לכל המשתמשים במסוף IAM
  • לא קיים מפתח גישה לחשבון משתמש עם הרשאות root
  • אף קבוצת אבטחה לא מאפשרת ניהול של שרת מרוחק
  • אין קבוצות אבטחה שמאפשרות כניסה של 0 0 0 0 לניהול שרת מרוחק
  • מפתח גישה פעיל אחד זמין לכל משתמש IAM יחיד
  • גישה ציבורית למכונת RDS נתונה
  • יציאות נפוצות מוגבלות
  • SSH מוגבל
  • נוצר לקוח רוטציה עם הפעלה של CMKS
  • נוצר לקוח של סבב מפתחות עם הפעלה של CMKS סימטרי
  • הגדרות של חסימת גישה ציבורית לקטגוריות S3
  • מדיניות הקטגוריות של S3 דוחה בקשות HTTP
  • ‫KMS להצפנת ברירת המחדל של S3
  • קבוצת האבטחה שמוגדרת כברירת מחדל ב-VPC נסגרה

ממצאים של הערכת נקודות חולשה ב-Amazon Web Services

Software vulnerability קטגוריית הממצאים שנוצרת על ידי EC2 Vulnerability Assessment תומכת בציוני חשיפה להתקפות.

תמיכה ב-Azure

מנוע הסיכונים יכול ליצור ציוני חשיפה להתקפות ותצוגות חזותיות של נתיבי התקפה למשאבים שלכם ב-Microsoft Azure.

אחרי יצירת חיבור ל-Azure, אפשר להגדיר משאבים בעלי ערך גבוה ב-Azure על ידי יצירת הגדרות של ערכי משאבים, כמו במשאבים ב- Google Cloud וב-AWS. הוראות מפורטות זמינות בקטע הגדרה וניהול של קבוצת משאבים בעלי ערך גבוה.

לפני שיוצרים את ההגדרה הראשונה של ערכי המשאבים ב-Azure, ‏Security Command Center משתמש בקבוצת ברירת מחדל של משאבים בעלי ערך גבוה שספציפית לספק שירותי הענן.

ב-Security Command Center מופעלות סימולציות לפלטפורמת ענן, והן לא תלויות בסימולציות שמופעלות לפלטפורמות ענן אחרות.

שירותי Azure שנתמכים על ידי Risk Engine

ההדמיות של נתיבי ההתקפה יכולות לכלול את השירותים הבאים של Azure:

  • שירות אפליקציות
  • Azure Kubernetes Service‏ (AKS)
  • רשת וירטואלית
  • Container Registry
  • Cosmos DB
  • פונקציות
  • כספת מפתחות
  • מסד נתונים מסוג MySQL
  • קבוצות אבטחת רשת
  • מסד נתונים של PostgreSQL
  • בקרת גישה מבוססת-תפקידים (RBAC)
  • Service Bus
  • SQL Database
  • חשבון אחסון
  • Virtual Machine Scale Sets
  • מכונות וירטואליות

סוגי המשאבים ב-Azure שאפשר לציין בקבוצות של משאבים חשובים

אפשר להוסיף לקבוצת משאבים בעלי ערך גבוה רק את סוגי משאבי Azure הבאים:

  • Microsoft.Compute/virtualMachines
    • VM של Linux
    • VM של Windows
  • Microsoft.ContainerService/managedClusters
    • אשכול Kubernetes
  • Microsoft.DBforMySQL/flexibleServers/databases
    • מסד נתונים של MySQL
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • מסד נתונים של PostgreSQL
  • Microsoft.DocumentDB/databaseAccounts
    • חשבון Cosmos DB
  • Microsoft.Sql/servers/databases
    • SQL Database
  • Microsoft.Storage/storageAccounts
    • חשבון אחסון
  • Microsoft.Web/sites
    • שירות אפליקציות
    • Function App

משאבי Azure שכלולים בקבוצת ברירת המחדל של משאבים בעלי ערך גבוה

אלה המשאבים שנכללים בקבוצת המשאבים החשובים שמוגדרת כברירת מחדל:

  • Microsoft.Compute/virtualMachines
    • VM של Linux
    • VM של Windows
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • מסד נתונים של PostgreSQL
  • Microsoft.DBforMySQL/flexibleServers/databases
    • מסד נתונים של MySQL
  • Microsoft.DocumentDB/databaseAccounts
    • חשבון Cosmos DB
  • Microsoft.Sql/servers/databases
    • SQL Database
  • Microsoft.Storage/storageAccounts
    • חשבון אחסון
  • Microsoft.Web/sites
    • שירות אפליקציות
    • אפליקציית פונקציות