Elige los servicios que quieres habilitar

En este documento, se incluye una lista de los servicios de detección, que a veces también se denominan fuentes de seguridad, que Security Command Center usa para detectar problemas de seguridad en tus entornos de nube.

Cuando estos servicios detectan un problema, generan un hallazgo, que es un registro que identifica el problema de seguridad y te proporciona la información que necesitas para priorizarlo y resolverlo.

Puedes ver los hallazgos en la consola de Google Cloud y filtrarlos de muchas maneras diferentes, como por tipo de hallazgo, tipo de recurso o para un recurso específico. Cada fuente de seguridad puede proporcionar más filtros para ayudarte a organizar tus hallazgos.

Los roles de IAM para Security Command Center se pueden otorgar a nivel de organización, carpeta o proyecto. Tu capacidad para ver, editar, crear o actualizar hallazgos, recursos y fuentes de seguridad depende del nivel al que se te otorga acceso. Para obtener más información sobre los roles de Security Command Center, consulta Control de acceso.

Servicios de detección de vulnerabilidades y parámetros de configuración incorrectos

Estos servicios de detección incluyen servicios integrados que detectan vulnerabilidades de software, parámetros de configuración incorrectos de recursos y violaciones de la postura en tus entornos de nube. En las definiciones de hallazgos, estos problemas se clasifican en distintas clases de hallazgos, como Vulnerability, Misconfiguration, Observation y Posture violation.

Protección de la IA

AI Protection te ayuda a administrar la postura de seguridad de tus cargas de trabajo de IA detectando amenazas y ayudándote a mitigar los riesgos de tu inventario de recursos de IA.

AI Protection proporciona las siguientes capacidades de detección:

  • Evalúa tu inventario de recursos de IA: Proporciona visibilidad de tus sistemas y recursos de IA, como modelos, fuentes de datos, extremos y agentes de IA.
  • Identifica vulnerabilidades: Detecta vulnerabilidades de software (CVE) en las cargas de trabajo de agentes implementadas con Agent Runtime.
  • Identifica riesgos: Usa la simulación de ruta de ataque y las reglas del gráfico de seguridad para identificar los riesgos de los agentes y su impacto potencial en tu entorno.
  • Detecta agentes con privilegios excesivos: Identifica los agentes de IA a los que se les otorgaron permisos excesivos.
  • Detecta y administra amenazas: Detecta y responde a posibles amenazas dirigidas a tus sistemas y recursos de IA a través de reglas integradas de otros servicios de Security Command Center, como Event Threat Detection y Agent Platform Threat Detection.
  • Detectar la protección de Model Armor: Detecta si Model Armor protege los modelos.

Para obtener más información, consulta la descripción general de AI Protection.

Evaluación de vulnerabilidades de Artifact Registry

La evaluación de vulnerabilidades de Artifact Registry es un servicio de detección que te alerta sobre las vulnerabilidades en tus imágenes de contenedor implementadas.

Este servicio de detección genera hallazgos de vulnerabilidades para las imágenes de contenedor en las siguientes condiciones:

  • La imagen de contenedor se almacena en Artifact Registry.

  • La imagen de contenedor se implementa en uno de los siguientes recursos:

    • Clúster de Google Kubernetes Engine
    • Servicio de Cloud Run
    • Trabajo de Cloud Run
    • App Engine

Para obtener más información, consulta Descripción general de la evaluación de vulnerabilidades de Artifact Registry.

Evaluación de vulnerabilidades de Agent Platform

La evaluación de vulnerabilidades de Agent Platform identifica lo siguiente:

  • vulnerabilidades en las cargas de trabajo de agentes que implementaste con Agent Platform.
  • de texto simple, como credenciales, claves, tokens de acceso o certificados, en las imágenes de contenedor de Gemini Enterprise Agent Platform.

Detección de vulnerabilidades

La evaluación de vulnerabilidades de Agent Platform identifica las vulnerabilidades de software (CVE) en las cargas de trabajo de agentes que implementaste con Agent Platform.

Este escáner evalúa automáticamente el código personalizado y las dependencias dentro de la instancia operativa durante la implementación o la actualización.

Habilita la evaluación de vulnerabilidades de Agent Platform

La evaluación de vulnerabilidades de Agent Platform se habilita automáticamente para las activaciones nuevas de AI Protection.

Si eres un cliente existente, puedes habilitar el análisis en la página Configuración de la protección de IA. Para obtener más información, consulta Configura la evaluación de vulnerabilidades de la plataforma del agente.

Visualiza los hallazgos de la evaluación de vulnerabilidades de Agent Platform en la consola

  1. En la consola de Google Cloud , ve a la página Resultados de Security Command Center.

    Acceder a Hallazgos

  2. Selecciona tu organización o proyecto de Google Cloud .
  3. En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Evaluación de vulnerabilidades para Agent Platform. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
  4. Para ver los detalles de un hallazgo específico, haz clic en su nombre en la columna Categoría. Se abre el panel de detalles para el hallazgo y se muestra la pestaña Resumen.
  5. En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si están disponibles, los pasos que puedes seguir para corregir el hallazgo.
  6. Para ver la definición completa de JSON del hallazgo, haz clic en la pestaña JSON (opcional).

Protección de artefactos

Artifact Guard (versión preliminar) es un servicio que te ayuda a evitar la implementación de paquetes vulnerables durante el proceso de compilación. Admite tres ámbitos de política: plataforma de CI/CD, registro y entorno de ejecución. La integración de CI/CD te permite configurar conectores para plataformas de CI/CD. Puedes usar estos conectores para configurar políticas de protección de artefactos y, así, identificar vulnerabilidades en tus canalizaciones de CI/CD.

Hallazgos del Administrador de cumplimiento

Compliance Manager crea hallazgos para los controles de nube de detección y prevención que implementas en tu entorno de Google Cloud . Puedes ver estos hallazgos en la página Hallazgos de Security Command Center.

El Administrador de cumplimiento proporciona un conjunto diferente de funciones para cada nivel de servicio. Para obtener más información, consulta la descripción general del Administrador de cumplimiento.

Visualiza los hallazgos del Administrador de cumplimiento en la consola

  1. En la consola de Google Cloud , ve a la página Resultados de Security Command Center.

    Acceder a Hallazgos

  2. Selecciona tu organización o proyecto de Google Cloud .
  3. En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Servicio de evaluación de cumplimiento. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
  4. Para ver los detalles de un hallazgo específico, haz clic en su nombre en la columna Categoría. Se abre el panel de detalles para el hallazgo y se muestra la pestaña Resumen.
  5. En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si están disponibles, los pasos que puedes seguir para corregir el hallazgo.
  6. Para ver la definición completa de JSON del hallazgo, haz clic en la pestaña JSON (opcional).

Administración de la postura de seguridad de los datos

La administración de la postura de seguridad de los datos (DSPM) crea hallazgos de posibles incumplimientos de los frameworks de seguridad de los datos y los controles de la nube que aplicas en tu entorno. Puedes ver estos hallazgos en la página Seguridad y cumplimiento de los datos, en la página Descripción general del riesgo (en la pestaña Datos) o en la página Hallazgos de Security Command Center. La DSPM proporciona un conjunto diferente de capacidades para cada nivel de servicio. Para obtener más información, consulta Descripción general de la Administración de la postura de seguridad de los datos (DSPM).

Visualiza los hallazgos de DSPM en la consola

  1. En la consola de Google Cloud , ve a la página Resultados de Security Command Center.

    Acceder a Hallazgos

  2. Selecciona tu organización de Google Cloud .

  3. Usa la siguiente consulta para ver los hallazgos de DSPM:

    state="ACTIVE" AND NOT mute="MUTED" AND resource.name="//aiplatform.googleapis.com/projects/478190632149/locations/us-central1/models/1244151282898305024" AND category="DATA_SECURITY_POSTURE_ACCESS_VIOLATION" OR category="DATA_SECURITY_POSTURE_FLOW_VIOLATION" OR category="DATA_SECURITY_POSTURE_DELETION_VIOLATION" OR category="DATA_SECURITY_POSTURE_PROTECTION_KEY_GOVERNANCE" OR category="BIGQUERY_TABLE_CMEK_DISABLED" OR category="VERTEX_AI_MODEL_CMEK_DISABLED" OR category="VERTEX_AI_METADATA_STORE_CMEK_DISABLED" OR category="VERTEX_AI_DATASET_CMEK_DISABLED" OR category="VERTEX_AI_FEATURE_STORE_TABLE_CMEK_DISABLED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_MISCONFIGURED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_DELETED" OR category="DATA_SECURITY_POSTURE_CMEK_VIOLATION" OR category="SENSITIVE_DATA_PUBLIC_SQL_INSTANCE" OR category="SENSITIVE_DATA_PUBLIC_DATASET" OR category="SENSITIVE_DATA_BIGQUERY_TABLE_CMEK_DISABLED" OR category="SENSITIVE_DATA_DATASET_CMEK_DISABLED" OR category="SENSITIVE_DATA_SQL_CMEK_DISABLED" OR category="PUBLIC_DATASET" OR category="PUBLIC_SQL_INSTANCE" OR category="SQL_PUBLIC_IP" OR category="ACCESS_TRANSPARENCY_DISABLED" OR category="ORG_POLICY_LOCATION_RESTRICTION" OR category="BUCKET_POLICY_ONLY_DISABLED" OR category="DATA_EXFILTRATION_BIG_QUERY" OR category="DATA_EXFILTRATION_BIG_QUERY_EXTRACTION" OR category="DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE"

  4. Para ver los detalles de un hallazgo específico, haz clic en el nombre del hallazgo en la columna Categoría. Se abre el panel de detalles para el hallazgo y se muestra la pestaña Resumen.

  5. En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si están disponibles, los pasos que puedes seguir para corregir el hallazgo.

  6. Para ver la definición completa de JSON del hallazgo, haz clic en la pestaña JSON (opcional).

External Exposure

La exposición externa de Security Command Center es un servicio de Google Cloud que te ayuda a administrar y reducir tu superficie de ataque externa a través del descubrimiento automatizado y la validación de riesgos.

Debido a que los escáneres automatizados pueden apuntar a los recursos expuestos a Internet en cuestión de minutos, la exposición externa descubre de forma proactiva las exposiciones accidentales y los recursos ocultos antes de que los atacantes puedan descubrirlos y explotarlos.

Cuando analiza tu entorno desde una perspectiva externa, el servicio intenta confirmar a qué se puede acceder realmente desde Internet y, además, identifica qué exposiciones se pueden explotar.

La exposición externa analiza de forma continua las direcciones IP, los nombres de host, los nombres de dominio y las URLs orientados al exterior en tu entorno de Google Cloud. Esta función usa el análisis de red para confirmar a qué recursos y aplicaciones se puede acceder desde la Internet pública.

Para cada exposición confirmada, Exposición externa hace lo siguiente:

  • Rastrea y muestra la ruta de red de Google Cloud para los balanceadores de cargas externos, las políticas de Google Cloud Armor, las reglas de firewall, Private Service Connect, Cloud Interconnect y los servicios de backend hasta el recurso expuesto.

    Este recurso puede ser una instancia de Compute Engine o un Pod de Google Kubernetes Engine (GKE), incluido un servicio o una aplicación expuestos.

    Esta integración profunda con la estructura de redes de Google ayuda a proporcionar un contexto práctico para que puedas aplicar mitigaciones preventivas de inmediato, como bloquear una regla de firewall específica o configurar Google Cloud Armor.

  • Realiza una toma de huellas digitales para intentar identificar la aplicación web o el software del servidor específicos que se ejecutan en cada recurso expuesto.

  • Si puede identificar el servicio o el software expuesto, identifica las vulnerabilidades que se sabe que lo afectan.

  • Usa detectores pasivos y activos avanzados para probar la capacidad de explotación en el mundo real validando vulnerabilidades, errores de configuración y el uso de credenciales predeterminadas o débiles.

Revisa los hallazgos de exposición externa en la consola

  1. En la consola de Google Cloud , ve a la página Resultados de Security Command Center.

    Acceder a Hallazgos

  2. Selecciona tu proyecto u organización de Google Cloud .
  3. En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Exposición externa. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
  4. Para ver los detalles de un hallazgo específico, haz clic en su nombre en la columna Categoría. Se abre el panel de detalles para el hallazgo y se muestra la pestaña Resumen.
  5. En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si están disponibles, los pasos que puedes seguir para corregir el hallazgo.
  6. Para ver la definición completa de JSON del hallazgo, haz clic en la pestaña JSON (opcional).

Panel de postura de seguridad de GKE

El panel de postura de seguridad de Google Kubernetes Engine (GKE) es una página de la consola deGoogle Cloud que te proporciona hallazgos prescriptivos y prácticos sobre posibles problemas de seguridad en tus clústeres de GKE.

El panel de postura de seguridad de GKE se integra en Security Command Center para proporcionar los siguientes beneficios:

  • Visibilidad unificada: Consulta los hallazgos de seguridad de tus clústeres de GKE junto con los hallazgos de otros servicios de Security Command Center en la consola de Security Command Center.
  • Puntuaciones de exposición a ataques: Prioriza los hallazgos viendo su impacto potencial en tu entorno a través de las puntuaciones de exposición a ataques.
  • Informes de cumplimiento: Genera informes de cumplimiento basados en los hallazgos.

Para ver estos hallazgos, habilita cualquiera de las siguientes funciones del panel de postura de seguridad de GKE:

Panel de postura de seguridad de GKE Clase de hallazgo de Security Command Center
Auditoría de la configuración de las cargas de trabajo1 MISCONFIGURATION
Amenazas principales2 THREAT
Análisis de vulnerabilidades del SO del contenedor1 VULNERABILITY
Análisis de vulnerabilidades de los paquetes de idioma1 VULNERABILITY
Boletines de seguridad prácticos1 (versión preliminar) VULNERABILITY
Principales vulnerabilidades de software2 VULNERABILITY
  1. Solo está disponible si habilitas esta función en GKE.
  2. Disponible para los niveles de servicio Premium y Enterprise de Security Command Center.

En los hallazgos, se muestra información sobre el problema de seguridad y se proporcionan recomendaciones para resolverlos en tus cargas de trabajo o clústeres.

Visualiza los hallazgos del panel de postura de seguridad de GKE en la consola

  1. En la consola de Google Cloud , ve a la página Resultados de Security Command Center.

    Acceder a Hallazgos

  2. Selecciona tu organización o proyecto de Google Cloud .
  3. En la sección Filtros rápidos, en el apartado Nombre visible de la fuente, selecciona Postura de seguridad de GKE. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
  4. Para ver los detalles de un hallazgo específico, haz clic en su nombre en la columna Categoría. Se abre el panel de detalles para el hallazgo y se muestra la pestaña Resumen.
  5. En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si están disponibles, los pasos que puedes seguir para corregir el hallazgo.
  6. Para ver la definición completa de JSON del hallazgo, haz clic en la pestaña JSON (opcional).

Recomendador de IAM

El Recomendador de IAM genera recomendaciones que puedes seguir para mejorar la seguridad quitando o reemplazando los roles de IAM de las principales cuando los roles contienen permisos de IAM que la principal no necesita.

El recomendador de IAM se habilita automáticamente cuando activas Security Command Center.

Habilita o inhabilita los hallazgos del recomendador de IAM

Para habilitar o inhabilitar los hallazgos del recomendador de IAM en Security Command Center, sigue estos pasos:

  1. Ve a la pestaña Servicios integrados de la página Configuración de Security Command Center en la consola de Google Cloud :

    Ir a Servicios integrados

  2. Ve a la entrada Recomendador de IAM.

  3. A la derecha de la entrada, selecciona Habilitar o Inhabilitar.

Los hallazgos del recomendador de IAM se clasifican como vulnerabilidades.

Para corregir un hallazgo del recomendador de IAM, expande la siguiente sección y consulta una tabla de los hallazgos del recomendador de IAM. Los pasos de solución para cada hallazgo se incluyen en la entrada de la tabla.

Visualiza los hallazgos del recomendador de IAM en la consola

  1. En la consola de Google Cloud , ve a la página Resultados de Security Command Center.

    Acceder a Hallazgos

  2. Selecciona tu organización o proyecto de Google Cloud .
  3. En la sección Filtros rápidos, en el apartado Nombre visible de la fuente, selecciona Recomendador de IAM. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
  4. Para ver los detalles de un hallazgo específico, haz clic en su nombre en la columna Categoría. Se abre el panel de detalles para el hallazgo y se muestra la pestaña Resumen.
  5. En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si están disponibles, los pasos que puedes seguir para corregir el hallazgo.
  6. Para ver la definición completa de JSON del hallazgo, haz clic en la pestaña JSON (opcional).

En Security Command Center Premium, también puedes ver los hallazgos del recomendador de IAM en la página heredada Vulnerabilidades seleccionando el ajuste predeterminado de consulta Recomendador de IAM.

Mandiant Attack Surface Management

Mandiant es líder mundial en inteligencia contra amenazas de primera línea. Mandiant Attack Surface Management identifica vulnerabilidades y parámetros de configuración incorrectos en tus superficies de ataque externas para ayudarte a mantenerte al día con los ciberataques más recientes.

Mandiant Attack Surface Management se habilita automáticamente cuando activas el nivel Security Command Center Enterprise, y los hallazgos están disponibles en la consola de Google Cloud .

Para obtener información sobre cómo difiere el producto independiente de Mandiant Attack Surface Management de la integración de Mandiant Attack Surface Management en Security Command Center, consulta ASM y Security Command Center en el portal de documentación de Mandiant. Este vínculo requiere autenticación de Mandiant.

Revisa los hallazgos de Mandiant Attack Surface Management en la consola

  1. En la consola de Google Cloud , ve a la página Resultados de Security Command Center.

    Acceder a Hallazgos

  2. Selecciona tu organización o proyecto de Google Cloud .
  3. En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Mandiant Attack Surface Management. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
  4. Para ver los detalles de un hallazgo específico, haz clic en su nombre en la columna Categoría. Se abre el panel de detalles para el hallazgo y se muestra la pestaña Resumen.
  5. En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si están disponibles, los pasos que puedes seguir para corregir el hallazgo.
  6. Para ver la definición completa de JSON del hallazgo, haz clic en la pestaña JSON (opcional).

Ni Security Command Center ni Mandiant Attack Surface Management marcan los hallazgos como resueltos. Una vez que resuelvas un problema, puedes marcarlo como resuelto de forma manual. Si no se identifica en el próximo análisis de Mandiant Attack Surface Management, permanecerá resuelto.

Hallazgos de Model Armor

Model Armor es un servicio de Google Cloud completamente administrado que mejora la seguridad de las aplicaciones de IA a través de la evaluación de las instrucciones y respuestas de los LLM.

Resultado Resumen

Nombre de categoría en la API: FLOOR_SETTINGS_VIOLATION

Descripción del hallazgo: Es un incumplimiento de la configuración de límites que se produce cuando una plantilla de Model Armor no cumple con los estándares de seguridad mínimos definidos por la configuración de límites de la jerarquía de recursos.

Clase del hallazgo: Configuración incorrecta

Nivel de precios: Premium

Corrige este hallazgo:

Este hallazgo requiere que actualices la plantilla de Model Armor para que cumpla con la configuración mínima definida en la jerarquía de recursos.

Notebook Security Scanner

Notebook Security Scanner es un servicio integrado de detección de vulnerabilidades de paquetes de Security Command Center. Después de habilitar Notebook Security Scanner, este analiza automáticamente los notebooks de Colab Enterprise (archivos con la extensión de nombre de archivo ipynb) cada 24 horas para detectar vulnerabilidades en los paquetes de Python y publica estos hallazgos en la página Hallazgos de Security Command Center.

Puedes usar Notebook Security Scanner para los notebooks de Colab Enterprise que se crean en las siguientes regiones: us-central1, us-east4, us-west1 y europe-west4.

Para comenzar a usar Notebook Security Scanner, consulta Habilita y usa Notebook Security Scanner.

Policy Controller

Policy Controller permite la aplicación de políticas programables para tus clústeres de Kubernetes. Estas políticas actúan como protecciones y pueden ayudarte con las prácticas recomendadas, la seguridad y la administración del cumplimiento de los clústeres y la flota.

Si instalas Policy Controller y habilitas cualquiera de los paquetes de Policy Controller, Policy Controller escribe automáticamente los incumplimientos del clúster en Security Command Center como hallazgos de la clase Misconfiguration. La descripción del hallazgo y los próximos pasos en los hallazgos de Security Command Center son los mismos que la descripción de la restricción y los pasos de solución del paquete de Policy Controller correspondiente.

Los hallazgos de Policy Controller provienen de los siguientes paquetes de Policy Controller:

Para encontrar y corregir los hallazgos de Policy Controller, consulta Corrige los hallazgos de Policy Controller.

Motor de riesgo

El motor de riesgo de Security Command Center evalúa la exposición al riesgo de tus implementaciones de Cloud, asigna puntuaciones de exposición a ataques a los hallazgos de vulnerabilidades y a tus recursos de alto valor, y traza las rutas que un atacante potencial podría tomar para llegar a tus recursos de alto valor.

En el nivel Enterprise o Premium de Security Command Center, el motor de riesgo detecta grupos de problemas de seguridad que, cuando ocurren juntos en un patrón particular, crean una ruta a uno o más de tus recursos de alto valor que un atacante determinado podría usar para llegar a esos recursos y vulnerarlos.

Cuando el motor de riesgo detecta una de estas combinaciones, genera un hallazgo de clase TOXIC_COMBINATION. En el hallazgo, el motor de riesgos aparece como la fuente del hallazgo.

El motor de riesgo también identifica los recursos o grupos de recursos comunes en los que convergen varias rutas de ataque y, luego, genera un hallazgo de clase CHOKEPOINT.

Para obtener más información, consulta Descripción general de las combinaciones tóxicas y los puntos críticos.

Security Health Analytics

Security Health Analytics es un servicio de detección integrado de Security Command Center que proporciona análisis administrados de tus recursos en la nube para detectar parámetros de configuración incorrectos comunes.

Cuando se detecta un error de configuración, Security Health Analytics genera un hallazgo. La mayoría de los hallazgos de Security Health Analytics se asignan a controles de estándares de seguridad para que puedas evaluar el cumplimiento.

Security Health Analytics analiza tus recursos en Google Cloud. Si usas el nivel Enterprise y estableces conexiones con otras plataformas de nube, Security Health Analytics también puede analizar tus recursos en esas plataformas de nube.

Según el nivel de servicio de Security Command Center que uses, los detectores disponibles varían:

  • En el nivel Estándar heredado, Security Health Analytics solo incluye un grupo básico de detectores de vulnerabilidades de gravedad media y alta.
  • El nivel Premium incluye todos los detectores de vulnerabilidades para Google Cloud.
  • El nivel Enterprise incluye detectores adicionales para otras plataformas de nube.

Security Health Analytics se habilita automáticamente cuando activas Security Command Center.

Para obtener más información, consulta lo siguiente:

Servicio de postura de seguridad

El servicio de postura de seguridad es un servicio integrado para el nivel Premium de Security Command Center que te permite definir, evaluar y supervisar el estado general de tu seguridad en Google Cloud. Proporciona información sobre cómo se alinea tu entorno con las políticas que defines en tu postura de seguridad.

El servicio de postura de seguridad no está relacionado con el panel de postura de seguridad de GKE, que solo muestra hallazgos en los clústeres de GKE.

Sensitive Data Protection

Sensitive Data Protection es un servicio de Google Cloud completamente administrado que te ayuda a descubrir, clasificar y proteger tus datos sensibles. Puedes usar Sensitive Data Protection para determinar si almacenas información sensible o información de identificación personal (PII), como la siguiente:

  • Nombres de personas
  • Números de tarjetas de crédito
  • Números de identificación nacional o estatal
  • Números de ID de seguros médicos
  • Secrets

En Sensitive Data Protection, cada tipo de datos sensibles que buscas se denomina infoType.

Si configuras tu operación de Sensitive Data Protection para que envíe resultados a Security Command Center, podrás verlos directamente en la sección de Security Command Center de la consola de Google Cloud , además de en la sección de Sensitive Data Protection.

Si usas perímetros de servicio de los Controles del servicio de VPC y quieres descubrir datos sensibles dentro de esos perímetros, consulta Permite el descubrimiento de datos sensibles dentro de los perímetros de servicio. Si no realizas esta tarea, es posible que recibas advertencias.

Latencia del análisis de Sensitive Data Protection

Según el tamaño de tu organización, los hallazgos de Sensitive Data Protection pueden comenzar a aparecer en Security Command Center unos minutos después de que habilites el descubrimiento de datos sensibles. En el caso de organizaciones más grandes o con parámetros de configuración específicos que afectan la generación de hallazgos, puede transcurrir un máximo de 12 horas antes de que aparezcan los hallazgos iniciales en Security Command Center.

Posteriormente, Sensitive Data Protection genera hallazgos en Security Command Center unos minutos después de que el servicio de descubrimiento analiza tus recursos.

Hallazgos de vulnerabilidades del servicio de descubrimiento de Sensitive Data Protection

El servicio de descubrimiento de Sensitive Data Protection te ayuda a determinar si almacenas datos altamente sensibles que no están protegidos.

Categoría Resumen

Nombre de categoría en la API:

PUBLIC_SENSITIVE_DATA

Descripción del hallazgo: El recurso especificado tiene datos de alta sensibilidad a los que puede acceder cualquier persona en Internet.

Recursos admitidos:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket de Amazon S3
  • Contenedor de Azure BLOB Storage

Remediación:

Para los datos de Google Cloud , quita allUsers y allAuthenticatedUsers de la política de IAM del recurso de datos.

Para los datos de Amazon S3, configura los parámetros de bloqueo del acceso público o actualiza la LCA del objeto para denegar el acceso de lectura público. Para obtener más información, consulta Configura los parámetros de bloqueo de acceso público para tus buckets de S3 y Configura las LCA en la documentación de AWS.

En el caso de los datos de Azure Blob Storage, quita el acceso público al contenedor y a los blobs. Para obtener más información, consulta Descripción general: Corrige el acceso de lectura anónimo para los datos de BLOB en la documentación de Azure.

Estándares de cumplimiento: No asignados

Nombre de categoría en la API:

SECRETS_IN_ENVIRONMENT_VARIABLES

Descripción del hallazgo: Hay secretos, como contraseñas, tokens de autenticación y credenciales de Google Cloud , en variables de entorno.

Para habilitar este detector, consulta Informa secretos en variables de entorno a Security Command Center en la documentación de Sensitive Data Protection.

Recursos admitidos:

Remediación:

En el caso de las variables de entorno de Cloud Run Functions, quita el Secret de la variable de entorno y, en su lugar, almacénalo en Secret Manager.

Para las variables de entorno de revisión del servicio de Cloud Run, quita todo el tráfico de la revisión y, luego, bórrala.

Estándares de cumplimiento:

  • CIS para GCP Foundation 1.3: 1.18
  • CIS para GCP Foundation 2.0: 1.18

Nombre de categoría en la API:

SECRETS_IN_STORAGE

Descripción del hallazgo: Hay secretos, como contraseñas, tokens de autenticación y credenciales de la nube, en el recurso especificado.

Recursos admitidos:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket de Amazon S3
  • Contenedor de Azure BLOB Storage

Remediación:

  1. Para los datos de Google Cloud , usa Sensitive Data Protection para ejecutar un análisis de inspección profunda del recurso especificado y, así, identificar todos los recursos afectados. Para los datos de Cloud SQL, expórtalos a un archivo CSV o AVRO en un bucket de Cloud Storage y ejecuta un análisis de inspección profunda del bucket.

    Para los datos de otros proveedores de servicios en la nube, inspecciona de forma manual el bucket o contenedor especificado.

  2. Quita los secretos detectados.
  3. Considera restablecer las credenciales.
  4. Para los datos de Google Cloud , considera almacenar los secretos detectados en Secret Manager.

Estándares de cumplimiento: No asignados

Hallazgos de configuración incorrecta del servicio de descubrimiento de Sensitive Data Protection

El servicio de descubrimiento de Sensitive Data Protection te ayuda a determinar si tienes parámetros de configuración incorrectos que podrían exponer datos sensibles.

Categoría Resumen

Nombre de categoría en la API:

SENSITIVE_DATA_CMEK_DISABLED

Descripción del hallazgo: El recurso especificado tiene datos de sensibilidad alta o moderada, y el recurso no usa una clave de encriptación administrada por el cliente (CMEK).

Recursos admitidos:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket de Amazon S3
  • Contenedor de Azure BLOB Storage

Remediación:

Estándares de cumplimiento: No asignados

Hallazgos de observación de Sensitive Data Protection

En esta sección, se describen los hallazgos de observación que genera Sensitive Data Protection en Security Command Center.

El servicio de descubrimiento de Sensitive Data Protection te ayuda a determinar si tus datos contienen infoTypes específicos y dónde residen en tu organización, carpetas y proyectos. Genera las siguientes categorías de hallazgos de observación en Security Command Center:

Categoría Resumen

Nombre de categoría en la API:

DATA_SENSITIVITY

Descripción del hallazgo: Es una indicación del nivel de sensibilidad de los datos en un recurso de datos en particular. Los datos son sensibles si contienen PII o algún otro elemento que podría requerir control o administración adicionales. La gravedad del hallazgo es el nivel de sensibilidad que calculó Sensitive Data Protection cuando se generó el perfil de datos.

Nombre de categoría en la API:

DATA_RISK

Descripción del hallazgo: Es el riesgo asociado con los datos en su estado actual. Cuando se calcula el riesgo de los datos, Sensitive Data Protection considera el nivel de sensibilidad de los datos en el recurso de datos y la presencia de controles de acceso para proteger esos datos. La gravedad del hallazgo es el nivel de riesgo de los datos que Sensitive Data Protection calculó cuando generó el perfil de datos.

Para obtener información sobre cómo enviar resultados de perfiles de datos a Security Command Center, consulta Habilita el descubrimiento de datos sensibles.

Hallazgos de observación del servicio de inspección de Sensitive Data Protection

Un trabajo de inspección de Sensitive Data Protection identifica cada instancia de datos de un Infotipo específico en un sistema de almacenamiento, como un bucket de Cloud Storage o una tabla de BigQuery. Por ejemplo, puedes ejecutar un trabajo de inspección que busque todas las cadenas que coincidan con el detector de Infotipo CREDIT_CARD_NUMBER en un bucket de Cloud Storage.

Para cada detector de Infotipo que tenga una o más coincidencias, Sensitive Data Protection genera un hallazgo correspondiente de Security Command Center. La categoría del hallazgo es el nombre del detector de Infotipo que tuvo una coincidencia, por ejemplo, Credit card number. El hallazgo incluye la cantidad de cadenas coincidentes que se detectaron en el texto o las imágenes del recurso.

Por motivos de seguridad, las cadenas reales que se detectaron no se incluyen en el hallazgo. Por ejemplo, un hallazgo de Credit card number muestra cuántos números de tarjetas de crédito se encontraron, pero no muestra los números reales de las tarjetas de crédito.

Debido a que hay más de 150 detectores de Infotipo integrados en Sensitive Data Protection, no se enumeran aquí todas las categorías posibles de hallazgos de Security Command Center. Para obtener una lista completa de los detectores de Infotipo, consulta la referencia del detector de infoTypes.

Para obtener información sobre cómo enviar los resultados de un trabajo de inspección a Security Command Center, consulta Envía los resultados del trabajo de inspección de Sensitive Data Protection a Security Command Center.

Revisa los hallazgos de Sensitive Data Protection en la consola

  1. En la consola de Google Cloud , ve a la página Resultados de Security Command Center.

    Acceder a Hallazgos

  2. Selecciona tu organización o proyecto de Google Cloud .
  3. En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Sensitive Data Protection. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
  4. Para ver los detalles de un hallazgo específico, haz clic en su nombre en la columna Categoría. Se abre el panel de detalles para el hallazgo y se muestra la pestaña Resumen.
  5. En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si están disponibles, los pasos que puedes seguir para corregir el hallazgo.
  6. Para ver la definición completa de JSON del hallazgo, haz clic en la pestaña JSON (opcional).

VM Manager

VM Manager es un conjunto de herramientas que se pueden usar en la administración de sistemas operativos para flotas de máquinas virtuales (VM) grandes que ejecutan Windows y Linux en Compute Engine.

Para usar VM Manager con activaciones a nivel de proyecto de Security Command Center Premium, activa el nivel heredado de Security Command Center Standard en la organización superior.

Si habilitas VM Manager con el nivel Premium de Security Command Center, VM Manager escribe automáticamente los hallazgos de high y critical de sus informes de vulnerabilidades, que están en versión preliminar, en Security Command Center. En los informes, se identifican las vulnerabilidades en los sistemas operativos (SO) que se instalan en las VMs, incluidas las vulnerabilidades y exposiciones comunes (CVE).

Los informes de vulnerabilidades no están disponibles para el nivel heredado de Security Command Center Standard.

Los hallazgos simplifican el proceso de uso de la función de cumplimiento de parches de VM Manager (versión preliminar). Cuando se integra en el nivel Premium de Security Command Center, la función habilita la visibilidad a nivel de la organización y la administración de parches en todos tus proyectos. Aunque los trabajos de aplicación de parches individuales se configuran en VM Manager a nivel de proyecto, Security Command Center proporciona una vista consolidada que te ayuda a administrar los trabajos de aplicación de parches en toda tu organización.

Para corregir los hallazgos de VM Manager, consulta Corrige los hallazgos de VM Manager.

Para evitar que se escriban informes de vulnerabilidad en Security Command Center, consulta Silencia los hallazgos de VM Manager.

Las vulnerabilidades de este tipo se relacionan con paquetes instalados de sistema operativo en las VM de Compute Engine compatibles.

Detector Resumen Configuración de análisis de elementos

Nombre de categoría en la API: OS_VULNERABILITY

Descripción del hallazgo: VM Manager detectó una vulnerabilidad en el paquete del sistema operativo (SO) instalado de una VM de Compute Engine.

Nivel de precios: Premium

Recursos admitidos

compute.googleapis.com/Instance

Corrige este hallazgo

Los informes de vulnerabilidad de VM Manager detallan vulnerabilidades en los paquetes del sistema operativo instalados para las VMs de Compute Engine, incluidos Vulnerabilidades y exposiciones comunes (CVE).

Para obtener una lista completa de los sistemas operativos compatibles, consulta Detalles de los sistemas operativos.

Los hallazgos aparecen en Security Command Center poco después de que se detectan vulnerabilidades. Los informes de vulnerabilidad en VM Manager se generan de la siguiente manera:

  • Cuando se instala o actualiza un paquete en el sistema operativo de una VM, es posible que veas información de vulnerabilidades y riesgos comunes (CVE) para la VM en Security Command Center en un plazo de dos horas después del cambio.
  • Cuando se publican nuevos avisos de seguridad para un sistema operativo, las CVE actualizadas suelen estar disponibles en un plazo de 24 horas después de que el proveedor del sistema operativo publica el aviso.

Evaluación de vulnerabilidades para AWS

El servicio de Evaluación de vulnerabilidades para Amazon Web Services (AWS) detecta vulnerabilidades de software en tus cargas de trabajo que se ejecutan en máquinas virtuales (VMs) de EC2 en la plataforma de nube de AWS.

Para cada vulnerabilidad detectada, la evaluación de vulnerabilidades para AWS genera un hallazgo de clase Vulnerability en la categoría de hallazgo Software vulnerability en Security Command Center.

El servicio de Evaluación de vulnerabilidades para AWS analiza instantáneas de las instancias de máquinas de EC2 en ejecución, por lo que las cargas de trabajo de producción no se ven afectadas. Este método de análisis se llama análisis de discos sin agentes, porque no se instalan agentes en los destinos del análisis.

Para obtener más información, consulta lo siguiente:

Evaluación de vulnerabilidades para Google Cloud

El servicio de evaluación de vulnerabilidades para Google Cloud detecta vulnerabilidades de software en los siguientes recursos de la plataforma de Google Cloud :

  • Ejecuta instancias de VM de Compute Engine
  • Nodos en clústeres de GKE Standard
  • Contenedores que se ejecutan en clústeres de GKE Standard y GKE Autopilot

Para cada vulnerabilidad detectada, la evaluación de vulnerabilidades de Google Cloud genera un hallazgo de clase Vulnerability en la categoría de hallazgo Software vulnerability o OS vulnerability en Security Command Center.

El servicio de evaluación de vulnerabilidades para Google Cloud analiza tus instancias de VM de Compute Engine clonando sus discos aproximadamente cada 12 horas, activándolos en una instancia de VM segura y evaluándolos con el analizador SCALIBR.

Para obtener más información, consulta Evaluación de vulnerabilidades para Google Cloud.

Web Security Scanner

Web Security Scanner proporciona análisis de vulnerabilidades web administradas y personalizadas para aplicaciones web públicas de App Engine, GKE y Compute Engine.

Análisis administrados

Security Command Center configura y administra los análisis administrados de Web Security Scanner. Los análisis administrados se ejecutan automáticamente una vez por semana para detectar y analizar extremos web públicas. Estos análisis no usan la autenticación y envían solicitudes solo de GET para que no envíen formularios en sitios web activos.

Los análisis administrados se ejecutan por separado de los personalizados.

Si Security Command Center se activa a nivel de la organización, puedes usar los análisis administrados para administrar de forma centralizada la detección básica de vulnerabilidades de las aplicaciones web en los proyectos de tu organización, sin tener que involucrar a los equipos de proyectos individuales. Cuando se detectan los resultados, puedes trabajar con esos equipos para configurar análisis personalizados más completos.

Cuando habilitas Web Security Scanner como servicio, los hallazgos de los análisis administrados están disponibles automáticamente en la página Vulnerabilidades de Security Command Center y en los informes relacionados. Para obtener información sobre cómo habilitar los análisis administrados de Web Security Scanner, consulta Configura los servicios de Security Command Center.

Los análisis administrados solo admiten aplicaciones que usan el puerto predeterminado, que es el 80 para las conexiones HTTP y el 443 para las conexiones HTTPS. Si tu aplicación usa un puerto no predeterminado, realiza un análisis personalizado.

Análisis personalizados

Los análisis personalizados de Web Security Scanner proporcionan información detallada sobre los resultados de vulnerabilidades de la aplicación, como las bibliotecas desactualizadas, las secuencias de comandos entre sitios o el uso de contenido mixto.

Las exploraciones personalizadas se definen a nivel de proyecto.

Los resultados de análisis personalizados están disponibles en Security Command Center después de completar la guía para configurar análisis personalizados de Web Security Scanner.

Detectores y cumplimiento

Web Security Scanner admite categorías en las OWASP Top Ten, un documento que clasifica y proporciona orientación de solución para los 10 riesgos de seguridad de aplicaciones web más importantes, según lo determinado por Abre el proyecto de seguridad para aplicaciones web (OWASP). Para obtener orientación sobre cómo mitigar los riesgos de OWASP, consulta Mitiga los 10 riesgos principales de OWASP de 2025 en Google Cloud.

La asignación de cumplimiento se incluye como referencia y no se proporciona ni se revisa mediante OWASP Foundation.

Esta funcionalidad solo está diseñada para que supervises los incumplimientos de los controles de cumplimiento. Las asignaciones no se proporcionan a fin de usarlas como base, o como sustituto de la auditoría, certificación o informe de cumplimiento de los productos o servicios con cualquier comparativa o estándar regulatoria o industrial.

Para obtener más información, consulta Descripción general de Web Security Scanner.

Servicios de detección de amenazas

Los servicios de detección de amenazas incluyen servicios integrados que detectan eventos que podrían indicar eventos potencialmente dañinos, como recursos vulnerados o ciberataques.

Detección de amenazas a Agent Platform

La Detección de amenazas de Agent Platform proporciona detección de amenazas en el entorno de ejecución para los agentes implementados en Agent Runtime. Supervisa los agentes en ejecución para detectar posibles ataques y genera hallazgos en Security Command Center.

La detección de amenazas de Agent Platform puede generar hallazgos para Agent Runtime, incluidas las siguientes categorías:

  • Comando y control: Se detectó una herramienta de esteganografía
  • Acceso a credenciales: Busca credenciales de Google Cloud
  • Acceso a credenciales: Reconocimiento de claves GPG
  • Acceso a las credenciales: Busca claves privadas o contraseñas
  • Evasión de defensa: Línea de comandos de archivo ELF en Base64
  • Evasión de defensa: Se ejecutó una secuencia de comandos de Python codificada en Base64
  • Evasión de defensa: Se ejecutó una secuencia de comandos de shell codificada en Base64
  • Evasión de defensa: Se detectó el lanzamiento de la herramienta de compilador de código en el contenedor
  • Ejecución: Se detectó la ejecución remota de código de Netcat en un contenedor
  • Ejecución: Posible ejecución de comandos arbitrarios con CUPS (CVE-2024-47177)
  • Ejecución: Se detectó una posible ejecución remota de comandos
  • Ejecución: Se detectó la ejecución del programa con entorno de proxy HTTP no permitido
  • Ejecución: Se detectó una shell inversa de Socat
  • Ejecución: Se cargó un objeto compartido de OpenSSL sospechoso
  • Robo de datos: Se detectó el lanzamiento de herramientas de copia remota de archivos en el contenedor
  • Impacto: Detección de líneas de comandos maliciosas
  • Impacto: Quita datos masivos del disco
  • Impacto: Actividad de minería de criptomonedas sospechosa con el protocolo Stratum
  • Elevación de privilegios: Abuso de sudo para la elevación de privilegios (CVE-2019-14287)
  • Elevación de privilegios: Vulnerabilidad de elevación de privilegios locales de Polkit (CVE-2021-4034)
  • Elevación de privilegios: Se detectó una posible elevación de privilegios con sudo (CVE-2021-3156)
  • Ejecución: Se ejecutó un código de Python malicioso
  • Ejecución: Escape del contenedor
  • Ejecución: Se detectó la ejecución de la herramienta de ataque de Kubernetes
  • Ejecución: Se detectó la ejecución de la herramienta de reconocimiento local
  • Impacto: Se ejecutó una secuencia de comandos maliciosa
  • Impacto: Se detectó una URL maliciosa
  • Ejecución: Shell secundaria inesperada

Para obtener más información, consulta Detección de amenazas de Agent Platform.

Detección de anomalías

La detección de anomalías es un servicio integrado que usa indicadores de comportamiento externos al sistema. Muestra información detallada sobre las anomalías de seguridad detectadas en tus cuentas de servicio, como posibles filtraciones de credenciales. La detección de anomalías se habilita automáticamente cuando activas el nivel Premium o Standard heredado de Security Command Center, y los hallazgos están disponibles en la consola de Google Cloud .

Los hallazgos de la detección de anomalías incluyen lo siguiente:

Nombre de la anomalía Categoría Descripción
account_has_leaked_credentials

Las credenciales para una cuenta de servicio de Google Cloud se filtran accidentalmente en línea o se ven comprometidas.

Gravedad: Crítica

Se filtraron credenciales de la cuenta

GitHub notificó a Security Command Center que las credenciales que se usaron para una confirmación parecen ser las credenciales de una cuenta de servicio de Identity and Access Management deGoogle Cloud .

La notificación incluye el nombre de la cuenta de servicio y el identificador de la clave privada. Google Cloud también envía una notificación por correo electrónico a tu contacto designado para problemas de seguridad y privacidad.

Para solucionar este problema, realiza una o más de las siguientes acciones:

  • Identificar al usuario legítimo de la clave
  • Rota la clave.
  • Quita la llave.
  • Investiga las acciones que se realizaron con la clave después de que se filtró para asegurarte de que ninguna de ellas haya sido maliciosa.

JSON: Hallazgo de credenciales de cuenta filtradas

{
  "findings": {
    "access": {},
    "assetDisplayName": "PROJECT_NAME",
    "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID",
    "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "category": "account_has_leaked_credentials",
    "contacts": {
      "security": {
        "contacts": [
          {
            "email": "EMAIL_ADDRESS"
          }
        ]
      }
    },
    "createTime": "2022-08-05T20:59:41.022Z",
    "database": {},
    "eventTime": "2022-08-05T20:59:40Z",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat",
    "indicator": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID",
    "parentDisplayName": "Cloud Anomaly Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "severity": "CRITICAL",
    "sourceDisplayName": "Cloud Anomaly Detection",
    "state": "ACTIVE",
    "vulnerability": {},
    "workflowState": "NEW"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "display_name": "PROJECT_NAME",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "project_display_name": "PROJECT_NAME",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": []
  },
  "sourceProperties": {
    "project_identifier": "PROJECT_ID",
    "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
    "finding_type": "Potential compromise of a resource in your organization.",
    "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.",
    "action_taken": "Notification sent",
    "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID",
    "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json"
  }
}

Container Threat Detection

Container Threat Detection puede detectar los ataques más comunes en el entorno de ejecución del contenedor y alertarte en Security Command Center y, de forma opcional, en Cloud Logging. Container Threat Detection incluye varias funciones de detección, una herramienta de análisis y una API.

La instrumentación de detección de Container Threat Detection recopila el comportamiento de bajo nivel en el kernel invitado y realiza el procesamiento de lenguaje natural en el código para detectar los siguientes eventos:

  • Added Binary Executed
  • Added Library Loaded
  • Command and Control: Steganography Tool Detected (Vista previa)
  • Credential Access: Find Google Cloud Credentials
  • Credential Access: GPG Key Reconnaissance
  • Credential Access: Search Private Keys or Passwords
  • Defense Evasion: Base64 ELF File Command Line
  • Defense Evasion: Base64 Encoded Python Script Executed
  • Defense Evasion: Base64 Encoded Shell Script Executed
  • Defense Evasion: Launch Code Compiler Tool In Container (Vista previa)
  • Execution: Added Malicious Binary Executed
  • Execution: Added Malicious Library Loaded
  • Execution: Built in Malicious Binary Executed
  • Execution: Container Escape
  • Execution: Fileless Execution in /memfd:
  • Execution: Ingress Nightmare Vulnerability Execution (Vista previa)
  • Execution: Kubernetes Attack Tool Execution
  • Execution: Local Reconnaissance Tool Execution
  • Execution: Malicious Python executed
  • Execution: Modified Malicious Binary Executed
  • Execution: Modified Malicious Library Loaded
  • Execution: Netcat Remote Code Execution In Container
  • Execution: Possible Arbitrary Command Execution through CUPS (CVE-2024-47076)
  • Execution: Possible Remote Command Execution Detected (Vista previa)
  • Execution: Program Run with Disallowed HTTP Proxy Env
  • Execution: Socat Reverse Shell Detected
  • Execution: Suspicious OpenSSL Shared Object Loaded
  • Exfiltration: Launch Remote File Copy Tools in Container
  • Impact: Detect Malicious Cmdlines (Vista previa)
  • Impact: Remove Bulk Data From Disk
  • Impact: Suspicious crypto mining activity using the Stratum Protocol
  • Malicious Script Executed
  • Malicious URL Observed
  • Privilege Escalation: Abuse of Sudo For Privilege Escalation (CVE-2019-14287)
  • Privilege Escalation: Fileless Execution in /dev/shm
  • Privilege Escalation: Polkit Local Privilege Escalation Vulnerability (CVE-2021-4034)
  • Privilege Escalation: Sudo Potential Privilege Escalation (CVE-2021-3156)
  • Reverse Shell
  • Unexpected Child Shell

Obtén más información sobre Container Threat Detection.

Event Threat Detection

Event Threat Detection usa datos de registro dentro de tus sistemas. Supervisa el flujo de Cloud Logging para los proyectos y consume los registros a medida que están disponibles. Cuando se detecta una amenaza, Detección de eventos de amenazas escribe un resultado en Security Command Center y en un proyecto de Cloud Logging. Event Threat Detection se habilita automáticamente cuando activas Security Command Center, y los hallazgos están disponibles en la consola deGoogle Cloud .

Detectores de Event Threat Detection

Obtén más información sobre Event Threat Detection.

Google Cloud Armor

Cloud Armor ayuda a proteger tu aplicación con el filtrado de capa 7. Cloud Armor limpia las solicitudes entrantes en busca de ataques web comunes o de otros atributos de capa 7 para bloquear el tráfico antes de que llegue a tus servicios de backend o buckets de backend con balanceo de cargas.

Cloud Armor exporta dos hallazgos a Security Command Center:

Servicio de acciones sensibles

El Servicio de acciones sensibles es un servicio integrado de Security Command Center que detecta cuándo se realizan acciones en tu organización, carpetas y proyectos de Google Cloud que podrían ser perjudiciales para tu empresa si las realiza un agente malicioso.

El servicio de acciones sensibles siempre está habilitado y supervisa automáticamente todos los registros de auditoría de actividad del administrador de tu organización en busca de acciones sensibles. Los registros de auditoría de actividad del administrador siempre están activados, por lo que no es necesario habilitarlos ni configurarlos.

Para obtener más información sobre el Servicio de acciones sensibles, consulta Descripción general del Servicio de acciones sensibles.

Virtual Machine Threat Detection

Virtual Machine Threat Detection es un servicio integrado de Security Command Center. Este analiza las máquinas virtuales para detectar aplicaciones potencialmente maliciosas, como software de minería de criptomonedas, rootkits en modo kernel y malware que se ejecuta en entornos de nube vulnerados.

VM Threat Detection forma parte del paquete de detección de amenazas de Security Command Center y está diseñado para complementar las capacidades actuales de Event Threat Detection y Container Threat Detection.

Para obtener más información sobre la detección de amenazas a VM, consulta Descripción general de VM Threat Detection.

Resultados de amenazas de VM Threat Detection

VM Threat Detection puede generar los siguientes resultados de amenazas.

Hallazgos de amenazas de minería de criptomonedas

VM Threat Detection detecta las siguientes categorías de hallazgos a través de la coincidencia de hashes o las reglas de YARA.

Resultados de amenazas de minería de criptomonedas de VM Threat Detection
Categoría Módulo Descripción
CRYPTOMINING_HASH Hace coincidir los hashes de memoria de los programas en ejecución con los hashes de memoria conocidos del software de minería de criptomonedas. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.
CRYPTOMINING_YARA Coincide con los patrones de memoria, como las constantes de prueba de trabajo, que el software de minería de criptomonedas usa. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.
  • CRYPTOMINING_HASH
  • CRYPTOMINING_YARA
 Identifica una amenaza que detectaron los módulos CRYPTOMINING_HASH y CRYPTOMINING_YARA. Para obtener más información, consulta Detecciones combinadas. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.

Hallazgos de amenazas de rootkits en modo kernel

VM Threat Detection analiza la integridad del kernel en el entorno de ejecución para detectar técnicas de evasión comunes que usa el malware.

El módulo KERNEL_MEMORY_TAMPERING detecta amenazas realizando una comparación de hash en el código del kernel y la memoria de datos de solo lectura del kernel de una máquina virtual.

El módulo KERNEL_INTEGRITY_TAMPERING detecta amenazas verificando la integridad de las estructuras de datos importantes del kernel.

Resultados de amenazas de rootkit en modo kernel de VM Threat Detection
Categoría Módulo Descripción
Rootkit
  • KERNEL_MEMORY_TAMPERING
  • KERNEL_INTEGRITY_TAMPERING
 Hay una combinación de indicadores que coinciden con un rootkit en modo kernel conocido. Para recibir hallazgos de esta categoría, asegúrate de que ambos módulos estén habilitados. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.
Manipulación de la memoria del kernel
KERNEL_MEMORY_TAMPERING Se detectaron modificaciones inesperadas en la memoria de datos de solo lectura del kernel. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.
Manipulación de la integridad del kernel
KERNEL_INTEGRITY_TAMPERING Hay puntos ftrace presentes con devoluciones de llamada que apuntan a regiones que no se encuentran en el rango de código previsto del kernel ni del módulo. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.
KERNEL_INTEGRITY_TAMPERING Hay controladores de interrupciones que no se encuentran en las regiones esperadas del kernel o del código del módulo. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.
KERNEL_INTEGRITY_TAMPERING Hay páginas de código de kernel que no se encuentran en las regiones esperadas del kernel o del código del módulo. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.
KERNEL_INTEGRITY_TAMPERING Hay puntos kprobe presentes con devoluciones de llamada que apuntan a regiones que no se encuentran en el rango de código previsto del kernel ni del módulo. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.
KERNEL_INTEGRITY_TAMPERING Hay procesos inesperados en la cola de ejecución del programador. Estos procesos están en la cola de ejecución, pero no en la lista de tareas del proceso. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.
KERNEL_INTEGRITY_TAMPERING Hay controladores de llamadas del sistema que no se encuentran en las regiones esperadas del kernel o del código del módulo. De forma predeterminada, los hallazgos se clasifican como de gravedad Alta.

Errores

Los detectores de errores pueden ayudarte a detectar errores en la configuración que evitan que las fuentes de seguridad generen resultados. La fuente de seguridad Security Command Center genera los resultados de error y estos tienen la clase de resultado SCC errors.

Acciones involuntarias

Las siguientes categorías de resultados representan errores posiblemente causados por acciones no intencionales.

Acciones involuntarias
Nombre de categoría Nombre de la API Resumen Gravedad
API_DISABLED

Descripción de los resultados: La API requerida está inhabilitada para el proyecto. El servicio inhabilitado no puede enviar resultados a Security Command Center.

Nivel de precios: Premium o Estándar

Elementos admitidos
cloudresourcemanager.googleapis.com/Project

Análisis por lotes: Cada 60 horas

Corrige este resultado

Crítico
APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES

Descripción del hallazgo: Se definen parámetros de configuración de valor de recursos para las simulaciones de rutas de ataque, pero no coinciden con ninguna instancia de recurso de tu entorno. En su lugar, las simulaciones usan el conjunto de recursos de alto valor predeterminado.

Este error puede deberse a cualquiera de las siguientes causas:

  • Ninguno de los parámetros de configuración de valores de recursos coincide con ninguna instancia de recurso.
  • Uno o más parámetros de configuración de valor de recursos que especifican NONE anulan todos los demás parámetros de configuración válidos.
  • Todos los parámetros de configuración de valores de recursos definidos especifican un valor de NONE.

Nivel de precios: Premium

Elementos admitidos
cloudresourcemanager.googleapis.com/Organizations

Análisis por lotes: Antes de cada simulación de ruta de ataque.

Corrige este hallazgo

Crítico
APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED

Descripción del hallazgo: En la última simulación de ruta de ataque, la cantidad de instancias de recursos de alto valor, según lo identificado por los parámetros de configuración de valores de recursos, superó el límite de 1,000 instancias de recursos en un conjunto de recursos de alto valor. Como resultado, Security Command Center excluyó la cantidad excedente de instancias del conjunto de recursos de alto valor.

La cantidad total de instancias que coinciden y la cantidad total de instancias excluidas del conjunto se identifican en el hallazgo de SCC Error en la consola de Google Cloud .

Las puntuaciones de exposición a ataques en cualquier hallazgo que afecte a las instancias de recursos excluidas no reflejan la designación de alto valor de las instancias de recursos.

Nivel de precios: Premium

Elementos admitidos
cloudresourcemanager.googleapis.com/Organizations

Análisis por lotes: Antes de cada simulación de ruta de ataque.

Corrige este hallazgo

Alta
KTD_IMAGE_PULL_FAILURE

Descripción del hallazgo: No se puede habilitar Container Threat Detection en el clúster porque no se puede extraer (descargar) una imagen de contenedor obligatoria de gcr.io, el host de imágenes de Container Registry. La imagen es necesaria para implementar el DaemonSet de Container Threat Detection que requiere Container Threat Detection.

El intento de implementar el DaemonSet de Container Threat Detection generó el siguiente error:

Failed to pull image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": rpc error: code = NotFound desc = failed to pull and unpack image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": failed to resolve reference "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00: not found

Nivel de precios: Premium

Elementos compatibles
container.googleapis.com/Cluster

Análisis por lotes: cada 30 minutos

Corrige este resultado

Crítico
KTD_BLOCKED_BY_ADMISSION_CONTROLLER

Descripción del hallazgo: No se puede habilitar Container Threat Detection en un clúster de Kubernetes. Un controlador de admisión de terceros impide la implementación de un objeto DaemonSet de Kubernetes que requiere Container Threat Detection.

Cuando se visualizan en la consola de Google Cloud , los detalles del hallazgo incluyen el mensaje de error que devolvió Google Kubernetes Engine cuando Container Threat Detection intentó implementar un objeto DaemonSet de Container Threat Detection.

Nivel de precios: Premium

Elementos compatibles
container.googleapis.com/Cluster

Análisis por lotes: cada 30 minutos

Corrige este resultado

Alta
KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descripción del hallazgo: A una cuenta de servicio le faltan los permisos necesarios para Container Threat Detection. Container Threat Detection podría dejar de funcionar de forma correcta porque no se puede habilitar, actualizar ni inhabilitar la instrumentación de detección.

Nivel de precios: Premium

Elementos admitidos
cloudresourcemanager.googleapis.com/Project

Análisis por lotes: cada 30 minutos

Corrige este resultado

Crítica
GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descripción de los hallazgos: Container Threat Detection no puede generar hallazgos para un clúster de Google Kubernetes Engine, ya que a la cuenta de servicio predeterminada de GKE en el clúster le faltan permisos. Esto impide que Container Threat Detection se habilite de forma correcta en el clúster.

Nivel de precios: Premium

Elementos compatibles
container.googleapis.com/Cluster

Análisis por lotes: todas las semanas

Corrige este resultado

Alta
MISCONFIGURED_CLOUD_LOGGING_EXPORT

Descripción de los resultados: El proyecto configurado para la exportación continua a Cloud Logging no está disponible. Security Command Center no puede enviar resultados a Logging.

Nivel de precios: Premium

Elementos admitidos
cloudresourcemanager.googleapis.com/Organization

Análisis por lotes: cada 30 minutos

Corrige este resultado

Alta
VPC_SC_RESTRICTION

Descripción del hallazgo: Security Health Analytics no puede producir ciertos hallazgos para un proyecto. El proyecto está protegido por un perímetro de servicio, y la cuenta de servicio de Security Command Center no tiene acceso al perímetro.

Nivel de precios: Premium o Estándar

Elementos admitidos
cloudresourcemanager.googleapis.com/Project

Análisis por lotes: Cada 6 horas

Corrige este resultado

Alta
EXTERNAL_EXPOSURE_VPC_SC_RESTRICTION

Descripción del hallazgo: La exposición externa no puede realizar análisis ni generar hallazgos para un proyecto. El proyecto está protegido por un perímetro de servicio, y el agente de servicio de Exposición externa no tiene acceso al perímetro.

Nivel de precios: Premium

Elementos admitidos
cloudresourcemanager.googleapis.com/Project

Análisis por lotes: Cada 12 horas

Corrige este hallazgo

Alta
SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descripción del resultado: A la cuenta de servicio de Security Command Center le faltan los permisos necesarios para funcionar de forma correcta. No se producen resultados.

Nivel de precios: Premium o Estándar

Recursos admitidos

Análisis por lotes: cada 30 minutos

Corrige este resultado

Crítica

Para obtener más información, consulta Errores de Security Command Center.

Integración de Application Design Center

Puedes integrar evaluaciones de seguridad proactivas directamente en el ciclo de vida del desarrollo de tu aplicación con Application Design Center (App Design Center) con Security Command Center.

Esta integración se enfoca en los siguientes conceptos principales.

Hallazgos en el tiempo de diseño y de ejecución

  • Hallazgos en el momento del diseño: Se originan a partir de análisis de plantillas de infraestructura como código (IaC) y aplicaciones dentro del Centro de diseño de apps antes de que se implementen los recursos. Los hallazgos de tiempo de diseño se envían a Security Command Center a pedido cuando implementas una aplicación. No hay un análisis periódico automático de los diseños de las aplicaciones. Para obtener más información, consulta Retención de datos.
  • Hallazgos del entorno de ejecución: Se originan en los recursos que se implementan en tu entorno de nube.

Security Command Center muestra ambos tipos de hallazgos para ayudar a proporcionar una vista unificada de la postura de seguridad de tu aplicación.

Aplicaciones administradas y no administradas

Security Command Center usa los siguientes términos para diferenciar las aplicaciones según cómo se implementan:

Aplicaciones administradas
Son las aplicaciones que diseñas con App Design Center. Estas aplicaciones admiten evaluaciones en tiempo de diseño.
Aplicaciones no administradas
Son aplicaciones que se registran en App Hub, pero que no administra App Design Center. Estas aplicaciones admiten la supervisión del entorno de ejecución y la priorización de riesgos en Security Command Center, pero no admiten las evaluaciones en tiempo de diseño.

Puntos de evaluación previos a la implementación

Puedes realizar evaluaciones de seguridad en varias etapas del ciclo de vida de la aplicación en el Centro de diseño de apps.

  1. Fase de diseño: Evaluaciones a pedido en App Design Center cuando editas una plantilla o aplicación.
  2. Fase de publicación: Evaluaciones automáticas en App Design Center cuando publicas plantillas en un catálogo de servicios.
  3. Fase de implementación: Es una verificación de evaluación final antes de aprovisionar recursos.

Los hallazgos en tiempo de diseño solo se envían a Security Command Center cuando se implementa la aplicación.

Revisa los hallazgos de la evaluación de seguridad del ciclo de vida de la aplicación en la consola

  1. En la consola de Google Cloud , ve a la página Resultados de Security Command Center.

    Acceder a Hallazgos

  2. Selecciona tu organización o proyecto de Google Cloud .
  3. En la sección Filtros rápidos, en la subsección Nombre visible de la fuente, selecciona Application Design Center. Los resultados de la consulta de hallazgos se actualizan para mostrar solo los hallazgos de esta fuente.
  4. Para ver los detalles de un hallazgo específico, haz clic en su nombre en la columna Categoría. Se abre el panel de detalles para el hallazgo y se muestra la pestaña Resumen.
  5. En la pestaña Resumen, revisa los detalles del hallazgo, incluida la información sobre lo que se detectó, el recurso afectado y, si están disponibles, los pasos que puedes seguir para corregir el hallazgo.
  6. Para ver la definición completa de JSON del hallazgo, haz clic en la pestaña JSON (opcional).

App Hub

Security Command Center y Compliance Manager te permiten ver los hallazgos, los problemas y la información de cumplimiento de los recursos dentro de una aplicación específica de App Hub. Puedes filtrar las vistas de investigación para ver los datos solo de los recursos que están registrados en una aplicación de App Hub.

Puedes filtrar en las siguientes vistas de investigación:

  • Panel Resumen de riesgos > Todos los riesgos
  • Panel Resumen de riesgos > Datos
  • Página Resultados
  • Página Problemas
  • Pestaña Cumplimiento > Supervisar (nuevo)
  • Página Cumplimiento > Supervisar (nuevo) > Detalles del framework

Cuando veas los datos a nivel de la organización, puedes usar el menú Seleccionar app para filtrar la vista. En este menú, se enumeran las aplicaciones que se crean en App Hub y se implementan en la misma organización en la que Security Command Center está activo. La información del menú Seleccionar app se recupera de Cloud Asset Inventory y App Hub.

El menú Seleccionar app no está disponible cuando se consultan los datos de un solo proyecto o una sola carpeta.

¿Qué sigue?