何時會在 Security Command Center 中看到發現項目

本頁面概略說明啟用 Security Command Center 時的啟用程序。旨在回答常見問題：

  • 啟用 Security Command Center 後會發生什麼事？
  • 為什麼首次掃描前會延遲？
  • 首次掃描和後續掃描的預期執行時間為何？
  • 變更資源和設定對成效有何影響？

總覽

首次啟用 Security Command Center 時，必須先完成啟用程序，Security Command Center 才能開始掃描資源。掃描作業完成後，您才會看到Google Cloud 環境的完整發現項目。

啟用程序和掃描作業所需的時間取決於多項因素，包括環境中的資產和資源數量，以及 Security Command Center 是在組織層級還是專案層級啟用。

在組織層級啟用時，Security Command Center 必須為組織中的每項專案重複執行啟用程序的特定步驟。視組織中的專案數量而定，啟用程序可能需要幾分鐘到幾小時。如果組織有超過 100,000 項專案、每項專案都有大量資源，以及其他複雜因素，啟用和初始掃描作業最多可能需要 24 小時以上才能完成。

在專案層級啟用 Security Command Center 時，啟用程序會快得多，因為程序僅限於啟用 Security Command Center 的單一專案。

下列各節將說明可能導致掃描作業延遲啟動、設定變更延遲處理，以及掃描作業執行時間延遲的因素。

新手上路延遲

掃描作業開始前，Security Command Center 會探索資源並建立索引。

已建立索引的服務包括 App Engine、BigQuery、Cloud SQL、Cloud Storage、Compute Engine、Identity and Access Management 和 Google Kubernetes Engine。

如果在專案層級啟用 Security Command Center，探索和索引功能僅限於啟用 Security Command Center 的單一專案。

在組織層級啟用時，Security Command Center 會探索及建立整個組織的資源索引。

在這個新手上路過程中，會進行兩個重要步驟。

資產掃描

Security Command Center 會執行初始資產掃描，找出專案、資料夾、檔案、叢集、身分、存取權政策、註冊使用者和其他資源的總數、位置和狀態。這項程序通常會在幾分鐘內完成。

啟用 API

發現資源後，Security Command Center 會啟用Google Cloud 中，安全狀態分析、Event Threat Detection、Container Threat Detection 和 Web Security Scanner 運作所需的部分。部分偵測服務必須在受保護的專案中啟用特定 API，才能運作。

在專案層級啟用 Security Command Center 時，API 啟用作業通常會在 1 分鐘內完成。

在組織層級啟用時，Security Command Center 會逐一檢查您選取要掃描的所有專案，啟用必要的 API。

組織中的專案數量，在很大程度上決定了新手上路和啟用程序的長度。由於 API 必須逐一為專案啟用，因此 API 啟用通常是最耗時的工作，尤其是擁有超過 100,000 個專案的組織。

在專案中啟用服務所需的時間會線性增加。也就是說，一般而言，在擁有 30,000 個專案的組織中，啟用服務和安全性設定所需的時間，是擁有 15,000 個專案的組織的兩倍。

如果組織有 10 萬個專案，Premium 和 Enterprise (已淘汰) 服務級別的新手上路和啟用作業應在五小時內完成。所需時間可能因多項因素而異，包括使用的專案或容器數量，以及選擇啟用的 Security Command Center 服務數量。

初始掃描延遲時間

設定 Security Command Center 時，您可以決定要啟用哪些內建和整合服務，並選取要分析或掃描的 Google Cloud 資源，找出威脅和安全漏洞。專案啟用 API 後，所選服務就會開始掃描。掃描時間長度也取決於組織中的專案數量。

初始掃描完成後，即可查看內建服務的發現項目。服務會發生延遲，詳情請參閱下列各節。

  • Agent Platform Threat Detection (預先發布版) 的延遲時間如下：
    • 新加入的專案或組織，啟用延遲時間最長可達 3.5 小時。
    • 偵測延遲時間為幾分鐘。
  • Agent Platform Vulnerability Assessment (預先發布版) 會在部署期間，掃描新的和更新後的 Agent Platform 執行個體和容器映像檔。偵測到發現項目後，很快就會顯示在 Security Command Center 中。系統會持續執行掃描，找出新的發現項目和發現項目的變更。
  • Cloud Run Threat Detection 的延遲時間如下：
    • 新加入的專案或組織，啟用延遲時間最長可達 3.5 小時。
    • 偵測延遲時間為幾分鐘。
  • Compliance Manager：請參閱「偵測控制項的 Compliance Manager 掃描延遲時間」。
  • Container Threat Detection 的延遲時間如下：
    • 新加入的專案或組織，啟用延遲時間最長可達 3.5 小時。
    • 新建立的叢集會在幾分鐘內啟用。
    • 在已啟用的叢集中，威脅偵測延遲時間為幾分鐘。

  • Event Threat Detection 內建偵測工具會在幾秒內啟用。如果是新增或更新的自訂偵測工具，變更最多可能需要 15 分鐘才會生效。實際上，通常不到 5 分鐘。

    對於內建和自訂偵測工具，偵測延遲時間通常不到 15 分鐘，從記錄寫入到 Security Command Center 提供發現項目。

  • 啟用服務後，對外洩露 (預先發布版) 掃描作業最多可能需要 12 小時才會開始。

  • Security Command Center Premium 和 Enterprise 級別的問題資料，可能需要約 6 小時才會顯示。

  • Security Command Center Premium 和 Enterprise 方案的安全圖譜資料，可能需要約 2 小時才會顯示。

  • 安全狀態分析：請參閱「安全狀態分析掃描延遲時間」。

  • Sensitive Data Protection：請參閱「Sensitive Data Protection 掃描延遲時間」。

  • 新加入的組織啟用 VM 威脅偵測後，最多可能需要 48 小時才會生效。專案的啟用延遲時間最長為 15 分鐘。

  • Vulnerability Assessment for Google Cloud：請參閱「Vulnerability Assessment for Google Cloud產生的發現項目」，瞭解啟用後的掃描頻率。

  • 在帳戶中首次部署必要的 CloudFormation 範本後，Amazon Web Services (AWS) 安全漏洞評估會在大約 15 分鐘後開始掃描 AWS 帳戶中的資源。在 AWS 帳戶中偵測到軟體安全漏洞時，大約 10 分鐘後，Security Command Center 就會顯示對應的發現項目。

    完成掃描所需的時間取決於 EC2 執行個體數量。一般來說，掃描單一 EC2 執行個體所需的時間不到 5 分鐘。

  • 啟用服務後，Web Security Scanner 掃描作業最多可能需要 24 小時才會開始，並在首次掃描後每週執行一次。

  • 啟用 Data Security Posture Management (DSPM) 服務後，掃描作業最多可能需要 24 小時才會開始。

  • VM 管理員：請參閱「資產掃描設定」一欄。

Security Command Center 會執行錯誤偵測工具，偵測與 Security Command Center 及其服務相關的設定錯誤。這些錯誤偵測工具預設為啟用，且無法停用。偵測延遲時間會因錯誤偵測工具而異。詳情請參閱「Security Command Center 錯誤」。

您可以在組織、資料夾或專案層級，授予 Security Command Center 的 IAM 角色。您能否查看、編輯、建立或更新發現項目、資產和安全性來源，取決於您獲得的存取權層級。如要進一步瞭解 Security Command Center 角色，請參閱「存取控管」。

查看初步發現

在初始掃描期間，您可能會在 Google Cloud 控制台中看到一些發現項目，但此時尚未完成新手上路程序。 初步調查結果準確且可做為行動依據，但並不全面。不建議在最初 24 小時內使用這些發現項目進行法規遵循評估。

後續掃描

在機構或專案中進行變更 (例如移動資源，或在機構層級啟用時新增資料夾和專案)，通常不會對資源探索時間或掃描執行時間造成重大影響。不過，有些掃描作業會按照既定排程進行，這會決定 Security Command Center 偵測變更的速度。

  • Agent Platform Threat Detection (預先發布版) 會在代理工作負載執行時，使用監控程序收集事件資訊。監控程序最多可能需要一分鐘才能啟動並收集資訊。
  • Agent Platform Vulnerability Assessment (預先發布版) 會持續掃描 Agent Platform 執行個體和容器映像檔，找出新的發現項目和現有發現項目的變更。
  • 攻擊路徑模擬：詳情請參閱「攻擊路徑模擬」一節。
  • Cloud Run Threat Detection 會使用監控程序，在 Cloud Run 工作負載的整個執行期間，收集容器和事件資訊。監控程式最多可能需要一分鐘才能啟動並收集資訊。
  • External Exposure (預先發布版) 大約每 12 小時執行一次批次掃描。
  • Event Threat Detection 和 Container Threat Detection：這些服務啟用後會即時執行，並立即偵測已啟用專案中新增或變更的資源，例如叢集、值區或記錄。
  • 安全狀態分析：如要瞭解掃描類型，請參閱「安全狀態分析掃描類型」。如要瞭解偵測延遲時間，請參閱「 安全狀態分析後續掃描」。
  • Sensitive Data Protection：請參閱「Sensitive Data Protection 掃描延遲時間」。
  • VM 威脅偵測：VM 威脅偵測會在 VM 執行個體建立後，立即掃描每個執行個體的記憶體。此外，VM Threat Detection 每 30 分鐘會掃描每個 VM 執行個體。
    • 偵測加密貨幣挖礦活動時，VM 威脅偵測會針對每個 VM 的每項程序，每天產生一筆發現項目。每個發現項目只會包含與發現項目所識別程序相關聯的威脅。如果 VM 威脅偵測功能發現威脅，但無法與任何程序建立關聯，則會針對每個 VM，將所有未建立關聯的威脅分組為單一發現項目，每 24 小時產生一次。如果威脅持續超過 24 小時，VM 威脅偵測技術會每 24 小時產生新的發現項目。
    • 針對核心模式 Rootkit 偵測，VM Threat Detection 每三天會為每個 VM 產生一個類別的發現項目。

    VM 威脅偵測會至少每天掃描每個 VM 執行個體，偵測永久磁碟中是否有已知的惡意軟體。

  • AWS 安全漏洞評估每天會執行三次掃描。完成掃描所需的時間取決於 EC2 執行個體數量。一般來說，掃描單一 EC2 執行個體的時間不到 5 分鐘。

    在 AWS 帳戶中偵測到軟體安全漏洞時，大約 10 分鐘後，Security Command Center 就會顯示相應的發現項目。

  • Web Security Scanner：Web Security Scanner 每週執行一次，執行日期與初始掃描當天相同。由於 Web Security Scanner 每週執行一次，因此無法即時偵測變更。如果您移動資源或修改應用程式，系統可能需要一週的時間才能偵測到變更。您可以在排定的掃描作業之間執行隨選掃描，檢查新的或變更過的資源。

  • DSPM：DSPM 產生的發現項目會近乎即時地顯示在 DSPM 資訊主頁上。

  • VM 管理員：詳情請參閱「資產掃描設定」欄。

Security Command Center 錯誤偵測工具會定期以批次模式執行。批次掃描頻率會因錯誤偵測工具而異。詳情請參閱「Security Command Center 錯誤」。

攻擊路徑模擬

攻擊路徑模擬會依排程執行。視 Google Cloud 組織的規模和複雜程度而定，模擬之間的間隔時間可能會增加，最大型的組織至少每 48 小時會提供新的結果。

首次啟用 Security Command Center 時，攻擊路徑模擬會使用預設的高價值資源集，著重於組織中支援的部分資源類型。詳情請參閱支援的資源類型清單。

建立資源價值設定，開始定義自己的高價值資源集時，如果高價值資源集中的資源執行個體數量明顯低於預設集，模擬間隔時間可能會縮短。

關聯威脅

如要瞭解何時會產生與相關威脅相關的問題，請參閱「掃描頻率」。

後續步驟