Escolha os serviços que serão ativados

Este documento contém uma lista dos serviços de detecção, às vezes também chamados de fontes de segurança, que o Security Command Center usa para detectar problemas de segurança nos ambientes de nuvem.

Quando esses serviços detectam um problema, eles geram uma descoberta, que é um registro que identifica o problema de segurança e fornece as informações necessárias para priorizar e resolver o problema.

É possível visualizar as descobertas no console do Google Cloud e filtrá-las de várias maneiras diferentes, como por tipo de descoberta, tipo de recurso ou recurso específico. Cada fonte de segurança pode fornecer mais filtros para ajudar a organizar as descobertas.

Os papéis do IAM para o Security Command Center podem ser concedidos no nível da organização, da pasta ou do projeto. A capacidade de ver, editar, criar ou atualizar descobertas, recursos e fontes de segurança depende do nível a que você tem acesso. Para saber mais sobre os papéis do Security Command Center, consulte Controle de acesso.

Serviços de detecção de vulnerabilidades e configurações incorretas

Esses serviços de detecção incluem serviços integrados que detectam vulnerabilidades de software, configurações incorretas de recursos e violações de postura nos ambientes de nuvem. Nas definições de descoberta, esses problemas são categorizados em classes de descoberta distintas, como Vulnerability, Misconfiguration, Observation e Posture violation.

proteção de IA

A Proteção para IA ajuda a gerenciar a postura de segurança das cargas de trabalho de IA, detectando ameaças e ajudando a mitigar riscos ao inventário de recursos de IA.

A Proteção de IA oferece os seguintes recursos de detecção:

  • Avaliar o inventário de recursos de IA: oferece visibilidade dos sistemas e recursos de IA, como modelos, fontes de dados, endpoints e agentes de IA.
  • Identificar vulnerabilidades: detecta vulnerabilidades de software (CVEs) em cargas de trabalho de agentes implantadas com o Agent Runtime.
  • Identificar riscos: usa a simulação de caminho de ataque e as regras de gráfico de segurança para identificar riscos de agentes e o possível impacto deles no ambiente.
  • Detectar agentes com privilégios excessivos: identifica agentes de IA que receberam permissões excessivas.
  • Detectar e gerenciar ameaças: detecta e responde a possíveis ameaças que visam seus sistemas e recursos de IA usando regras integradas de outros serviços do Security Command Center, como o Event Threat Detection e o Agent Platform Threat Detection.
  • Detectar a proteção do Model Armor: detecta se o Model Armor protege os modelos.

Para mais informações, consulte Visão geral da Proteção de IA.

Avaliação de vulnerabilidades do Artifact Registry

A avaliação de vulnerabilidades do Artifact Registry é um serviço de detecção que alerta sobre vulnerabilidades nas imagens de contêiner implantadas.

Esse serviço de detecção gera descobertas de vulnerabilidade para imagens de contêiner nas seguintes condições:

  • A imagem do contêiner é armazenada no Artifact Registry.

  • A imagem do contêiner é implantada em um dos seguintes recursos:

    • Cluster do Google Kubernetes Engine
    • Serviço do Cloud Run
    • Job do Cloud Run
    • App Engine

Para mais informações, consulte Visão geral da avaliação de vulnerabilidade do Artifact Registry.

Avaliação de Vulnerabilidades da Agent Platform

A Avaliação de Vulnerabilidades da Agent Platform identifica o seguinte:

  • vulnerabilidades em cargas de trabalho agênticas que você implantou com a Agent Platform.
  • secrets em texto simples, como credenciais, chaves, tokens de acesso ou certificados, nas imagens de contêiner da Gemini Enterprise Agent Platform.

Detecção de vulnerabilidades

A Avaliação de Vulnerabilidades da Agent Platform identifica vulnerabilidades de software (CVEs) em cargas de trabalho agênticas que você implantou com a Agent Platform.

Esse scanner avalia automaticamente o código personalizado e as dependências na instância operacional durante a implantação ou atualização.

Ativar a avaliação de vulnerabilidades da Agent Platform

A Avaliação de Vulnerabilidades da Plataforma de Agentes é ativada automaticamente para novas ativações da Proteção de IA.

Se você já é cliente, pode ativar o scanner na página de configurações da Proteção de IA. Para mais informações, consulte Configurar a avaliação de vulnerabilidade da plataforma do agente.

Ver as descobertas da Avaliação de Vulnerabilidades da Agent Platform no console

  1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

    Acessar descobertas

  2. Selecione Google Cloud o projeto ou a organização.
  3. Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Avaliação de vulnerabilidade para a plataforma de agentes. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
  4. Para visualizar os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
  5. Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que você pode seguir para corrigir a descoberta.
  6. Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.

Artifact Guard

A proteção de artefatos (pré-lançamento) é um serviço que ajuda a evitar a implantação de pacotes vulneráveis durante o processo de build. Ele é compatível com três escopos de política: plataforma de CI/CD, registro e ambiente de execução. A integração de CI/CD permite configurar conectores para plataformas de CI/CD. É possível usar esses conectores para configurar políticas do Artifact Guard e identificar vulnerabilidades nos pipelines de CI/CD.

Descobertas do Compliance Manager

O Compliance Manager cria descobertas para os controles de nuvem de detecção e prevenção que você implanta no ambiente do Google Cloud . É possível ver essas descobertas na página Descobertas do Security Command Center.

O Compliance Manager oferece um conjunto diferente de recursos para cada nível de serviço. Para mais informações, consulte Visão geral do Compliance Manager.

Ver as descobertas do Compliance Manager no console

  1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

    Acessar descobertas

  2. Selecione Google Cloud o projeto ou a organização.
  3. Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Serviço de avaliação de conformidade. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
  4. Para visualizar os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
  5. Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que você pode seguir para corrigir a descoberta.
  6. Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.

Gerenciamento de Postura de Segurança de Dados

O Gerenciamento de Postura de Segurança de Dados (DSPM) cria descobertas para possíveis violações dos frameworks de segurança de dados e controles de nuvem que você aplica no seu ambiente. É possível ver essas descobertas na página Segurança e conformidade de dados, na página Visão geral de riscos (na guia Dados) ou na página Descobertas no Security Command Center. O DSPM oferece um conjunto diferente de recursos para cada nível de serviço. Para mais informações, consulte Visão geral do Gerenciamento de Postura de Segurança de Dados (DSPM).

Ver as descobertas de DSPM no console

  1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

    Acessar descobertas

  2. Selecione sua Google Cloud organização.

  3. Use a consulta a seguir para conferir as descobertas do DSPM:

    state="ACTIVE" AND NOT mute="MUTED" AND resource.name="//aiplatform.googleapis.com/projects/478190632149/locations/us-central1/models/1244151282898305024" AND category="DATA_SECURITY_POSTURE_ACCESS_VIOLATION" OR category="DATA_SECURITY_POSTURE_FLOW_VIOLATION" OR category="DATA_SECURITY_POSTURE_DELETION_VIOLATION" OR category="DATA_SECURITY_POSTURE_PROTECTION_KEY_GOVERNANCE" OR category="BIGQUERY_TABLE_CMEK_DISABLED" OR category="VERTEX_AI_MODEL_CMEK_DISABLED" OR category="VERTEX_AI_METADATA_STORE_CMEK_DISABLED" OR category="VERTEX_AI_DATASET_CMEK_DISABLED" OR category="VERTEX_AI_FEATURE_STORE_TABLE_CMEK_DISABLED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_MISCONFIGURED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_DELETED" OR category="DATA_SECURITY_POSTURE_CMEK_VIOLATION" OR category="SENSITIVE_DATA_PUBLIC_SQL_INSTANCE" OR category="SENSITIVE_DATA_PUBLIC_DATASET" OR category="SENSITIVE_DATA_BIGQUERY_TABLE_CMEK_DISABLED" OR category="SENSITIVE_DATA_DATASET_CMEK_DISABLED" OR category="SENSITIVE_DATA_SQL_CMEK_DISABLED" OR category="PUBLIC_DATASET" OR category="PUBLIC_SQL_INSTANCE" OR category="SQL_PUBLIC_IP" OR category="ACCESS_TRANSPARENCY_DISABLED" OR category="ORG_POLICY_LOCATION_RESTRICTION" OR category="BUCKET_POLICY_ONLY_DISABLED" OR category="DATA_EXFILTRATION_BIG_QUERY" OR category="DATA_EXFILTRATION_BIG_QUERY_EXTRACTION" OR category="DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE"

  4. Para visualizar os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.

  5. Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que você pode seguir para corrigir a descoberta.

  6. Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.

External Exposure

A Exposição Externa do Security Command Center é um serviço do Google Cloud que ajuda a gerenciar e reduzir sua superfície de ataque externa por meio de descoberta automatizada e validação de riscos.

Como os scanners automatizados podem segmentar recursos expostos à Internet em minutos, a Exposição Externa descobre proativamente exposições acidentais e recursos ocultos antes que os invasores possam descobri-los e explorá-los.

Ao analisar seu ambiente de uma perspectiva externa, o serviço tenta confirmar o que é realmente acessível pela Internet e identifica quais exposições são realmente exploráveis.

A Exposição Externa verifica continuamente endereços IP, nomes de host, nomes de domínio e URLs externos no ambiente do Google Cloud. Esse recurso usa a verificação de rede para confirmar quais recursos e aplicativos podem ser acessados pela Internet pública.

Para cada exposição confirmada, a Exposição Externa faz o seguinte:

  • Rastreia e exibe o caminho de rede do Google Cloud para balanceadores de carga externos, políticas do Google Cloud Armor, regras de firewall, Private Service Connect, Cloud Interconnect e serviços de back-end até o recurso exposto.

    Esse recurso pode ser uma instância do Compute Engine ou um pod do Google Kubernetes Engine (GKE), incluindo um serviço ou aplicativo exposto.

    Essa integração profunda com a estrutura de rede do Google ajuda a fornecer contexto acionável para que você possa aplicar imediatamente mitigações preventivas, como bloquear uma regra de firewall específica ou configurar o Google Cloud Armor.

  • Realiza a impressão digital para tentar identificar o aplicativo da Web ou o software servidor específico que está sendo executado em cada recurso exposto.

  • Se puder identificar o serviço ou software exposto, ele vai identificar as vulnerabilidades que o afetam.

  • Usa detectores passivos e ativos avançados para testar a capacidade de exploração no mundo real, validando vulnerabilidades, configurações incorretas e o uso de credenciais padrão ou fracas.

Analisar as descobertas de exposição externa no console

  1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

    Acessar descobertas

  2. Selecione Google Cloud o projeto ou a organização.
  3. Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Exposição externa. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
  4. Para visualizar os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
  5. Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que você pode seguir para corrigir a descoberta.
  6. Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.

Painel de postura de segurança do GKE

O painel de postura de segurança do Google Kubernetes Engine (GKE) é uma página no console doGoogle Cloud que fornece descobertas prescritivas e acionáveis sobre possíveis problemas de segurança nos clusters do GKE.

O painel de postura de segurança do GKE se integra ao Security Command Center para oferecer os seguintes benefícios:

  • Visibilidade unificada: confira as descobertas de segurança dos clusters do GKE com as descobertas de outros serviços do Security Command Center no console do Security Command Center.
  • Pontuações de exposição a ataques: priorize as descobertas visualizando o impacto potencial delas no seu ambiente com as pontuações de exposição a ataques.
  • Relatórios de compliance: gere relatórios de compliance com base nas descobertas.

Para ver essas descobertas, ative qualquer um dos seguintes recursos do painel de postura de segurança do GKE:

Painel de postura de segurança do GKE Classe de descoberta do Security Command Center
Auditoria de configuração da carga de trabalho1 MISCONFIGURATION
Principais ameaças2 THREAT
Verificação de vulnerabilidades do SO do contêiner1 VULNERABILITY
Verificação de vulnerabilidades de pacotes de linguagens1 VULNERABILITY
Boletins de segurança acionáveis1 (pré-lançamento) VULNERABILITY
Principais vulnerabilidades de software2 VULNERABILITY
  1. Disponível apenas se você ativar esse recurso no GKE.
  2. Disponível para os níveis de serviço Premium e Enterprise do Security Command Center.

As descobertas mostram informações sobre o problema de segurança e fornecem recomendações para resolvê-lo nas cargas de trabalho ou nos clusters.

Ver as descobertas do painel de postura de segurança do GKE no console

  1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

    Acessar descobertas

  2. Selecione Google Cloud o projeto ou a organização.
  3. Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Postura de segurança do GKE. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
  4. Para visualizar os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
  5. Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que você pode seguir para corrigir a descoberta.
  6. Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.

Recomendador IAM

O recomendador do IAM gera recomendações que você pode seguir para melhorar a segurança removendo ou substituindo papéis do IAM de principais quando os papéis contiverem permissões do IAM de que o principal não precisa.

O recomendador do IAM é ativado automaticamente quando você ativa o Security Command Center.

Ativar ou desativar as descobertas do recomendador do IAM

Para ativar ou desativar as descobertas do recomendador do IAM no Security Command Center, siga estas etapas:

  1. Acesse a guia Serviços integrados da página Configurações do Security Command Center no console do Google Cloud :

    Acessar serviços integrados

  2. Acesse a entrada do recomendador do IAM.

  3. À direita da entrada, selecione Ativar ou Desativar.

As descobertas do recomendador do IAM são classificadas como vulnerabilidades.

Para corrigir uma descoberta do recomendador do IAM, expanda a seção a seguir para ver uma tabela das descobertas do recomendador do IAM. As etapas de correção para cada descoberta estão incluídas na entrada da tabela.

Ver as descobertas do recomendador do IAM no console

  1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

    Acessar descobertas

  2. Selecione Google Cloud o projeto ou a organização.
  3. Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Recomendador do IAM. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
  4. Para visualizar os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
  5. Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que você pode seguir para corrigir a descoberta.
  6. Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.

No Security Command Center Premium, também é possível ver as descobertas do recomendador do IAM na página legada Vulnerabilidades selecionando a predefinição de consulta Recomendador do IAM.

Gerenciamento da Superfície de Ataque da Mandiant

A Mandiant é líder mundial em inteligência contra ameaças de linha de frente. O Gerenciamento da Superfície de Ataque da Mandiant identifica vulnerabilidades e configurações incorretas nas superfícies de ataque externas para ajudar você a se manter atualizado contra os ataques cibernéticos mais recentes.

O Gerenciamento da Superfície de Ataque da Mandiant é ativado automaticamente quando você ativa o nível Security Command Center Enterprise, e as descobertas ficam disponíveis no console do Google Cloud .

Para saber como o produto independente Gerenciamento da Superfície de Ataque da Mandiant é diferente da integração do Gerenciamento da Superfície de Ataque da Mandiant no Security Command Center, consulte ASM e Security Command Center no portal de documentação da Mandiant. Este link requer autenticação da Mandiant.

Analisar as descobertas do Gerenciamento da Superfície de Ataque da Mandiant no console

  1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

    Acessar descobertas

  2. Selecione Google Cloud o projeto ou a organização.
  3. Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Gerenciamento da Superfície de Ataque da Mandiant. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
  4. Para visualizar os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
  5. Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que você pode seguir para corrigir a descoberta.
  6. Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.

Nem o Security Command Center nem o Gerenciamento da Superfície de Ataque da Mandiant marcam as descobertas como resolvidas. Depois de resolver um problema, você pode marcá-lo manualmente como resolvido. Se ele não for identificado na próxima verificação do Gerenciamento da Superfície de Ataque da Mandiant, ele vai continuar resolvido.

Descobertas do Model Armor

O Model Armor é um serviço totalmente gerenciado do Google Cloud que aumenta a segurança dos aplicativos de IA ao verificar comandos e respostas de LLMs.

Descoberta Resumo

Nome da categoria na API: FLOOR_SETTINGS_VIOLATION

Descrição da descoberta: uma violação de configuração mínima que ocorre quando um modelo do Model Armor não atende aos padrões mínimos de segurança definidos pelas configurações mínimas da hierarquia de recursos.

Classe da descoberta: configuração incorreta

Nível de preços: Premium

Corrigir essa descoberta:

Essa descoberta exige que você atualize o modelo do Model Armor para que ele esteja em conformidade com as configurações mínimas definidas na hierarquia de recursos.

Notebook Security Scanner

O Notebook Security Scanner é um serviço integrado de detecção de vulnerabilidades de pacotes do Security Command Center. Depois que o Notebook Security Scanner é ativado, ele verifica automaticamente os notebooks do Colab Enterprise (arquivos com a extensão de nome de arquivo ipynb) a cada 24 horas para detectar vulnerabilidades em pacotes Python e publica essas descobertas na página Descobertas do Security Command Center.

É possível usar o Notebook Security Scanner para notebooks do Colab Enterprise criados nas seguintes regiões: us-central1, us-east4, us-west1 e europe-west4.

Para começar a usar o Notebook Security Scanner, consulte Ativar e usar o Notebook Security Scanner.

Controlador de Políticas

O Policy Controller permite a aplicação de políticas programáveis aos clusters do Kubernetes. Essas políticas funcionam como proteções e podem ajudar nas práticas recomendadas, na segurança e no gerenciamento de conformidade dos clusters e frotas.

Se você instalar o Controlador de Políticas e ativar qualquer um dos pacotes do Controlador de Políticas, o Controlador de Políticas vai gravar automaticamente violações de cluster no Security Command Center como descobertas da classe Misconfiguration. A descrição da descoberta e as próximas etapas nas descobertas do Security Command Center são as mesmas que a descrição de restrições e as etapas de correção do pacote do Controlador de Políticas correspondente.

As descobertas do Controlador de Políticas vêm dos seguintes pacotes do Controlador de Políticas:

Para encontrar e corrigir as descobertas do Controlador de Políticas, consulte Como corrigir as descobertas do Controlador de Políticas.

Mecanismo de risco

O mecanismo de risco do Security Command Center avalia a exposição ao risco das suas implantações na nuvem, atribui pontuações de exposição a ataques a descobertas de vulnerabilidades e aos seus recursos de alto valor e cria diagramas de caminhos que um possível invasor pode seguir para alcançar seus recursos de alto valor.

No nível Enterprise ou Premium do Security Command Center, o mecanismo de risco detecta grupos de problemas de segurança que, quando ocorrem juntos em um padrão específico, criam um caminho para um ou mais dos seus recursos de alto valor que um invasor determinado pode usar para alcançar e comprometer esses recursos.

Quando o mecanismo de risco detecta uma dessas combinações, ele gera uma descoberta de classe TOXIC_COMBINATION. Na descoberta, o Risk Engine é listado como a origem da descoberta.

O mecanismo de risco também identifica recursos ou grupos de recursos comuns em que vários caminhos de ataque convergem e, em seguida, gera uma descoberta de classe CHOKEPOINT.

Para mais informações, consulte Visão geral de combinações tóxicas e pontos de estrangulamento.

Análise de integridade da segurança

A Análise de integridade da segurança é um serviço de detecção integrado do Security Command Center que fornece verificações gerenciadas dos recursos de nuvem para detectar configurações incorretas comuns.

Quando uma configuração incorreta é detectada, a Análise de integridade da segurança gera uma descoberta. A maioria das descobertas da Análise de Integridade da Segurança é mapeada para controles de padrão de segurança para que você possa avaliar a conformidade.

A Análise de integridade da segurança verifica seus recursos em Google Cloud. Se você estiver usando o nível Enterprise e estabelecer conexões com outras plataformas de nuvem, a Análise de integridade da segurança também poderá verificar seus recursos nessas plataformas.

Dependendo do nível de serviço do Security Command Center que você está usando, os detectores disponíveis são diferentes:

  • No nível Standard legado, a Análise de integridade da segurança inclui apenas um grupo básico de detectores de vulnerabilidades de média e alta gravidade.
  • O nível Premium inclui todos os detectores de vulnerabilidade para Google Cloud.
  • O nível Enterprise inclui detectores adicionais para outras plataformas de nuvem.

A Análise de integridade da segurança é ativada automaticamente quando você ativa o Security Command Center.

Para ver mais informações, consulte os seguintes tópicos:

Serviço de postura de segurança

O serviço de postura de segurança é um serviço integrado do nível Premium do Security Command Center que permite definir, avaliar e monitorar o status geral da segurança no Google Cloud. Ele fornece informações sobre como seu ambiente se alinha às políticas que você define na sua postura de segurança.

O serviço de postura de segurança não está relacionado ao painel de postura de segurança do GKE, que mostra apenas as descobertas em clusters do GKE.

Proteção de Dados Sensíveis

A Proteção de Dados Sensíveis é um serviço do Google Cloud totalmente gerenciado que ajuda a descobrir, classificar e proteger dados sensíveis. É possível usar a Proteção de Dados Sensíveis para determinar se você está armazenando informações sensíveis ou informações de identificação pessoal (PII), como estas:

  • Nomes pessoais
  • Números de cartões de crédito
  • Números de identificação nacionais ou estaduais
  • Números de identificação de seguro de saúde
  • Secrets

Na Proteção de Dados Sensíveis, cada tipo de dados sensíveis que você pesquisa é chamado de infoType.

Se você configurar a operação de Proteção de Dados Sensíveis para enviar resultados ao Security Command Center, poderá acessar as descobertas diretamente na seção Security Command Center do console do Google Cloud , além da seção de Proteção de Dados Sensíveis.

Se você usa perímetros de serviço do VPC Service Controls e quer descobrir dados sensíveis dentro desses perímetros, consulte Permitir a descoberta de dados sensíveis dentro de perímetros de serviço. Se você não realizar essa tarefa, poderá receber avisos.

Latência da verificação da Proteção de Dados Sensíveis

Dependendo do tamanho da organização, as descobertas da Proteção de Dados Sensíveis podem começar a aparecer no Security Command Center alguns minutos depois que você ativar a descoberta de dados sensíveis. Para organizações maiores ou com configurações específicas que afetam a geração de descobertas, pode levar até 12 horas para que as descobertas iniciais apareçam no Security Command Center.

Em seguida, a Proteção de Dados Sensíveis gera descobertas no Security Command Center alguns minutos depois que o serviço de descoberta verifica seus recursos.

Descobertas de vulnerabilidades do serviço de descoberta da proteção de dados confidenciais

O serviço de descoberta da Proteção de Dados Sensíveis ajuda a determinar se você está armazenando dados altamente sensíveis que não estão protegidos.

Categoria Resumo

Nome da categoria na API:

PUBLIC_SENSITIVE_DATA

Descrição da descoberta: o recurso especificado tem dados de alta sensibilidade que podem ser acessados por qualquer pessoa na Internet.

Recursos compatíveis:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket do Amazon S3
  • Contêiner do Armazenamento de Blobs do Azure

Remediação:

Para dados do Google Cloud , remova allUsers e allAuthenticatedUsers da política do IAM do recurso de dados.

Para dados do Amazon S3, defina as configurações de bloqueio de acesso público ou atualize a ACL do objeto para negar o acesso público de leitura. Para mais informações, consulte Como definir as configurações de bloqueio de acesso público para seus buckets do S3 e Como configurar ACLs na documentação da AWS.

Para dados do Azure Blob Storage, remova o acesso público ao contêiner e aos blobs. Para mais informações, consulte Visão geral: como corrigir o acesso de leitura anônimo para dados de blob na documentação do Azure.

Padrões de compliance: não mapeados

Nome da categoria na API:

SECRETS_IN_ENVIRONMENT_VARIABLES

Descrição da descoberta: há secrets, como senhas, tokens de autenticação e credenciais do Google Cloud , em variáveis de ambiente.

Para ativar esse detector, consulte Informar secrets em variáveis de ambiente para o Security Command Center na documentação da Proteção de Dados Sensíveis.

Recursos compatíveis:

Remediação:

Para variáveis de ambiente do Cloud Run functions, remova o secret da variável de ambiente e armazene-o no Secret Manager.

Para variáveis de ambiente de revisão de serviço do Cloud Run, remova todo o tráfego da revisão e exclua-a.

Padrões de compliance:

  • CIS GCP Foundation 1.3: 1.18
  • CIS GCP Foundation 2.0: 1.18

Nome da categoria na API:

SECRETS_IN_STORAGE

Descrição da descoberta: há secrets, como senhas, tokens de autenticação e credenciais de nuvem, no recurso especificado.

Recursos compatíveis:

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket do Amazon S3
  • Contêiner do Armazenamento de Blobs do Azure

Remediação:

  1. Para dados do Google Cloud , use a Proteção de Dados Sensíveis para executar uma verificação de inspeção profunda do recurso especificado para identificar todos os recursos afetados. Para dados do Cloud SQL, exporte-os para um arquivo CSV ou AVRO em um bucket do Cloud Storage e execute uma verificação de inspeção profunda do bucket.

    Para dados de outros provedores de nuvem, inspecione manualmente o bucket ou contêiner especificado.

  2. Remova os secrets detectados.
  3. Considere redefinir as credenciais.
  4. Para dados do Google Cloud , armazene os secrets detectados no Secret Manager.

Padrões de compliance: não mapeados

Descobertas de configuração incorreta do serviço de descoberta da Proteção de Dados Sensíveis

O serviço de descoberta da Proteção de Dados Sensíveis ajuda a determinar se há configurações incorretas que podem expor dados sensíveis.

Categoria Resumo

Nome da categoria na API:

SENSITIVE_DATA_CMEK_DISABLED

Descrição da descoberta: o recurso especificado tem dados de alta ou moderada sensibilidade e não está usando uma chave de criptografia gerenciada pelo cliente (CMEK).

Recursos compatíveis:

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Bucket do Amazon S3
  • Contêiner do Armazenamento de Blobs do Azure

Remediação:

Padrões de compliance: não mapeados

Descobertas de observação da Proteção de Dados Sensíveis

Nesta seção, descrevemos as descobertas de observação geradas pela Proteção de Dados Sensíveis no Security Command Center.

O serviço de descoberta da Proteção de Dados Sensíveis ajuda a determinar se os dados contêm infoTypes específicos e onde eles residem na organização, nas pastas e nos projetos. Ele gera as seguintes categorias de descoberta de observação no Security Command Center:

Categoria Resumo

Nome da categoria na API:

DATA_SENSITIVITY

Descrição da descoberta: uma indicação do nível de confidencialidade dos dados em um recurso de dados específico. Os dados são sensíveis quando contêm PII ou outros elementos que podem exigir mais controle ou gerenciamento. A gravidade da descoberta é o nível de confidencialidade calculado pela Proteção de Dados Sensíveis ao gerar o perfil de dados.

Nome da categoria na API:

DATA_RISK

Descrição da descoberta: o risco associado aos dados no estado atual. Ao calcular o risco de dados, a Proteção de Dados Sensíveis considera o nível de confidencialidade dos dados no recurso de dados e a presença de controles de acesso para protegê-los. A gravidade da descoberta é o nível de risco de dados que a Proteção de Dados Sensíveis calculou ao gerar o perfil de dados.

Para informações sobre como enviar resultados de perfil de dados para o Security Command Center, consulte Ativar a descoberta de dados sensíveis.

Descobertas de observação do serviço de inspeção da Proteção de Dados Sensíveis

Um job de inspeção da Proteção de Dados Sensíveis identifica cada instância de dados de um infoType específico em um sistema de armazenamento, como um bucket do Cloud Storage ou uma tabela do BigQuery. Por exemplo, é possível executar um job de inspeção que procure todas as strings que correspondem ao detector de infoType CREDIT_CARD_NUMBER em um bucket do Cloud Storage.

Para cada detector de infoType que tem uma ou mais correspondências, a Proteção de Dados Sensíveis gera uma descoberta correspondente do Security Command Center. A categoria de descoberta é o nome do detector de infoType que teve uma correspondência, por exemplo, Credit card number. A descoberta inclui o número de strings correspondentes que foram detectadas no texto ou nas imagens do recurso.

Por motivos de segurança, as strings reais detectadas não são incluídas na descoberta. Por exemplo, uma descoberta de Credit card number mostra quantos números de cartão de crédito foram encontrados, mas não os reais.

Como há mais de 150 detectores de infoType integrados na Proteção de Dados Sensíveis, todas as categorias de descoberta possíveis do Security Command Center não estão listadas aqui. Para uma lista completa de detectores de infoType, consulte Referência de detectores de infoType.

Para informações sobre como enviar os resultados de um job de inspeção para o Security Command Center, consulte Enviar os resultados do job de inspeção da Proteção de Dados Sensíveis para o Security Command Center.

Analisar as descobertas da Proteção de Dados Sensíveis no console

  1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

    Acessar descobertas

  2. Selecione Google Cloud o projeto ou a organização.
  3. Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Proteção de Dados Sensíveis. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
  4. Para visualizar os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
  5. Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que você pode seguir para corrigir a descoberta.
  6. Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.

VM Manager

O VM Manager é um conjunto de ferramentas que podem ser usadas para gerenciar sistemas operacionais para grandes frotas de máquinas virtuais (VMs) que executam o Windows e o Linux no Compute Engine.

Para usar o VM Manager com ativações em nível de projeto do Security Command Center Premium, ative o nível legado do Security Command Center Standard na organização pai.

Se você ativar o VM Manager com o nível Premium do Security Command Center, o VM Manager gravará automaticamente as descobertas high e critical dos relatórios de vulnerabilidade, que estão em pré-lançamento, no Security Command Center. Os relatórios identificam vulnerabilidades nos sistemas operacionais (SO) instalados em VMs, incluindo Vulnerabilidades e exposições comuns (CVEs, na sigla em inglês).

Os relatórios de vulnerabilidades não estão disponíveis para o nível Security Command Center Standard (legado).

As descobertas simplificam o processo de uso do recurso de conformidade de patch do VM Manager (pré-lançamento). Quando integrado ao nível Premium do Security Command Center, o recurso permite visibilidade no nível da organização e gerenciamento de patches em todos os seus projetos. Embora os jobs de patch individuais sejam configurados no VM Manager no nível do projeto, o Security Command Center oferece uma visualização consolidada que ajuda a gerenciar jobs de patch em toda a organização.

Para corrigir as descobertas do VM Manager, consulte Como corrigir as descobertas do VM Manager.

Para impedir que os relatórios de vulnerabilidade sejam gravados no Security Command Center, consulte Silenciar descobertas do VM Manager.

Todas as vulnerabilidades desse tipo estão relacionadas aos pacotes de sistema operacional instalados nas VMs do Compute Engine compatíveis.

Detector Resumo Configurações da verificação de recursos

Nome da categoria na API: OS_VULNERABILITY

Descrição da descoberta: o VM Manager detectou uma vulnerabilidade no pacote do sistema operacional (SO) instalado de uma VM do Compute Engine.

Nível de preços: Premium

Recursos compatíveis

compute.googleapis.com/Instance

Corrigir essa descoberta

Os relatórios de vulnerabilidade do VM Manager detalham as vulnerabilidades em pacotes de sistema operacional instalados em VMs do Compute Engine, incluindo Vulnerabilidades e exposições comuns (CVEs, na sigla em inglês).

Para conferir uma lista completa de sistemas operacionais compatíveis, consulte Detalhes do sistema operacional.

As descobertas são exibidas no Security Command Center pouco depois que as vulnerabilidades são detectadas. Os relatórios de vulnerabilidades no VM Manager são gerados da seguinte maneira:

  • Quando um pacote é instalado ou atualizado no sistema operacional de uma VM, é possível ver informações de Vulnerabilidades e Exposições Comuns (CVEs) da VM no Security Command Center em até duas horas após a mudança.
  • Quando novos avisos de segurança são publicados para um sistema operacional, as CVEs atualizadas normalmente ficam disponíveis em até 24 horas após o fornecedor do sistema operacional publicar o aviso.

Avaliação de Vulnerabilidades para AWS

O serviço de avaliação de vulnerabilidades para Amazon Web Services (AWS) detecta vulnerabilidades de software nas cargas de trabalho em execução em máquinas virtuais (VMs) do EC2 na plataforma de nuvem da AWS.

Para cada vulnerabilidade detectada, a Avaliação de Vulnerabilidades para AWS gera uma descoberta de classe Vulnerability na categoria de descoberta Software vulnerability no Security Command Center.

O serviço de Avaliação de Vulnerabilidades para AWS verifica snapshots das instâncias de máquina do EC2 em execução, para que as cargas de trabalho de produção não sejam afetadas. Esse método de verificação é chamado de verificação de disco sem agente, porque nenhum agente é instalado nos destinos de verificação.

Para ver mais informações, consulte os seguintes tópicos:

Avaliação de vulnerabilidades para Google Cloud

A Avaliação de Vulnerabilidades do serviço Google Cloud detecta vulnerabilidades de software nos seguintes recursos da plataforma Google Cloud :

  • Executar instâncias de VM do Compute Engine
  • Nós em clusters do GKE Standard
  • Contêineres em execução nos clusters do GKE Standard e do GKE Autopilot

Para cada vulnerabilidade detectada, a Avaliação de Vulnerabilidades do Google Cloud gera uma descoberta de classe Vulnerability na categoria de descoberta Software vulnerability ou OS vulnerability no Security Command Center.

O serviço de avaliação de vulnerabilidades do Google Cloud verifica as instâncias de VM do Compute Engine clonando os discos aproximadamente a cada 12 horas, montando-os em uma instância de VM segura e avaliando-os com o scanner SCALIBR.

Para mais informações, consulte Avaliação de vulnerabilidade para Google Cloud.

Web Security Scanner

O Web Security Scanner fornece verificação de vulnerabilidade da Web gerenciada e personalizada para aplicativos da Web públicos do App Engine, GKE e do Compute Engine.

Verificações gerenciadas

As verificações gerenciadas do Web Security Scanner são configuradas e gerenciadas pelo Security Command Center. As verificações gerenciadas são executadas automaticamente uma vez por semana para detectar e verificar os endpoints da Web públicos. Essas verificações não usam autenticação e enviam solicitações somente GET para que não enviem formulários em sites ativos.

As verificações gerenciadas são executadas separadamente das verificações personalizadas.

Se o Security Command Center estiver ativado no nível da organização, é possível usar verificações gerenciadas para gerenciar de maneira centralizada a detecção de vulnerabilidades de aplicativos da Web básicos em projetos da organização, sem precisar envolver equipes de projeto individuais. Quando as descobertas são descobertas, trabalhe com essas equipes para configurar verificações personalizadas mais abrangentes.

Quando você ativa o Web Security Scanner como um serviço, as descobertas da verificação gerenciada são disponibilizadas automaticamente na guia vulnerabilidades do Security Command Center e nos relatórios relacionados. Para saber como ativar as verificações gerenciadas do Web Security Scanner, consulte Configurar serviços do Security Command Center.

As verificações gerenciadas só são compatíveis com aplicativos que usam a porta padrão, que é 80 para conexões HTTP e 443 para conexões HTTPS. Se o aplicativo usar uma porta não padrão, faça uma verificação personalizada.

Verificações personalizadas

As verificações personalizadas do Web Security Scanner fornecem informações detalhadas sobre descobertas de vulnerabilidades de aplicativos, como bibliotecas desatualizadas, scripts entre sites ou uso de conteúdo misto.

As verificações personalizadas são definidas no nível do projeto.

As descobertas da verificação personalizada estão disponíveis no Security Command Center depois de concluir o guia para configurar verificações personalizadas do Web Security Scanner.

Detectores e compliance

O Web Security Scanner é compatível com categorias do OWASP Top 10, um documento que classifica e fornece orientações de correção para os 10 riscos mais críticos de segurança para aplicativos da Web, conforme determinado pelo Open Web Application Security Project (OWASP). Para orientações sobre como reduzir os riscos do OWASP, consulte Mitigar os 10 principais riscos do OWASP de 2025 no Google Cloud.

O mapeamento de conformidade está incluído para referência e não é fornecido ou revisado pela OWASP Foundation.

Essa funcionalidade destina-se apenas ao monitoramento de violações de controle de conformidade. Os mapeamentos não são fornecidos para uso como base ou como substitutos para a auditoria, certificação ou relatório de conformidade dos produtos ou serviços com comparativos de mercado ou padrões regulatórios ou do setor.

Para mais informações, consulte Visão geral do Web Security Scanner.

Serviços de detecção de ameaças

Os serviços de detecção de ameaças incluem serviços integrados que detectam eventos que podem indicar eventos potencialmente nocivos, como recursos comprometidos ou ataques cibernéticos.

Detecção de ameaças do Agent Platform

A Detecção de ameaças da Agent Platform oferece detecção de ameaças em tempo de execução para agentes implantados no Agent Runtime. Ele monitora os agentes em execução em busca de possíveis ataques e gera descobertas no Security Command Center.

A Detecção de Ameaças da Agent Platform pode gerar descobertas para o Agent Runtime, incluindo as seguintes categorias:

  • Comando e controle: ferramenta de esteganografia detectada
  • Acesso com credenciais: encontrar Google Cloud credenciais
  • Acesso a credenciais: reconhecimento de chaves do GPG
  • Acesso a credenciais: pesquisar senhas ou chaves privadas
  • Evasão de defesa: linha de comando do arquivo ELF codificado em Base64
  • Evasão de defesa: script Python codificado em base64 executado
  • Evasão de defesa: script de shell codificado em Base64 executado
  • Evasão de defesas: iniciar a ferramenta de compilador de código no contêiner
  • Execução: execução remota de código do Netcat no contêiner
  • Execução: possível execução arbitrária de comandos com o CUPS (CVE-2024-47177)
  • Execução: possível execução de comando remota detectada
  • Execução: execução de programa com ambiente de proxy HTTP não permitido
  • Execução: shell reverso do Socat detectado
  • Execução: objeto compartilhado suspeito do OpenSSL carregado
  • Exfiltração: iniciar as ferramentas de cópia de arquivos remotos no contêiner
  • Impacto: detectar linhas de comando mal-intencionadas
  • Impacto: remover dados em massa do disco
  • Impacto: atividade suspeita de mineração de criptomoedas usando o protocolo Stratum
  • Escalonamento de privilégios: abuso do sudo para escalonamento de privilégios (CVE-2019-14287)
  • Escalonamento de privilégios: vulnerabilidade de escalonamento de privilégios locais do Polkit (CVE-2021-4034)
  • Escalonamento de privilégios: possível uso do comando sudo como vetor de escalonamento de privilégios (CVE-2021-3156)
  • Execução: Python mal-intencionado executado
  • Execução: escape de contêiner
  • Execução: execução de ferramenta de ataque do Kubernetes
  • Execução: execução da ferramenta de reconhecimento local
  • Impacto: script malicioso executado
  • Impacto: URL malicioso observado
  • Execução: shell filho inesperado

Para saber mais, consulte Detecção de ameaças da plataforma de agentes.

Detecção de anomalias

A detecção de anomalias é um serviço integrado que usa sinais de comportamento fora do seu sistema. Ela exibe informações granulares sobre anomalias de segurança detectadas nas suas contas de serviço, como possíveis credenciais vazadas. A Detecção de Anomalias é ativada automaticamente quando você ativa o Security Command Center Standard legado ou o nível Premium, e as descobertas estão disponíveis no console do Google Cloud .

As descobertas da detecção de anomalias incluem:

Nome da anomalia Categoria da descoberta Descrição
account_has_leaked_credentials

As credenciais de uma conta de serviço do Google Cloud são vazadas on-line ou comprometidas.

Gravidade: crítica

A conta vazou credenciais

O GitHub notificou o Security Command Center de que as credenciais usadas para uma confirmação parecem ser as credenciais para uma conta de serviço doGoogle Cloud Identity and Access Management.

A notificação inclui o nome da conta de serviço e o identificador da chave privada. O Google Cloud também envia uma notificação por e-mail aos contatos designados para questões de segurança e privacidade.

Para corrigir esse problema, escolha uma ou mais das seguintes opções:

  • Identifique o usuário legítimo da chave.
  • Gire a chave.
  • Remova a chave.
  • Investigue as ações realizadas pela chave depois que ela foi vazada para garantir que nenhuma foi mal-intencionada.

JSON: descoberta de credenciais da conta vazadas

{
  "findings": {
    "access": {},
    "assetDisplayName": "PROJECT_NAME",
    "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID",
    "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "category": "account_has_leaked_credentials",
    "contacts": {
      "security": {
        "contacts": [
          {
            "email": "EMAIL_ADDRESS"
          }
        ]
      }
    },
    "createTime": "2022-08-05T20:59:41.022Z",
    "database": {},
    "eventTime": "2022-08-05T20:59:40Z",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat",
    "indicator": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID",
    "parentDisplayName": "Cloud Anomaly Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "severity": "CRITICAL",
    "sourceDisplayName": "Cloud Anomaly Detection",
    "state": "ACTIVE",
    "vulnerability": {},
    "workflowState": "NEW"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "display_name": "PROJECT_NAME",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "project_display_name": "PROJECT_NAME",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": []
  },
  "sourceProperties": {
    "project_identifier": "PROJECT_ID",
    "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
    "finding_type": "Potential compromise of a resource in your organization.",
    "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.",
    "action_taken": "Notification sent",
    "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID",
    "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json"
  }
}

Detecção de Ameaças em Contêiner

A Detecção de Ameaças em Contêiner pode detectar os ataques mais comuns do ambiente de execução de contêiner e alertar você no Security Command Center e, opcionalmente, no Cloud Logging. O Detecção de Ameaças em Contêiner inclui vários recursos de detecção, uma ferramenta de análise e uma API.

A instrumentação de detecção do Detecção de Ameaças em Contêiner coleta comportamentos de baixo nível no kernel convidado e realiza o processamento de linguagem natural no código para detectar os seguintes eventos:

  • Added Binary Executed
  • Added Library Loaded
  • Command and Control: Steganography Tool Detected (Pré-lançamento)
  • Credential Access: Find Google Cloud Credentials
  • Credential Access: GPG Key Reconnaissance
  • Credential Access: Search Private Keys or Passwords
  • Defense Evasion: Base64 ELF File Command Line
  • Defense Evasion: Base64 Encoded Python Script Executed
  • Defense Evasion: Base64 Encoded Shell Script Executed
  • Defense Evasion: Launch Code Compiler Tool In Container (Pré-lançamento)
  • Execution: Added Malicious Binary Executed
  • Execution: Added Malicious Library Loaded
  • Execution: Built in Malicious Binary Executed
  • Execution: Container Escape
  • Execution: Fileless Execution in /memfd:
  • Execution: Ingress Nightmare Vulnerability Execution (Pré-lançamento)
  • Execution: Kubernetes Attack Tool Execution
  • Execution: Local Reconnaissance Tool Execution
  • Execution: Malicious Python executed
  • Execution: Modified Malicious Binary Executed
  • Execution: Modified Malicious Library Loaded
  • Execution: Netcat Remote Code Execution In Container
  • Execution: Possible Arbitrary Command Execution through CUPS (CVE-2024-47076)
  • Execution: Possible Remote Command Execution Detected (Pré-lançamento)
  • Execution: Program Run with Disallowed HTTP Proxy Env
  • Execution: Socat Reverse Shell Detected
  • Execution: Suspicious OpenSSL Shared Object Loaded
  • Exfiltration: Launch Remote File Copy Tools in Container
  • Impact: Detect Malicious Cmdlines (Pré-lançamento)
  • Impact: Remove Bulk Data From Disk
  • Impact: Suspicious crypto mining activity using the Stratum Protocol
  • Malicious Script Executed
  • Malicious URL Observed
  • Privilege Escalation: Abuse of Sudo For Privilege Escalation (CVE-2019-14287)
  • Privilege Escalation: Fileless Execution in /dev/shm
  • Privilege Escalation: Polkit Local Privilege Escalation Vulnerability (CVE-2021-4034)
  • Privilege Escalation: Sudo Potential Privilege Escalation (CVE-2021-3156)
  • Reverse Shell
  • Unexpected Child Shell

Saiba mais sobre a Detecção de Ameaças em Contêiner.

Event Threat Detection

O Event Threat Detection usa dados de registro dentro dos seus sistemas. Ele monitora o stream do Cloud Logging para projetos e consome os registros à medida que eles são disponibilizados. Quando uma ameaça é detectada, o Event Threat Detection grava uma descoberta no Security Command Center e em um projeto do Cloud Logging. O Event Threat Detection é ativado automaticamente quando você ativa o Security Command Center, e as descobertas ficam disponíveis no console doGoogle Cloud .

Detectores do Event Threat Detection

Saiba mais sobre o Event Threat Detection.

Google Cloud Armor

O Cloud Armor ajuda a proteger seu aplicativo com a filtragem de camada 7. O Cloud Armor limpa as solicitações recebidas para ataques comuns da Web ou outros atributos da camada 7 para bloquear o tráfego antes que ele alcance os serviços de back-end ou buckets de back-end com balanceamento de carga.

O Cloud Armor exporta duas descobertas para o Security Command Center:

Serviço de ações sensíveis

O Serviço de ações sensíveis é um serviço integrado do Security Command Center que detecta quando ações são realizadas na sua organização, pastas e projetos do Google Cloud que podem ser prejudiciais à sua empresa se forem feitas por um agente malicioso.

O Serviço de ações sensíveis está sempre ativado e monitora automaticamente todos os registros de auditoria de atividade do administrador da sua organização para identificar ações sensíveis. Os registros de auditoria de atividades do administrador estão sempre ativados. Portanto, não é necessário ativá-los ou configurá-los.

Para mais informações sobre o Serviço de Ações Sensíveis, consulte Visão geral do Serviço de Ações Sensíveis.

Detecção de ameaças a máquinas virtuais

A Detecção de Ameaças a Máquinas Virtuais é um serviço integrado do Security Command Center. Esse serviço verifica máquinas virtuais para detectar aplicativos potencialmente maliciosos, como software de mineração de criptomoedas, rootkits no modo kernel e malware em execução em ambientes de nuvem comprometidos.

A Detecção de Ameaças em VMs faz parte do pacote de detecção de ameaças do Security Command Center e foi projetada para complementar os recursos atuais do Event Threat Detection e da Detecção de Ameaças em Contêiner.

Para mais informações sobre a VM Threat Detection, consulte Visão geral da VM Threat Detection.

Descobertas de ameaças da VM Threat Detection

A VM Threat Detection pode gerar as seguintes ameaças.

Descobertas de ameaças de mineração de criptomoedas

A detecção de ameaças da VM detecta as seguintes categorias de descoberta usando correspondência de hash ou regras YARA.

Descobertas de ameaças de mineração de criptomoedas na detecção de ameaças de VM
Categoria Módulo Descrição
CRYPTOMINING_HASH Corresponde os hashes de memória da execução de programas a hashes de memória conhecidos de software de mineração de criptomoeda. As descobertas são classificadas com gravidade Alta por padrão.
CRYPTOMINING_YARA Corresponde aos padrões de memória, como constantes de prova de trabalho, conhecidas por serem usadas por software de mineração de criptomoeda. As descobertas são classificadas com gravidade Alta por padrão.
  • CRYPTOMINING_HASH
  • CRYPTOMINING_YARA
 Identifica uma ameaça que foi detectada pelos módulos CRYPTOMINING_HASH e CRYPTOMINING_YARA. Para mais informações, consulte Detecções combinadas. As descobertas são classificadas com gravidade Alta por padrão.

Descobertas de ameaças do rootkit no modo kernel

A VM Threat Detection analisa a integridade do kernel no ambiente de execução para detectar técnicas comuns de evasão usadas por malware.

O módulo KERNEL_MEMORY_TAMPERING detecta ameaças fazendo uma comparação de hash no código e na memória de dados somente leitura do kernel de uma máquina virtual.

O módulo KERNEL_INTEGRITY_TAMPERING detecta ameaças verificando a integridade de estruturas de dados importantes do kernel.

Descobertas de ameaças do rootkit no modo kernel da VM Threat Detection
Categoria Módulo Descrição
Rootkit
  • KERNEL_MEMORY_TAMPERING
  • KERNEL_INTEGRITY_TAMPERING
 Uma combinação de sinais que correspondem a um rootkit conhecido do modo kernel está presente. Para receber descobertas dessa categoria, verifique se os dois módulos estão ativados. As descobertas são classificadas com gravidade Alta por padrão.
Adulteração de memória do kernel
KERNEL_MEMORY_TAMPERING Há modificações inesperadas da memória de dados somente leitura do kernel. As descobertas são classificadas com gravidade Alta por padrão.
Adulteração de integridade do kernel
KERNEL_INTEGRITY_TAMPERING Os pontos ftrace estão presentes com callbacks que apontam para regiões que não estão no intervalo de código do módulo ou kernel esperado. As descobertas são classificadas com gravidade Alta por padrão.
KERNEL_INTEGRITY_TAMPERING São interrompidos os gerenciadores que não estão nas regiões esperadas de kernel ou módulo de código. As descobertas são classificadas com gravidade Alta por padrão.
KERNEL_INTEGRITY_TAMPERING As páginas de código do kernel que não estão nas regiões de código de kernel ou módulo esperadas estão presentes. As descobertas são classificadas com gravidade Alta por padrão.
KERNEL_INTEGRITY_TAMPERING Os pontos kprobe estão presentes com callbacks que apontam para regiões que não estão no intervalo de código do módulo ou kernel esperado. As descobertas são classificadas com gravidade Alta por padrão.
KERNEL_INTEGRITY_TAMPERING Há processos inesperados na fila de execução do programador. Esses processos estão na fila de execução, mas não na lista de tarefas do processo. As descobertas são classificadas com gravidade Alta por padrão.
KERNEL_INTEGRITY_TAMPERING Os gerenciadores de chamadas do sistema que não estão nas regiões de código de módulo ou kernel esperado estão presentes. As descobertas são classificadas com gravidade Alta por padrão.

Erros

Os detectores de erro ajudam a detectar erros na configuração que impedem as fontes de segurança de gerar descobertas. As descobertas de erro são geradas pela fonte de segurança Security Command Center e têm a classe de descoberta SCC errors.

Ações acidentais

As seguintes categorias de descoberta representam erros que podem ser causados por ações não intencionais.

Ações acidentais
Nome da categoria Nome da API Resumo Gravidade
API_DISABLED

Descrição da descoberta: uma API necessária está desativada para o projeto. O serviço desativado não pode enviar descobertas para o Security Command Center.

Nível de preços: Premium ou Standard

Recursos compatíveis
cloudresourcemanager.googleapis.com/Project

Verificações em lote: a cada 60 horas

Corrigir essa descoberta

Crítica
APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES

Descrição da descoberta: as configurações de valor do recurso são definidas para simulações de caminho de ataque, mas elas não correspondem a nenhuma instância de recurso no seu ambiente. As simulações estão usando o conjunto de recursos padrão de alto valor.

Esse erro pode ter uma das seguintes causas:

  • Nenhuma das configurações de valor de recurso corresponde a nenhuma instância de recurso.
  • Uma ou mais configurações de valor de recurso que especificam NONE substituem todas as outras configurações válidas.
  • Todas as configurações de valor de recurso definidas especificam um valor de NONE.

Nível de preços: Premium

Recursos compatíveis
cloudresourcemanager.googleapis.com/Organizations

Verificações em lote: antes de cada simulação de caminho de ataque.

Corrigir essa descoberta

Crítica
APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED

Descrição da descoberta: na última simulação de caminho de ataque, o número de instâncias de recursos de alto valor, conforme identificado pelas configurações de valor do recurso, excederam o limite de 1.000 instâncias de recursos em um conjunto de recursos de alto valor. Como resultado, o Security Command Center excluiu o número excessivo de instâncias do conjunto de recursos de alto valor.

O número total de instâncias correspondentes e o número total de instâncias excluídas do conjunto são identificados na descoberta SCC Error no console do Google Cloud .

As pontuações de exposição a ataques em quaisquer descobertas que afetem instâncias de recursos excluídos não refletem a designação de alto valor das instâncias de recursos.

Nível de preços: Premium

Recursos compatíveis
cloudresourcemanager.googleapis.com/Organizations

Verificações em lote: antes de cada simulação de caminho de ataque.

Corrigir essa descoberta

Alta
KTD_IMAGE_PULL_FAILURE

Descrição da descoberta: a Detecção de Ameaças em Contêiner não pode ser ativada no cluster porque uma imagem de contêiner necessária não pode ser extraída (transferida por download) de gcr.io, o host de imagens do Container Registry. A imagem é necessária para implantar o DaemonSet da Detecção de Ameaças em Contêiner que a Detecção de Ameaças em Contêiner requer.

A tentativa de implantar o DaemonSet de Detecção de Ameaças em Contêiner resultou no seguinte erro:

Failed to pull image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": rpc error: code = NotFound desc = failed to pull and unpack image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": failed to resolve reference "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00: not found

Nível de preços: Premium

Recursos compatíveis
container.googleapis.com/Cluster

Verificações em lote: a cada 30 minutos

Corrigir essa descoberta

Crítica
KTD_BLOCKED_BY_ADMISSION_CONTROLLER

Descrição da descoberta: não é possível ativar a Detecção de Ameaças em Contêiner em um cluster do Kubernetes. Um controlador de admissão de terceiros está impedindo a implantação de um objeto DaemonSet do Kubernetes que a Detecção de Ameaças em Contêiner exige.

Quando visualizados no console do Google Cloud , os detalhes da descoberta incluem a mensagem de erro que foi retornada pelo Google Kubernetes Engine quando a Detecção de Ameaças em Contêiner tentou implantar um objeto DaemonSet da Detecção de Ameaças em Contêiner.

Nível de preços: Premium

Recursos compatíveis
container.googleapis.com/Cluster

Verificações em lote: a cada 30 minutos

Corrigir essa descoberta

Alta
KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descrição da descoberta: uma conta de serviço não tem as permissões exigidas pela Detecção de Ameaças em Contêiner. O Container Threat Detection pode parar de funcionar corretamente porque a instrumentação de detecção não pode ser ativada, atualizada ou desativada.

Nível de preços: Premium

Recursos compatíveis
cloudresourcemanager.googleapis.com/Project

Verificações em lote: a cada 30 minutos

Corrigir essa descoberta

Crítica
GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descrição da descoberta: o Detecção de Ameaças em Contêiner não consegue gerar descobertas para um cluster do Google Kubernetes Engine porque a conta de serviço padrão do GKE no cluster não tem permissões. Isso impede que a Detecção de Ameaças em Contêiner seja ativada no cluster.

Nível de preços: Premium

Recursos compatíveis
container.googleapis.com/Cluster

Verificações em lote: semanalmente

Corrigir essa descoberta

Alta
MISCONFIGURED_CLOUD_LOGGING_EXPORT

Descrição da descoberta: o projeto configurado para a exportação contínua para o Cloud Logging não está disponível. O Security Command Center não pode enviar as descobertas ao Logging.

Nível de preços: Premium

Recursos compatíveis
cloudresourcemanager.googleapis.com/Organization

Verificações em lote: a cada 30 minutos

Corrigir essa descoberta

Alta
VPC_SC_RESTRICTION

Descrição da descoberta: a Análise de integridade da segurança não consegue produzir determinadas descobertas para um projeto. O projeto está protegido por um perímetro de serviço e a conta de serviço do Security Command Center não tem acesso ao perímetro.

Nível de preços: Premium ou Standard

Recursos compatíveis
cloudresourcemanager.googleapis.com/Project

Verificações em lote: a cada seis horas

Corrigir essa descoberta

Alta
EXTERNAL_EXPOSURE_VPC_SC_RESTRICTION

Descrição da descoberta: a Exposição Externa não pode realizar verificações nem gerar descobertas para um projeto. O projeto está protegido por um perímetro de serviço e o agente de serviço de exposição externa não tem acesso ao perímetro.

Nível de preços: Premium

Recursos compatíveis
cloudresourcemanager.googleapis.com/Project

Verificações em lote: a cada 12 horas

Corrigir essa descoberta

Alta
SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Descrição da descoberta: a conta de serviço do Security Command Center não tem as permissões necessárias para funcionar corretamente. Nenhuma descoberta foi produzida.

Nível de preços: Premium ou Standard

Recursos compatíveis

Verificações em lote: a cada 30 minutos

Corrigir essa descoberta

Crítica

Para saber mais, consulte Erros do Security Command Center.

Integração do Application Design Center

É possível integrar avaliações de segurança proativas diretamente ao ciclo de vida de desenvolvimento de aplicativos usando o Application Design Center (App Design Center) com o Security Command Center.

Essa integração se concentra nos seguintes conceitos principais.

Descobertas de tempo de design e de execução

  • Descobertas de tempo de design: originadas de verificações de modelos de infraestrutura como código (IaC) e aplicativos no App Design Center antes da implantação dos recursos. As descobertas de tempo de design são enviadas ao Security Command Center sob demanda quando você implanta um aplicativo. Não há verificação periódica automática dos designs de aplicativos. Para mais informações, consulte Retenção de dados.
  • Descobertas de ambiente de execução: originadas de recursos implantados no ambiente de nuvem.

O Security Command Center mostra os dois tipos de descobertas para ajudar a fornecer uma visão unificada da postura de segurança do aplicativo.

Aplicativos gerenciados e não gerenciados

O Security Command Center usa os seguintes termos para diferenciar os aplicativos com base na forma como são implantados:

Aplicativos gerenciados
Aplicativos que você projeta usando o App Design Center. Esses aplicativos são compatíveis com avaliações em tempo de design.
Aplicativos não gerenciados
Aplicativos registrados no App Hub, mas não gerenciados pelo App Design Center. Esses aplicativos são compatíveis com o monitoramento de ambiente de execução e a priorização de riscos no Security Command Center, mas não com avaliações de tempo de design.

Pontos de avaliação pré-implantação

É possível realizar avaliações de segurança em vários estágios do ciclo de vida do aplicativo no App Design Center.

  1. Fase de design: avaliações sob demanda no App Design Center quando você edita um modelo ou aplicativo.
  2. Fase de publicação: avaliações automáticas no App Design Center quando você publica modelos em um Catálogo de Serviços.
  3. Fase de implantação: uma verificação de avaliação final antes de provisionar recursos.

As descobertas de tempo de design só são enviadas ao Security Command Center quando o aplicativo é implantado.

Analisar as descobertas da avaliação de segurança do ciclo de vida do aplicativo no console

  1. No console do Google Cloud , acesse a página Descobertas do Security Command Center.

    Acessar descobertas

  2. Selecione Google Cloud o projeto ou a organização.
  3. Na seção Filtros rápidos, na subseção Nome de exibição da origem, selecione Application Design Center. Os resultados da consulta de descobertas são atualizados para mostrar apenas as descobertas dessa fonte.
  4. Para visualizar os detalhes de uma descoberta específica, clique no nome dela na coluna Categoria. O painel de detalhes da descoberta é aberto e mostra a guia Resumo.
  5. Na guia Resumo, revise os detalhes da descoberta, incluindo informações sobre o que foi detectado, o recurso afetado e, se disponível, as etapas que você pode seguir para corrigir a descoberta.
  6. Opcional: para conferir a definição JSON completa da descoberta, clique na guia JSON.

App Hub

O Security Command Center e o Compliance Manager permitem visualizar descobertas, problemas e informações de conformidade de recursos em um aplicativo específico do App Hub. É possível filtrar as visualizações investigativas para mostrar dados apenas dos recursos registrados em um aplicativo do App Hub.

É possível filtrar as seguintes visualizações de investigação:

  • Visão geral de riscos > Painel Todos os riscos
  • Visão geral de riscos > Painel Dados
  • Página Descobertas
  • Página Problemas
  • Guia Compliance > Monitor (New)
  • Página Compliance > Monitor (New) > Framework Details

Ao visualizar dados no nível da organização, use o menu Selecionar app para filtrar a visualização. Esse menu lista os aplicativos criados no App Hub e implantados na mesma organização em que o Security Command Center está ativo. As informações no menu Selecionar app são recuperadas do Inventário de recursos do Cloud e do App Hub.

O menu Selecionar app não fica disponível ao visualizar dados de um único projeto ou pasta.

A seguir