風險引擎功能支援

本頁面說明 Security Command Center Risk Engine 功能支援的服務和發現項目，以及適用的支援限制。

Risk Engine 會為下列項目產生受攻擊風險分數和攻擊路徑模擬：

Security Command Center 可為多個雲端服務供應商平台提供攻擊暴露分數和攻擊路徑圖。各雲端服務供應商支援的偵測工具不同。風險引擎仰賴外部暴露、安全漏洞和錯誤設定偵測工具，這些工具因雲端服務供應商而異。以下各節說明各雲端服務供應商支援的資源。

僅支援組織層級

Risk Engine 會模擬攻擊路徑，藉此產生受攻擊風險分數和攻擊路徑，因此您必須在組織層級啟用 Security Command Center。Security Command Center 的專案層級啟用不支援攻擊路徑模擬。

如要查看攻擊路徑， Google Cloud 控制台檢視畫面必須設為貴組織。如果您在Google Cloud 控制台中選取專案或資料夾檢視畫面，可以查看攻擊暴露分數，但無法查看攻擊路徑。

必要的角色

攻擊路徑與 Security Command Center 的特定元件相關聯，例如發現項目和高價值資源。如要查看 Security Command Center 攻擊路徑，您必須具備正確的 IAM 角色，才能查看每個 Security Command Center 資源。

如要取得查看攻擊路徑所需的權限，請要求管理員授予您組織的下列 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

組織的大小限制

對於攻擊路徑模擬，Risk Engine 會限制機構可包含的有效資產和有效發現項目數量。

如果機構超出下表所示限制，系統就不會執行攻擊路徑模擬。

限制類型 用量限制
有效發現項目數量上限 250,000,000
有效資產數量上限 26,000,000

如果貴組織的資產和/或發現項目接近或超過這些限制，請與 Cloud Customer Care 聯絡，要求評估貴組織是否能提高限制。

高價值資源集限制

高價值資源集僅支援特定資源類型，且只能包含特定數量的資源執行個體。

  • 雲端服務供應商平台的高價值資源集最多可包含 1,000 個資源執行個體。

  • 在 Google Cloud，每個組織最多可建立 100 項資源價值設定。

使用者介面支援

您可以在 Google Cloud 控制台、資安營運控制台或 Security Command Center API 中，使用攻擊風險分數。

您只能在資安營運控制台，查看有害組合案例的遭受攻擊風險分數和攻擊路徑。

您可以在 Google Cloud 控制台的 Security Command Center「Settings」(設定) 頁面，透過「Attack path simulations」(攻擊路徑模擬) 分頁建立資源價值設定，也可以透過 Security Command Center API 建立。

Google Cloud 支援

以下各節說明 Risk Engine 對 Google Cloud的支援。

Risk Engine 支援Google Cloud 項服務

風險引擎執行的模擬作業可能包含下列 Google Cloud 服務：

  • Artifact Registry
  • BigQuery
  • Cloud Build
  • Cloud Run
  • Cloud Run functions
  • Managed Service for Apache Spark
  • Cloud Key Management Service
  • Cloud Load Balancing
  • Cloud NAT
  • Cloud Router
  • Cloud SQL
  • Cloud Storage
  • Compute Engine
  • Google Kubernetes Engine
  • Identity and Access Management
  • Resource Manager
  • Gemini Enterprise Agent Platform
  • 虛擬私有雲，包括子網路、防火牆設定和服務控管範圍

高價值資源集支援Google Cloud 種資源

高價值資源集只能新增下列類型的 Google Cloud 資源：

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/Featurestore
  • aiplatform.googleapis.com/MetadataStore
  • aiplatform.googleapis.com/Model
  • aiplatform.googleapis.com/ReasoningEngine
  • aiplatform.googleapis.com/TrainingPipeline
  • artifactregistry.googleapis.com/Repository
  • bigquery.googleapis.com/Dataset
  • cloudbuild.googleapis.com/BitbucketServerConfig
  • cloudbuild.googleapis.com/BuildTrigger
  • cloudbuild.googleapis.com/Connection
  • cloudbuild.googleapis.com/GithubEnterpriseConfig
  • cloudbuild.googleapis.com/Repository
  • cloudbuild.googleapis.com/WorkerPool
  • cloudfunctions.googleapis.com/CloudFunction
  • compute.googleapis.com/Instance
  • container.googleapis.com/Cluster
  • dataproc.googleapis.com/Cluster
  • dataproc.googleapis.com/Job
  • run.googleapis.com/Job
  • run.googleapis.com/Service
  • spanner.googleapis.com/Instance
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

Google Cloud 支援資料私密性分類的資源類型

攻擊路徑模擬可根據Sensitive Data Protection 探索的資料機密程度分類，自動設定優先順序值，但僅限下列資料資源類型：

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket

支援的發現項目類別

攻擊路徑模擬只會針對本節列出的 Security Command Center 偵測服務，產生 Security Command Center 發現項目類別的受攻擊風險分數和攻擊路徑。

Risk Engine 發現項目

風險引擎產生的有害組合和瓶頸發現項目類別，支援受攻擊風險分數。

對外洩露的發現項目

攻擊路徑模擬支援EXTERNALLY_EXPOSED_VM_INSTANCE 外部暴露發現項目類別，可找出具有直接公開 IP 位址，允許存取主機 OS 的 Compute Engine 或 GKE 資源。如要進一步瞭解這項服務，請參閱「偵測公開資源」。

Google Cloud 發現項目的安全漏洞評估

攻擊路徑模擬支援下列 Google Cloud漏洞評估發現項目類別：

  • GCE OS vulnerability
  • GCE Software vulnerability
  • GKE OS vulnerability
  • GKE Software vulnerability

GKE 資安態勢發現項目

路徑模擬附加功能支援下列 GKE 安全性狀況發現項目類別：

  • GKE runtime OS vulnerability

Mandiant Attack Surface Management 發現項目

攻擊路徑模擬支援下列 Mandiant Attack Surface Management 發現項目類別：

  • Software vulnerability

VM 管理員發現項目

VM 管理員產生的OS Vulnerability發現項目類別支援受攻擊風險分數。

Pub/Sub 通知支援

攻擊暴露分數的變更無法做為觸發條件，向 Pub/Sub 發送通知。

此外，在建立發現項目時傳送至 Pub/Sub 的發現項目不含攻擊暴露分數，因為這些發現項目是在計算分數前傳送。

AWS 支援

Security Command Center 可計算 AWS 資源的受攻擊風險分數，並顯示攻擊路徑。

風險引擎支援的 AWS 服務

模擬作業可包含下列 AWS 服務：

  • 身分與存取權管理 (IAM)
  • Security Token Service (STS)
  • Simple Storage Service (S3)
  • 網頁應用程式防火牆 (WAFv2)
  • Elastic Compute Cloud (EC2)
  • Elastic Load Balancing (ELB 和 ELBv2)
  • Relational Database Service (RDS)
  • 金鑰管理服務 (KMS)
  • Elastic Container Registry (ECR)
  • Elastic Container Service (ECS)
  • ApiGateway 和 ApiGatewayv2
  • 機構 (帳戶管理服務)
  • CloudFront
  • AutoScaling
  • Lambda
  • DynamoDB

高價值資源集支援的 AWS 資源類型

高價值資源集只能新增下列類型的 AWS 資源：

  • DynamoDB 資料表
  • EC2 執行個體
  • Lambda 函式
  • RDS DBCluster
  • RDS DBInstance
  • S3 bucket

支援資料機密性分類的 AWS 資源類型

攻擊路徑模擬可根據Sensitive Data Protection 探索的資料敏感度分類，自動設定優先順序值，但僅限下列 AWS 資料資源類型：

  • Amazon S3 儲存貯體

在 AWS 適用的安全狀態分析中尋求支援

風險引擎會針對下列安全狀態分析發現項目類別，提供分數和攻擊路徑圖：

  • 存取金鑰最多每 90 天輪替一次
  • 45 天以上未使用的憑證已停用
  • 虛擬私有雲預設安全性群組會限制所有流量
  • EC2 執行個體沒有公開 IP
  • IAM 密碼政策
  • IAM 密碼政策禁止重複使用密碼
  • IAM 密碼政策規定的長度下限為 14 個字元以上
  • 確認 IAM 使用者未使用特定憑證
  • IAM 使用者透過權限群組接收權限
  • 未排定 KMS CMK 刪除作業
  • 已啟用 MFA Delete 的 S3 儲存貯體
  • 超級使用者帳戶已啟用 MFA
  • 多重驗證 (MFA) 已啟用，所有 IAM 使用者都能存取控制台
  • 沒有超級使用者帳戶存取金鑰
  • 所有安全性群組都不允許 0 輸入流量傳送至遠端伺服器管理通訊埠
  • 所有安全性群組都不允許 0 0 0 0 輸入流量傳送至遠端伺服器管理通訊埠
  • 任一 IAM 使用者都只能取得一組有效的存取金鑰
  • RDS 執行個體取得公開存取權
  • 設有限制的常用通訊埠
  • 設有限制的 SSH
  • 客戶建立的 CMK 已啟用輪替功能
  • 客戶建立的對稱式 CMK 已啟用輪替功能
  • S3 值區已設置「Block public access (bucket settings)」(封鎖公開存取 (儲存貯體設定))
  • S3 bucket 政策已設為拒絕 HTTP 要求
  • S3 預設加密 KMS
  • 虛擬私有雲預設安全性群組已關閉

Amazon Web Services 安全漏洞評估發現項目

EC2 安全漏洞評估產生的 Software vulnerability 發現項目類別支援受攻擊風險分數。

Azure 支援

風險引擎可為 Microsoft Azure 上的資源產生受攻擊風險分數，並以視覺化方式呈現攻擊路徑。

建立與 Azure 的連線後，您可以建立資源價值設定，指定 Azure 高價值資源，就像為 Google Cloud 和 AWS 資源設定一樣。如需操作說明，請參閱「定義及管理高價值資源集」一節。

在您為 Azure 建立第一個資源價值設定之前，Security Command Center 會使用雲端服務供應商專屬的預設高價值資源集。

Security Command Center 會為雲端平台執行模擬作業，與為其他雲端平台執行的模擬作業無關。

風險引擎支援的 Azure 服務

攻擊路徑模擬可涵蓋下列 Azure 服務：

  • App Service
  • Azure Kubernetes Service (AKS)
  • 虛擬網路
  • Container Registry
  • Cosmos DB
  • 函式
  • Key Vault
  • 和 MySQL 資料庫連結的終極指南
  • 網路安全性群組
  • PostgreSQL 資料庫
  • 角色式存取控管 (RBAC)
  • 服務匯流排
  • SQL 資料庫
  • Storage Account
  • 虛擬機器擴展集
  • 虛擬機器

可在高價值資源集中指定的 Azure 資源類型

您只能將下列類型的 Azure 資源新增至高價值資源集：

  • Microsoft.Compute/virtualMachines
    • Linux VM
    • Windows VM
  • Microsoft.ContainerService/managedClusters
    • Kubernetes 叢集
  • Microsoft.DBforMySQL/flexibleServers/databases
    • MySQL 資料庫
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • PostgreSQL 資料庫
  • Microsoft.DocumentDB/databaseAccounts
    • Cosmos DB 帳戶
  • Microsoft.Sql/servers/databases
    • SQL 資料庫
  • Microsoft.Storage/storageAccounts
    • Storage Account
  • Microsoft.Web/sites
    • App Service
    • 函式應用程式

預設高價值資源集包含的 Azure 資源

預設高價值資源集包含下列資源：

  • Microsoft.Compute/virtualMachines
    • Linux VM
    • Windows VM
  • Microsoft.DBforPostgreSQL/flexibleServers/databases
    • PostgreSQL 資料庫
  • Microsoft.DBforMySQL/flexibleServers/databases
    • MySQL 資料庫
  • Microsoft.DocumentDB/databaseAccounts
    • Cosmos DB 帳戶
  • Microsoft.Sql/servers/databases
    • SQL 資料庫
  • Microsoft.Storage/storageAccounts
    • Storage Account
  • Microsoft.Web/sites
    • App Service
    • 函式應用程式