選擇要啟用的服務

本文列出 Security Command Center 用來偵測雲端環境安全性問題的偵測服務，有時也稱為「安全性來源」。

這些服務偵測到問題時，會產生發現項目，也就是識別安全性問題的記錄，並提供您所需的資訊，以便排定優先順序及解決問題。

您可以在 Google Cloud 控制台查看發現項目，並透過多種方式篩選，例如依發現項目類型、資源類型或特定資產篩選。每個安全性來源可能提供更多篩選器，協助您整理發現項目。

您可以在組織、資料夾或專案層級，授予 Security Command Center 的 IAM 角色。您能否查看、編輯、建立或更新發現項目、資產和安全性來源，取決於您獲得的存取權層級。如要進一步瞭解 Security Command Center 角色，請參閱「存取控管」。

安全漏洞和設定錯誤偵測服務

這些偵測服務包括內建和整合式服務，可偵測雲端環境中的軟體安全漏洞、資源設定錯誤和安全防護機制違規情形。在發現項目定義中，這些問題會分類為不同的發現項目類別，例如 Vulnerability、Misconfiguration、Observation 和 Posture violation。

AI Protection

AI Protection 可偵測威脅，並協助您降低 AI 資產清單的風險，管理 AI 工作負載的資安態勢。

AI Protection 提供下列偵測功能：

  • 評估 AI 資產清單：提供 AI 系統和資產的洞察資訊，例如模型、資料來源、端點和 AI 代理。
  • 找出安全漏洞：偵測透過 Agent Runtime 部署的代理工作負載中，是否有軟體安全漏洞 (CVE)。
  • 找出風險：使用攻擊路徑模擬和安全圖譜規則，找出代理風險及其對環境的潛在影響。
  • 偵測權限過高的代理：找出權限過高的 AI 代理。
  • 偵測及管理威脅：透過 Event Threat Detection 和 Agent Platform Threat Detection 等其他 Security Command Center 服務的整合規則，偵測及因應鎖定 AI 系統和資產的潛在威脅。
  • 偵測 Model Armor 保護機制：偵測 Model Armor 是否保護模型。

詳情請參閱「AI Protection 總覽」。

Artifact Registry 安全漏洞評估

Artifact Registry 安全漏洞評估是一項偵測服務，可針對已部署容器映像檔中的安全漏洞發出警示。

這項偵測服務會在下列情況下，產生容器映像檔的安全漏洞發現項目：

  • 容器映像檔會儲存在 Artifact Registry。

  • 容器映像檔會部署至下列其中一項資產：

    • Google Kubernetes Engine 叢集
    • Cloud Run 服務
    • Cloud Run 工作
    • App Engine

詳情請參閱「Artifact Registry 安全漏洞評估總覽」。

Agent Platform 安全漏洞評估

Agent Platform 安全漏洞評估會找出下列項目：

  • 使用 Agent Platform 部署的代理工作負載中，是否有安全漏洞。
  • Gemini Enterprise Agent Platform 容器映像檔中，含有憑證、金鑰、存取權杖或憑證等明文密鑰。

安全漏洞偵測

Agent Platform 安全漏洞評估會找出您透過 Agent Platform 部署的代理工作負載中，有哪些軟體安全漏洞 (CVE)。

在部署或更新期間，這項掃描器會自動評估作業執行個體中的自訂程式碼和依附元件。

啟用 Agent Platform 安全漏洞評估

新啟用 AI Protection 時，系統會自動啟用 Agent Platform 安全漏洞評估。

現有客戶可以在「AI Protection settings」(AI 防護設定) 頁面啟用掃描器。詳情請參閱「設定代理程式平台安全漏洞評估」。

在控制台查看 Agent Platform 安全漏洞評估發現項目

  1. 前往 Google Cloud 控制台，開啟 Security Command Center 的「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或組織。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「Vulnerability Assessment for Agent Platform」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

構件防護

Artifact Guard (預先發布版) 服務可協助您在建構程序中，防止部署有安全漏洞的套件。支援三種政策範圍：CI/CD 平台、註冊資料庫和執行階段。CI/CD 整合可讓您設定 CI/CD 平台的連接器。您可以使用這些連接器設定構件防護政策，找出 CI/CD 管道中的安全漏洞。

Compliance Manager 發現項目

法規遵循管理員會針對您在 Google Cloud 環境中部署的偵測和預防雲端控管措施，建立發現項目。您可以在 Security Command Center 的「發現項目」頁面查看這些發現項目。

Compliance Manager 為每個服務層級提供不同的功能。詳情請參閱「Compliance Manager 總覽」。

在控制台中查看法規遵循管理工具發現項目

  1. 前往 Google Cloud 控制台，開啟 Security Command Center 的「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或組織。
  3. 在「快速篩選器」部分的「來源顯示名稱」子節中，選取「法規遵循評估服務」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

Data Security Posture Management

Data Security Posture Management (DSPM) 會針對環境中套用的資料安全性架構和雲端控管機制，建立潛在違規事項的發現項目。您可以在 Security Command Center 的「資料安全性與法規遵循」頁面、「風險總覽」頁面 (位於「資料」分頁下方) 或「發現項目」頁面查看這些發現項目。DSPM 為每個服務級別提供不同的功能。詳情請參閱「Data Security Posture Management (DSPM) 總覽」。

在控制台中查看 DSPM 發現項目

  1. 前往 Google Cloud 控制台，開啟 Security Command Center 的「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 組織。

  3. 使用下列查詢，查看 DSPM 的發現項目：

    state="ACTIVE" AND NOT mute="MUTED" AND resource.name="//aiplatform.googleapis.com/projects/478190632149/locations/us-central1/models/1244151282898305024" AND category="DATA_SECURITY_POSTURE_ACCESS_VIOLATION" OR category="DATA_SECURITY_POSTURE_FLOW_VIOLATION" OR category="DATA_SECURITY_POSTURE_DELETION_VIOLATION" OR category="DATA_SECURITY_POSTURE_PROTECTION_KEY_GOVERNANCE" OR category="BIGQUERY_TABLE_CMEK_DISABLED" OR category="VERTEX_AI_MODEL_CMEK_DISABLED" OR category="VERTEX_AI_METADATA_STORE_CMEK_DISABLED" OR category="VERTEX_AI_DATASET_CMEK_DISABLED" OR category="VERTEX_AI_FEATURE_STORE_TABLE_CMEK_DISABLED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_MISCONFIGURED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_DELETED" OR category="DATA_SECURITY_POSTURE_CMEK_VIOLATION" OR category="SENSITIVE_DATA_PUBLIC_SQL_INSTANCE" OR category="SENSITIVE_DATA_PUBLIC_DATASET" OR category="SENSITIVE_DATA_BIGQUERY_TABLE_CMEK_DISABLED" OR category="SENSITIVE_DATA_DATASET_CMEK_DISABLED" OR category="SENSITIVE_DATA_SQL_CMEK_DISABLED" OR category="PUBLIC_DATASET" OR category="PUBLIC_SQL_INSTANCE" OR category="SQL_PUBLIC_IP" OR category="ACCESS_TRANSPARENCY_DISABLED" OR category="ORG_POLICY_LOCATION_RESTRICTION" OR category="BUCKET_POLICY_ONLY_DISABLED" OR category="DATA_EXFILTRATION_BIG_QUERY" OR category="DATA_EXFILTRATION_BIG_QUERY_EXTRACTION" OR category="DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE"

  4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。

  5. 在「Summary」(摘要) 分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及修復發現項目的步驟 (如有)。

  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

External Exposure

Security Command Center External Exposure 是一項 Google Cloud 服務，可透過自動探索和風險驗證，協助您管理及減少外部攻擊面。

自動掃描器可在幾分鐘內鎖定公開至網際網路的資產，因此 External Exposure 會主動找出意外公開的資產和影子資源，避免攻擊者發現並加以利用。

這項服務會從外部角度分析環境，嘗試確認哪些資源確實可從網際網路存取，並找出哪些暴露的資源實際上可遭利用。

外部暴露會持續掃描 Google Cloud環境中對外公開的 IP 位址、主機名稱、網域名稱和網址。這項功能會使用網路掃描，確認哪些資源和應用程式可從公開網際網路連線。

針對每個確認的暴露，External Exposure 會執行下列操作：

  • 追蹤並顯示 Google Cloud 外部負載平衡器、Google Cloud Armor 政策、防火牆規則、Private Service Connect、Cloud Interconnect 和後端服務的網路路徑，直到公開的資源。

    這項資源可以是 Compute Engine 執行個體或 Google Kubernetes Engine (GKE) Pod，包括公開的服務或應用程式。

    這項功能與 Google 網路架構深度整合，可提供可做為行動依據的情境資訊，讓您立即採取預防性緩解措施，例如鎖定特定防火牆規則或設定 Google Cloud Armor。

  • 執行指紋辨識，嘗試識別在每個公開資產上執行的特定網頁應用程式或伺服器軟體。

  • 如果能識別公開的服務或軟體，則會識別已知會影響該服務或軟體的任何安全漏洞。

  • 使用進階被動和主動偵測工具，驗證安全漏洞、錯誤設定，以及預設或弱式憑證的使用情形，測試實際可利用性。

在控制台查看對外洩露的發現項目

  1. 前往 Google Cloud 控制台，開啟 Security Command Center 的「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或組織。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「外部暴露」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

GKE 資安態勢資訊主頁

Google Kubernetes Engine (GKE) 資安態勢資訊主頁是Google Cloud 控制台中的一個頁面，提供 GKE 叢集潛在安全性問題的規範性和可做為行動依據的發現項目。

GKE 資安態勢資訊主頁與 Security Command Center 整合，可提供下列優點：

  • 統一檢視：在 Security Command Center 控制台中，查看 GKE 叢集的安全性發現項目，以及其他 Security Command Center 服務的發現項目。
  • 受攻擊風險分數：查看發現項目對環境的潛在影響，並依據受攻擊風險分數決定優先順序。
  • 法規遵循報告：根據發現項目產生法規遵循報告。

如要查看這些發現項目，請啟用下列任一 GKE 資安態勢資訊主頁功能：

GKE 資安態勢資訊主頁窗格 Security Command Center 發現項目類別
工作負載設定稽核1 MISCONFIGURATION
主要威脅2 THREAT
容器 OS 安全漏洞掃描1 VULNERABILITY
語言套件安全漏洞掃描1 VULNERABILITY
可採取行動的安全性公告1 (預先發布版) VULNERABILITY
重大軟體安全漏洞2 VULNERABILITY
  1. 必須在 GKE 中啟用這項功能，才能使用。
  2. 適用於 Security Command Center Premium 和 Enterprise 服務級別。

發現項目會顯示安全性問題的相關資訊，並提供建議，協助您解決工作負載或叢集中的問題。

在控制台查看 GKE 資安態勢資訊主頁發現項目

  1. 前往 Google Cloud 控制台，開啟 Security Command Center 的「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或組織。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「GKE 安全防護機制」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

IAM 推薦功能

IAM 建議工具會產生建議，您可以按照建議移除或替換主體的 IAM 角色，提高安全性，因為這些角色包含主體不需要的 IAM 權限。

啟用 Security Command Center 時，系統會自動啟用 IAM 建議工具。

啟用或停用 IAM 建議工具發現項目

如要在 Security Command Center 啟用或停用 IAM 推薦工具發現項目，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台，在 Security Command Center 的「Settings」(設定) 頁面中，點選「Integrated services」(整合服務) 分頁標籤：

    前往「Integrated Services」(整合服務)

  2. 前往「IAM 建議工具」項目。

  3. 在項目右側選取「啟用」或「停用」。

IAM 建議工具的發現項目會歸類為安全漏洞。

如要修復 IAM 建議工具發現項目，請展開下列部分，查看 IAM 建議工具發現項目表格。表格項目中會列出各項發現結果的修復步驟。

在控制台中查看 IAM 建議工具發現項目

  1. 前往 Google Cloud 控制台，開啟 Security Command Center 的「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或組織。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「IAM 推薦工具」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

在 Security Command Center Premium，您也可以選取「IAM recommender」(IAM 建議工具) 查詢預設設定，在舊版「Vulnerabilities」(安全漏洞) 頁面查看 IAM 建議工具發現項目。

Mandiant Attack Surface Management

Mandiant 是第一線威脅情報的全球領導者。Mandiant Attack Surface Management 可找出外部攻擊面的安全漏洞和錯誤設定，協助您掌握最新網路攻擊。

啟用 Security Command Center Enterprise 級別後，系統會自動啟用 Mandiant Attack Surface Management，並在 Google Cloud 控制台中提供發現項目。

如要瞭解獨立 Mandiant Attack Surface Management 產品與 Security Command Center 整合的 Mandiant Attack Surface Management 有何差異，請參閱 Mandiant 說明文件入口網站的「ASM and Security Command Center」(ASM 和 Security Command Center)。這個連結需要 Mandiant 驗證。

在控制台查看 Mandiant Attack Surface Management 發現項目

  1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或組織。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「Mandiant Attack Surface Management」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

Security Command Center 和 Mandiant Attack Surface Management 都不會將發現項目標示為已解決。解決問題後，您可以手動將問題標示為已解決。如果下次 Mandiant Attack Surface Management 掃描時未偵測到該問題，則會維持已解決狀態。

Model Armor 發現項目

Model Armor 是全代管 Google Cloud 服務，可篩選 LLM 提示詞和回覆，提升 AI 應用程式的安全性。

發現項目 摘要

API 中的類別名稱：FLOOR_SETTINGS_VIOLATION

發現項目說明：Model Armor 範本不符合資源階層底限設定定義的最低安全標準，因而違反底限設定。

發現項目類別：設定錯誤

定價級別：進階

修正這項發現項目：

您必須更新 Model Armor 範本，使其符合資源階層中定義的底限設定。

Notebook Security Scanner

Notebook Security Scanner 是 Security Command Center 的內建套件安全漏洞偵測服務。啟用 Notebook Security Scanner 後，系統會每 24 小時自動掃描 Colab Enterprise 筆記本 (副檔名為 ipynb 的檔案)，偵測 Python 套件中的安全漏洞，並將這些發現項目發布至 Security Command Center 的「發現項目」頁面。

Notebook Security Scanner 適用於在下列區域建立的 Colab Enterprise 筆記本：us-central1、us-east4、us-west1 和 europe-west4。

如要開始使用 Notebook Security Scanner，請參閱「啟用及使用 Notebook Security Scanner」。

Policy Controller

Policy Controller 可讓您對 Kubernetes 叢集套用並強制執行可設定的政策。這些政策可以做為防護機制，協助您管理叢集和機群的最佳做法、安全性與法規遵循事宜。

如果您安裝 Policy Controller，並啟用任何 Policy Controller 套件，Policy Controller 會自動將叢集違規事項，以 Misconfiguration 類別發現項目的形式寫入 Security Command Center。Security Command Center 發現項目的說明和後續步驟，與對應 Policy Controller 套件的限制說明和修復步驟相同。

Policy Controller 發現項目來自下列 Policy Controller 套裝組合：

如要尋找及修復 Policy Controller 發現項目，請參閱「修復 Policy Controller 發現項目」。

Risk Engine

Security Command Center Risk Engine 會評估雲端部署項目的風險暴露程度、為安全漏洞發現項目和高價值資源指派受攻擊風險分數，並繪製潛在攻擊者可能用來存取高價值資源的路徑圖。

在 Security Command Center 的企業版或進階級中，風險引擎會偵測各種安全問題，如果這些問題同時發生，就會導致一或多個高價值資源產生漏洞，讓準備充分的攻擊者獲得入侵資源的機會。

當風險引擎偵測到其中一種組合時，就會產生 TOXIC_COMBINATION 類別發現項目。在發現項目中，風險引擎會列為發現項目的來源。

Risk Engine 也會找出多個攻擊路徑匯聚的常見資源或資源群組，然後產生 CHOKEPOINT 類別發現項目。

詳情請參閱「有害組合和瓶頸總覽」。

安全狀態分析

安全狀態分析 是 Security Command Center 的內建偵測服務，可對雲端資源進行代管掃描，偵測常見的設定錯誤。

偵測到設定錯誤時，安全狀態分析會產生發現項目。多數安全狀態分析發現項目都會對應至安全標準控管機制，方便您評估法規遵循情形。

安全狀態分析會在 Google Cloud掃描資源。如果您使用 Enterprise 級別，並與其他雲端平台建立連線，安全狀態分析 也可以掃描這些雲端平台上的資源。

可用的偵測工具會因您使用的 Security Command Center 服務級別而異：

  • 在 Standard-legacy 級中，安全狀態分析僅包含一組基本的中嚴重性和高嚴重性安全漏洞偵測工具。
  • 進階級包含 Google Cloud的所有安全漏洞偵測工具。
  • Enterprise 級別則包含其他雲端平台的偵測工具。

啟用 Security Command Center 時，系統會自動啟用安全狀態分析。

如要瞭解詳情，請參考下列資源：

資安態勢服務

安全防護機制服務是 Security Command Center 進階方案的內建服務，可讓您定義、評估及監控 Google Cloud中的整體安全性狀態。這項服務會提供資訊，說明環境與您在資安態勢中定義的政策是否一致。

資安態勢服務與 GKE 安全防護機制資訊主頁無關，後者只會顯示 GKE 叢集中的發現項目。

Sensitive Data Protection

Sensitive Data Protection 是一項全代管 Google Cloud 服務，可協助您探索、分類及保護機密資料。您可以使用 Sensitive Data Protection，判斷是否儲存了機密或個人識別資訊 (PII)，例如：

  • 人名
  • 信用卡號碼
  • 國民或州/省身分證字號
  • 健康保險 ID 號碼
  • 密鑰

在 Sensitive Data Protection 中，您搜尋的每種機密資料類型都稱為 infoType。

如果您將 Sensitive Data Protection 作業設為將結果傳送至 Security Command Center，除了 Sensitive Data Protection 專區，您也可以直接在 Google Cloud 控制台的 Security Command Center 專區查看發現項目。

如果您使用 VPC Service Controls service perimeter，並想探索這些 perimeter 內的機密資料，請參閱「允許在 service perimeter 內探索機密資料」。如果未執行這項工作，可能會收到警告。

Sensitive Data Protection 掃描延遲時間

視組織規模而定，啟用機密資料探索功能後，Sensitive Data Protection 發現項目可能在幾分鐘內就會開始顯示在 Security Command Center。如果組織規模較大，或有特定設定會影響發現項目生成，則可能需要最多 12 小時，初始發現項目才會顯示在 Security Command Center。

探索服務掃描資源後，Sensitive Data Protection 會在幾分鐘內於 Security Command Center 產生發現項目。

Sensitive Data Protection 探索服務發現的安全漏洞

Sensitive Data Protection 探索服務可協助您判斷是否儲存了未受保護的高度機密資料。

類別 摘要

API 中的類別名稱：

PUBLIC_SENSITIVE_DATA

發現項目說明：指定資源含有 高度機密資料，網際網路上的任何人都能存取。

支援的素材資源：

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Amazon S3 儲存貯體
  • Azure Blob 儲存體容器

修復：

如果是 Google Cloud 資料，請從資料資產的 IAM 政策中移除 allUsers 和 allAuthenticatedUsers。

如果是 Amazon S3 資料，請設定封鎖公開存取權，或更新物件的 ACL，拒絕公開讀取權限。詳情請參閱 AWS 說明文件中的「 設定 S3 儲存貯體的封鎖公開存取設定」和「設定 ACL」。

如果是 Azure Blob 儲存體資料，請移除容器和 Blob 的公開存取權。詳情請參閱 Azure 說明文件中的「Overview: Remediating anonymous read access for blob data」(總覽：修復 Blob 資料的匿名讀取權限)。

法規遵循標準：未對應

API 中的類別名稱：

SECRETS_IN_ENVIRONMENT_VARIABLES

發現項目說明：環境變數中有 密鑰，例如密碼、驗證權杖和 Google Cloud 憑證。

如要啟用這項偵測工具，請參閱 Sensitive Data Protection 說明文件中的「 向 Security Command Center 回報環境變數中的密鑰」。

支援的素材資源：

修復：

如果是 Cloud Run functions 環境變數，請從環境變數中移除密鑰，並改為儲存在 Secret Manager。

如要移除 Cloud Run 服務修訂版本環境變數，請將所有流量移出修訂版本，然後刪除修訂版本。

法規遵循標準：

  • CIS GCP Foundation 1.3：1.18
  • CIS GCP Foundation 2.0：1.18

API 中的類別名稱：

SECRETS_IN_STORAGE

發現項目說明：指定資源中含有 密鑰，例如密碼、驗證權杖和雲端憑證。

支援的素材資源：

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Amazon S3 儲存貯體
  • Azure Blob 儲存體容器

修復：

  1. 如果是 Google Cloud 資料，請使用 Sensitive Data Protection 對指定資源執行深度檢查掃描，找出所有受影響的資源。如果是 Cloud SQL 資料，請將資料匯出至 Cloud Storage bucket 中的 CSV 或 AVRO 檔案，然後對 bucket 執行深度檢查掃描作業。

    如要查看其他雲端服務供應商的資料，請手動檢查指定的值區或容器。

  2. 移除偵測到的 Secret。
  3. 建議您重設憑證。
  4. 如果是 Google Cloud 資料，建議改為將偵測到的 Secret 儲存在 Secret Manager。

法規遵循標準：未對應

Sensitive Data Protection 探索服務的設定錯誤發現項目

Sensitive Data Protection 探索服務可協助您判斷是否有設定錯誤，可能導致機密資料外洩。

類別 摘要

API 中的類別名稱：

SENSITIVE_DATA_CMEK_DISABLED

發現項目說明：指定資源含有 高敏感度或中敏感度資料，且資源未使用客戶自行管理的加密金鑰 (CMEK)。

支援的素材資源：

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Amazon S3 儲存貯體
  • Azure Blob 儲存體容器

修復：

法規遵循標準：未對應

Sensitive Data Protection 的觀察發現項目

本節說明 Sensitive Data Protection 在 Security Command Center 中產生的觀察發現項目。

Sensitive Data Protection 探索服務可協助您判斷資料是否包含特定 infoType，以及這些資料在貴組織、資料夾和專案中的存放位置。這項服務會在 Security Command Center 產生下列觀察發現項目類別：

類別 摘要

API 中的類別名稱：

DATA_SENSITIVITY

發現項目說明：指出特定資料資產中資料的機密程度。如果資料含有 PII 或其他可能需要額外控管或管理的元素，即為機密資料。發現項目的嚴重性是 Sensitive Data Protection 在產生資料剖析檔時計算出的機密程度。

API 中的類別名稱：

DATA_RISK

發現項目說明：資料在目前狀態下的風險。計算資料風險時，Sensitive Data Protection 會考量資料資產中的資料機密程度，以及是否有存取控管機制保護資料。發現項目的嚴重性是指 Sensitive Data Protection 在產生資料剖析檔時計算出的資料風險等級。

如要瞭解如何將資料剖析結果傳送至 Security Command Center，請參閱「啟用機密資料探索」。

Sensitive Data Protection 檢查服務的觀測結果

Sensitive Data Protection 檢查工作會找出 Cloud Storage bucket 或 BigQuery 資料表等儲存系統中，特定 infoType 的每個資料例項。舉例來說，您可以執行檢查工作，在 Cloud Storage bucket 中搜尋與 CREDIT_CARD_NUMBER infoType 偵測工具相符的所有字串。

針對有一或多個相符項目的每個 infoType 偵測工具，Sensitive Data Protection 會產生對應的 Security Command Center 發現項目。發現項目類別是比對成功的 infoType 偵測工具名稱，例如 Credit card number。發現項目包含在資源文字或圖片中偵測到的相符字串數量。

基於安全考量，偵測到的實際字串不會包含在發現項目中。舉例來說，Credit card number 發現項目會顯示找到的信用卡卡號數量，但不會顯示實際的信用卡卡號。

Sensitive Data Protection 內建超過 150 種 infoType 偵測工具，因此這裡並未列出所有可能的 Security Command Center 發現項目類別。如需 infoType 偵測工具的完整清單，請參閱「infoType 偵測工具參考資料」。

如要瞭解如何將檢查工作的結果傳送至 Security Command Center，請參閱「將 Sensitive Data Protection 檢查工作結果傳送至 Security Command Center」。

在控制台查看 Sensitive Data Protection 發現項目

  1. 前往 Google Cloud 控制台，開啟 Security Command Center 的「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或組織。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「Sensitive Data Protection」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

VM 管理員

VM 管理員是一套作業系統管理工具，適合用於 Compute Engine 中的 Windows 和 Linux 大型虛擬機器 (VM) 機群。

如要搭配專案層級啟用的 Security Command Center Premium 使用 VM 管理員，請在上層組織中啟用 Security Command Center Standard 舊版。

如果您使用 Security Command Center 進階級啟用 VM Manager，VM Manager 會自動將安全漏洞報告 (預先發布版) 中的 high 和 critical 發現項目寫入 Security Command Center。報表會指出 VM 安裝的作業系統 (OS) 有哪些安全漏洞，包括常見安全漏洞與弱點 (CVE)。

安全漏洞報告不適用於 Security Command Center Standard 舊版方案。

發現項目可簡化使用 VM 管理員 修補程式法規遵循功能 (預先發布版) 的程序。與 Security Command Center 進階級整合後，這項功能可讓您在組織層級查看所有專案，並進行修補管理。雖然個別修補工作是在 VM 管理員 的專案層級設定，但 Security Command Center 提供整合檢視畫面，可協助您管理整個組織的修補工作。

如要修復 VM 管理員 發現項目，請參閱「修復 VM 管理員 發現項目」。

如要停止將安全漏洞報告寫入 Security Command Center，請參閱「忽略 VM 管理員發現項目」。

這類安全漏洞都與支援的 Compute Engine VM 中安裝的作業系統套件有關。

偵測工具 摘要 資產掃描設定

API 中的類別名稱：OS_VULNERABILITY

發現項目說明：VM 管理員偵測到 Compute Engine VM 安裝的作業系統 (OS) 套件有安全漏洞。

定價級別：進階

支援的素材資源

compute.googleapis.com/Instance

修正這項發現項目

VM Manager 的 安全漏洞報告會詳細列出 Compute Engine VM 已安裝作業系統套件中的安全漏洞，包括 常見安全漏洞和暴露事項 (CVE)。

如需支援的作業系統完整清單，請參閱「作業系統詳細資料」。

偵測到安全漏洞後，發現項目很快就會顯示在 Security Command Center。 VM 管理員 的安全漏洞報告產生方式如下：

  • 在 VM 的作業系統中安裝或更新套件後，您應該會在變更後的兩小時內，在 Security Command Center 中看到 VM 的 常見安全漏洞與揭露事項 (CVE) 資訊。
  • 作業系統發布新的安全性公告後，更新的 CVE 通常會在作業系統供應商發布公告後的 24 小時內提供。

AWS 安全漏洞評估

Amazon Web Services (AWS) 安全漏洞評估服務會偵測在 AWS 雲端平台 EC2 虛擬機器 (VM) 上執行的工作負載，找出軟體安全漏洞。

針對偵測到的每個安全漏洞，AWS 安全漏洞評估會在 Security Command Center 的 Software vulnerability 發現項目類別中，產生 Vulnerability 類別發現項目。

AWS 安全漏洞評估服務會掃描執行中 EC2 機器執行個體的快照，因此不會影響正式環境工作負載。這種掃描方法稱為「無代理程式磁碟掃描」，因為掃描目標上未安裝任何代理程式。

如要瞭解詳情，請參考下列資源：

Google Cloud安全漏洞評估

Google Cloud 服務的安全漏洞評估功能會偵測 Google Cloud 平台下列 資源中的軟體安全漏洞：

  • 執行 Compute Engine VM 執行個體
  • GKE Standard 叢集中的節點
  • 在 GKE Standard 和 GKE Autopilot 叢集中執行的容器

針對偵測到的每個安全漏洞， Google Cloud 的安全漏洞評估功能會在 Security Command Center 的 Software vulnerability 或 OS vulnerability 發現項目類別中，產生 Vulnerability 類別發現項目。

Google Cloud 的 Vulnerability Assessment 服務會掃描 Compute Engine VM 執行個體，方法是每隔約 12 小時複製磁碟、將磁碟掛接至安全的 VM 執行個體，然後使用 SCALIBR 掃描器評估磁碟。

詳情請參閱「 Google Cloud的安全漏洞評估」。

Web Security Scanner

Web Security Scanner：針對公開的 App Engine、GKE 和 Compute Engine 服務網頁應用程式，提供代管和自訂網頁安全漏洞掃描。

代管掃描

Web Security Scanner 代管掃描作業是由 Security Command Center 設定及管理。代管掃描作業每週會自動執行一次，偵測及掃描公開網路端點。這類掃描作業不使用驗證機制，且只會傳送 GET 要求，因此不會在實際運作的網站上提交任何表單。

代管掃描與自訂掃描會分開執行。

如果 Security Command Center 是在組織層級啟用，您可以使用代管掃描，集中管理組織中專案的基本網頁應用程式安全漏洞偵測，不必涉及個別專案團隊。發現問題後，您可以與這些團隊合作，設定更全面的自訂掃描。

啟用 Web Security Scanner 服務後，Security Command Center 的「Vulnerabilities」(安全漏洞) 頁面和相關報告會自動顯示代管掃描發現項目。如要瞭解如何啟用 Web Security Scanner 代管掃描，請參閱「設定 Security Command Center 服務」。

代管掃描作業僅支援使用預設通訊埠的應用程式，也就是 HTTP 連線使用 80，HTTPS 連線使用 443。如果應用程式使用非預設通訊埠，請改為執行自訂掃描。

自訂掃描

Web Security Scanner 自訂掃描功能可提供應用程式安全漏洞發現項目的精細資訊，例如過時的程式庫、跨網站指令碼攻擊或使用混合內容。

您可以在專案層級定義自訂掃描。

完成設定 Web Security Scanner 自訂掃描指南後，即可在 Security Command Center 查看自訂掃描發現項目。

偵測工具和法規遵循

Web Security Scanner 支援 OWASP Top Ten 中的類別。OWASP Top Ten 是由 Open Web Application Security Project (OWASP) 確定的文件，針對前 10 大最嚴重的網頁應用程式安全風險進行排名，並提供修復指南。如要瞭解如何防範 OWASP 風險， 請參閱「防範 2025 年 OWASP 十大資安風險 Google Cloud」。

法規遵循對應僅供參考，並非由 OWASP Foundation 提供或審查。

這項功能僅用於監控是否違反法規遵循控管機制。請勿將對應關係做為依據或替代方案，用於稽核、認證或報告您的產品或服務是否符合任何法規或業界基準化或標準。

詳情請參閱「Web Security Scanner 總覽」。

威脅偵測服務

威脅偵測服務包括內建和整合式服務，可偵測可能有害的事件，例如資源遭入侵或網路攻擊。

Agent Platform Threat Detection

Agent Platform Threat Detection 可針對部署至 Agent Runtime 的代理，提供執行階段威脅偵測功能。這項服務會監控執行中的代理程式，找出潛在攻擊，並在 Security Command Center 產生發現項目。

Agent Platform Threat Detection 可為 Agent Runtime 產生發現項目，包括下列類別：

  • 指揮與控制：偵測到隱寫術工具
  • 憑證存取：尋找 Google Cloud 憑證
  • 憑證存取：GPG 金鑰偵查
  • 憑證存取：搜尋私密金鑰或密碼
  • 規避防禦機制：Base64 ELF 檔案指令列
  • 規避防禦：已執行 Base64 編碼的 Python 指令碼
  • 規避防禦機制：已執行 Base64 編碼的殼層指令碼
  • 規避防禦機制：在容器中啟動程式碼編譯器工具
  • 執行：容器中的 Netcat 遠端執行程式碼
  • 執行：可能透過 CUPS 執行任意指令 (CVE-2024-47177)
  • 執行：偵測到可能的遠端指令執行作業
  • 執行：在不允許 HTTP Proxy 的環境執行程式
  • 執行：偵測到 Socat 反向殼層
  • 執行：載入了可疑的 OpenSSL 共用物件
  • 竊取：在容器中啟動遠端檔案複製工具
  • 影響：偵測惡意指令列
  • 影響：從磁碟移除大量資料
  • 影響：使用 Stratum 通訊協定的可疑加密貨幣挖礦活動
  • 提權：濫用 Sudo 來提權 (CVE-2019-14287)
  • 提權：Polkit 本機提權安全漏洞 (CVE-2021-4034)
  • 提權：Sudo 存在提權風險 (CVE-2021-3156)
  • 執行：執行惡意 Python
  • 執行：容器跳脫
  • 執行：Kubernetes 攻擊工具執行作業
  • 執行：本機偵察工具執行作業
  • 影響：已執行惡意指令碼
  • 影響：偵測到惡意網址
  • 執行：非預期的子殼層

詳情請參閱「Agent Platform 威脅偵測」。

異常偵測

異常偵測是內建服務，會使用系統外部的行為信號。這項功能會顯示服務帳戶偵測到的安全性異常狀況詳細資訊，例如可能外洩的憑證。啟用 Security Command Center Standard (舊版) 或進階級時，系統會自動啟用異常偵測功能，並在 Google Cloud 控制台提供發現項目。

異常偵測發現項目包括：

異常狀況名稱 發現項目類別 說明
account_has_leaked_credentials

Google Cloud 服務帳戶的憑證不慎在網路上外洩或遭到入侵。

嚴重性：重大

帳戶憑證外洩

GitHub 已通知 Security Command Center，用於修訂版本的憑證似乎是Google Cloud Identity and Access Management 服務帳戶的憑證。

通知中會包含服務帳戶名稱和私密金鑰 ID。 Google Cloud 也會傳送電子郵件通知給指定的安全性與隱私權問題聯絡人。

如要解決這個問題，請採取下列一或多項行動：

  • 找出金鑰的合法使用者。
  • 輪替金鑰。
  • 移除車鑰。
  • 調查金鑰外洩後執行的任何動作，確保沒有任何惡意動作。

JSON：帳戶憑證外洩發現項目

{
  "findings": {
    "access": {},
    "assetDisplayName": "PROJECT_NAME",
    "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID",
    "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "category": "account_has_leaked_credentials",
    "contacts": {
      "security": {
        "contacts": [
          {
            "email": "EMAIL_ADDRESS"
          }
        ]
      }
    },
    "createTime": "2022-08-05T20:59:41.022Z",
    "database": {},
    "eventTime": "2022-08-05T20:59:40Z",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat",
    "indicator": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID",
    "parentDisplayName": "Cloud Anomaly Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "severity": "CRITICAL",
    "sourceDisplayName": "Cloud Anomaly Detection",
    "state": "ACTIVE",
    "vulnerability": {},
    "workflowState": "NEW"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "display_name": "PROJECT_NAME",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "project_display_name": "PROJECT_NAME",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": []
  },
  "sourceProperties": {
    "project_identifier": "PROJECT_ID",
    "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
    "finding_type": "Potential compromise of a resource in your organization.",
    "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.",
    "action_taken": "Notification sent",
    "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID",
    "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json"
  }
}

Container Threat Detection

Container Threat Detection 可偵測最常見的容器執行階段攻擊，並在 Security Command Center 和 Cloud Logging (選用) 中發出警示。Container Threat Detection 包含多項偵測功能、分析工具和 API。

Container Threat Detection 偵測檢測設備會收集訪客核心中的低階行為，並對程式碼執行自然語言處理，以偵測下列事件：

  • Added Binary Executed
  • Added Library Loaded
  • Command and Control: Steganography Tool Detected (預先發布版)
  • Credential Access: Find Google Cloud Credentials
  • Credential Access: GPG Key Reconnaissance
  • Credential Access: Search Private Keys or Passwords
  • Defense Evasion: Base64 ELF File Command Line
  • Defense Evasion: Base64 Encoded Python Script Executed
  • Defense Evasion: Base64 Encoded Shell Script Executed
  • Defense Evasion: Launch Code Compiler Tool In Container (預先發布版)
  • Execution: Added Malicious Binary Executed
  • Execution: Added Malicious Library Loaded
  • Execution: Built in Malicious Binary Executed
  • Execution: Container Escape
  • Execution: Fileless Execution in /memfd:
  • Execution: Ingress Nightmare Vulnerability Execution (預先發布版)
  • Execution: Kubernetes Attack Tool Execution
  • Execution: Local Reconnaissance Tool Execution
  • Execution: Malicious Python executed
  • Execution: Modified Malicious Binary Executed
  • Execution: Modified Malicious Library Loaded
  • Execution: Netcat Remote Code Execution In Container
  • Execution: Possible Arbitrary Command Execution through CUPS (CVE-2024-47076)
  • Execution: Possible Remote Command Execution Detected (預先發布版)
  • Execution: Program Run with Disallowed HTTP Proxy Env
  • Execution: Socat Reverse Shell Detected
  • Execution: Suspicious OpenSSL Shared Object Loaded
  • Exfiltration: Launch Remote File Copy Tools in Container
  • Impact: Detect Malicious Cmdlines (預先發布版)
  • Impact: Remove Bulk Data From Disk
  • Impact: Suspicious crypto mining activity using the Stratum Protocol
  • Malicious Script Executed
  • Malicious URL Observed
  • Privilege Escalation: Abuse of Sudo For Privilege Escalation (CVE-2019-14287)
  • Privilege Escalation: Fileless Execution in /dev/shm
  • Privilege Escalation: Polkit Local Privilege Escalation Vulnerability (CVE-2021-4034)
  • Privilege Escalation: Sudo Potential Privilege Escalation (CVE-2021-3156)
  • Reverse Shell
  • Unexpected Child Shell

進一步瞭解 Container Threat Detection。

Event Threat Detection

Event Threat Detection 會使用系統內部的記錄資料。它會監控專案的 Cloud Logging 串流，並在記錄可用時使用記錄。偵測到威脅時，Event Threat Detection 會將發現項目寫入 Security Command Center 和 Cloud Logging 專案。啟用 Security Command Center 時，Event Threat Detection 會自動啟用，您可以在Google Cloud 控制台查看發現項目。

Event Threat Detection 偵測工具

進一步瞭解 Event Threat Detection。

Google Cloud Armor

Cloud Armor 提供第 7 層篩選功能，協助保護應用程式。Cloud Armor 會清除傳入要求中的常見網路攻擊或其他第 7 層屬性，在流量到達負載平衡後端服務或後端 bucket 之前，就可能將其封鎖。

Cloud Armor 會將兩項發現項目匯出至 Security Command Center：

敏感動作服務

Sensitive Actions Service 是 Security Command Center 的內建服務，可偵測 Google Cloud 組織、資料夾和專案中執行的動作，判斷是否可能由惡意行為人執行，並對業務造成損害。

Sensitive Actions Service 一律啟用，會自動監控組織的所有管理員活動稽核記錄，找出機密動作。管理員活動稽核記錄一律啟用，因此您不需要啟用或設定。

如要進一步瞭解 Sensitive Actions Service，請參閱「Sensitive Actions Service 總覽」。

虛擬機器威脅偵測

虛擬機器威脅偵測是 Security Command Center 的內建服務。這項服務會掃描虛擬機器，偵測潛在的惡意應用程式，例如加密貨幣挖礦軟體、核心模式 Rootkit，以及在遭入侵雲端環境中執行的惡意軟體。

VM Threat Detection 是 Security Command Center 威脅偵測套件的一部分，旨在補強 Event Threat Detection 和 Container Threat Detection 的現有功能。

如要進一步瞭解 VM Threat Detection，請參閱「VM Threat Detection 總覽」。

VM Threat Detection 威脅發現項目

VM 威脅偵測可產生下列威脅發現項目。

加密貨幣挖礦威脅發現項目

VM 威脅偵測會透過雜湊比對或 YARA 規則，偵測下列發現項目類別。

VM Threat Detection 加密貨幣挖礦威脅發現項目
類別 單元 說明
CRYPTOMINING_HASH 比對執行中程式的記憶體雜湊與加密貨幣挖礦軟體的已知記憶體雜湊。根據預設，發現項目的嚴重性會歸類為「高」。
CRYPTOMINING_YARA 比對記憶體模式，例如已知加密貨幣挖礦軟體使用的工作量證明常數。根據預設，發現項目的嚴重性會歸類為「高」。
  • CRYPTOMINING_HASH
  • CRYPTOMINING_YARA
 識別 CRYPTOMINING_HASH 和 CRYPTOMINING_YARA 模組偵測到的威脅。詳情請參閱「 合併偵測」。根據預設，發現項目的嚴重性會歸類為「高」。

核心模式 Rootkit 威脅發現項目

VM 威脅偵測功能會在執行階段分析核心完整性，偵測惡意軟體常用的規避技術。

KERNEL_MEMORY_TAMPERING 模組會對虛擬機器的核心程式碼和核心唯讀資料記憶體進行雜湊比較，藉此偵測威脅。

KERNEL_INTEGRITY_TAMPERING 模組會檢查重要核心資料結構的完整性，藉此偵測威脅。

VM 威脅偵測核心模式 Rootkit 威脅發現項目
類別 單元 說明
Rootkit
  • KERNEL_MEMORY_TAMPERING
  • KERNEL_INTEGRITY_TAMPERING
 出現與已知核心模式 Rootkit 相符的信號組合。如要接收這個類別的發現項目，請務必啟用這兩個模組。根據預設，發現項目的嚴重性會歸類為「高」。
核心記憶體竄改行為
KERNEL_MEMORY_TAMPERING 核心唯讀資料記憶體出現非預期的修改行為。根據預設，發現項目的嚴重性會歸類為「高」。
核心完整性竄改行為
KERNEL_INTEGRITY_TAMPERING 有 ftrace 個點的回呼指向預期核心或模組程式碼範圍以外的區域。根據預設，發現項目的嚴重性會歸類為「高」。
KERNEL_INTEGRITY_TAMPERING 存在不在預期核心或模組程式碼區域中的中斷處理常式。根據預設，發現項目的嚴重性會歸類為「高」。
KERNEL_INTEGRITY_TAMPERING 核心程式碼頁面不在預期的核心或模組程式碼區域中。根據預設，發現項目的嚴重性會歸類為「高」。
KERNEL_INTEGRITY_TAMPERING 有 kprobe 個點的回呼指向預期核心或模組程式碼範圍以外的區域。根據預設，發現項目的嚴重性會歸類為「高」。
KERNEL_INTEGRITY_TAMPERING 排程器執行佇列中出現非預期程序。這類程序位於執行佇列中，但不在程序工作清單中。根據預設，發現項目的嚴重性會歸類為「高」。
KERNEL_INTEGRITY_TAMPERING 系統呼叫處理常式不在預期的核心或模組程式碼區域中。根據預設，發現項目的嚴重性會歸類為「高」。

錯誤

錯誤偵測工具可協助您偵測設定中的錯誤，避免安全性來源產生發現項目。錯誤發現項目是由 Security Command Center 安全性來源產生，且發現項目類別為 SCC errors。

不小心執行的動作

下列發現項目類別代表可能因無意行為而造成的錯誤。

不慎操作
類別名稱 API 名稱 摘要 嚴重性
API_DISABLED

發現項目說明：專案所需的 API 已停用。停用的服務無法將發現項目傳送至 Security Command Center。

定價級別： 進階或標準

支援的資產
cloudresourcemanager.googleapis.com/Project

批次掃描：每 60 小時

修正這項發現項目

Critical
APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES

發現項目說明： 資源價值設定 是針對攻擊路徑模擬定義，但與環境中的任何資源執行個體都不相符。模擬作業會改用預設的高價值資源集。

發生這項錯誤的原因可能如下：

  • 沒有任何資源值設定與資源執行個體相符。
  • 指定 NONE 的一或多項資源價值設定會覆寫所有其他有效設定。
  • 所有定義的資源價值設定都會指定 NONE 的值。

定價級別： 進階

支援的資產
cloudresourcemanager.googleapis.com/Organizations

批次掃描：每次攻擊路徑模擬前。

修正這項發現項目

Critical
APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED

發現項目說明：在上次攻擊路徑模擬中，資源價值設定識別的高價值資源執行個體數量，超過高價值資源集中的 1,000 個資源執行個體上限。因此，Security Command Center 已從高價值資源集中排除超出的執行個體。

Google Cloud 控制台的SCC Error發現項目會列出相符的執行個體總數，以及從組合中排除的執行個體總數。

如果發現項目會影響已排除的資源執行個體，其受攻擊風險分數不會反映資源執行個體的高價值指定。

定價級別： 進階

支援的資產
cloudresourcemanager.googleapis.com/Organizations

批次掃描：每次攻擊路徑模擬前。

修正這項發現項目

高
KTD_IMAGE_PULL_FAILURE

發現項目說明： 無法在叢集上啟用 Container Threat Detection，因為無法從 gcr.io (Container Registry 映像檔主機) 提取 (下載) 必要容器映像檔。必須有這個映像檔，才能部署 Container Threat Detection 需要的 Container Threat Detection DaemonSet。

嘗試部署 Container Threat Detection DaemonSet 時，發生下列錯誤：

Failed to pull image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": rpc error: code = NotFound desc = failed to pull and unpack image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": failed to resolve reference "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00: not found

定價級別： 進階

支援的資產
container.googleapis.com/Cluster

批次掃描：每 30 分鐘一次

修正這項發現項目

Critical
KTD_BLOCKED_BY_ADMISSION_CONTROLLER

發現項目說明：無法在 Kubernetes 叢集啟用 Container Threat Detection。第三方許可控制器阻止部署 Container Threat Detection 所需的 Kubernetes DaemonSet 物件。

在 Google Cloud 控制台中查看時，發現項目詳細資料會包含 Google Kubernetes Engine 傳回的錯誤訊息，指出 Container Threat Detection 嘗試部署 Container Threat Detection DaemonSet 物件。

定價級別： 進階

支援的資產
container.googleapis.com/Cluster

批次掃描：每 30 分鐘一次

修正這項發現項目

高
KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS

發現項目說明： 服務帳戶缺少 Container Threat Detection 所需的權限。如果無法啟用、升級或停用 偵測檢測設備，Container Threat Detection 可能會停止正常運作。

定價級別： 進階

支援的資產
cloudresourcemanager.googleapis.com/Project

批次掃描：每 30 分鐘

修正這項發現項目

Critical
GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS

發現項目說明： Container Threat Detection 無法為 Google Kubernetes Engine 叢集產生發現項目，因為叢集上的 GKE 預設服務帳戶缺少權限。這會導致 Container Threat Detection 無法在叢集上成功啟用。

定價級別： 進階

支援的資產
container.googleapis.com/Cluster

批次掃描：每週

修正這項發現項目

高
MISCONFIGURED_CLOUD_LOGGING_EXPORT

發現項目說明： 設定為 持續匯出至 Cloud Logging 的專案無法使用。Security Command Center 無法將發現項目傳送至 Logging。

定價級別： 進階

支援的資產
cloudresourcemanager.googleapis.com/Organization

批次掃描：每 30 分鐘一次

修正這項發現項目

高
VPC_SC_RESTRICTION

發現項目說明：安全狀態分析無法為專案產生特定發現項目。專案受到 service perimeter 保護，且 Security Command Center 服務帳戶沒有 perimeter 的存取權。

定價級別： 進階或標準

支援的資產
cloudresourcemanager.googleapis.com/Project

批次掃描：每 6 小時

修正這項發現項目

高
EXTERNAL_EXPOSURE_VPC_SC_RESTRICTION

發現項目說明：對外洩露功能無法掃描專案或產生發現項目。專案受到 service perimeter 保護，且外部暴露服務代理沒有 perimeter 的存取權。

定價級別： 進階

支援的資產
cloudresourcemanager.googleapis.com/Project

批次掃描：每 12 小時

修正這項發現項目

高
SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS

發現項目說明：Security Command Center 服務帳戶缺少正常運作所需的權限。不會產生任何發現項目。

定價級別： 進階或標準

支援的素材資源

批次掃描：每 30 分鐘一次

修正這項發現項目

Critical

詳情請參閱「Security Command Center 錯誤」。

Application Design Center 整合

您可以搭配使用 Application Design Center (App Design Center) 和 Security Command Center，將主動式安全性評估直接整合至應用程式開發生命週期。

這項整合功能著重於下列主要概念。

設計階段和執行階段發現項目

  • 設計階段發現項目：在部署資源之前，掃描 App Design Center 中的基礎架構即程式碼 (IaC) 範本和應用程式，即可取得這類發現項目。部署應用程式時，系統會視需要將設計階段發現項目傳送至 Security Command Center。系統不會自動定期掃描應用程式設計。詳情請參閱「資料保留」。
  • 執行階段發現項目：源自部署在雲端環境中的資源。

Security Command Center 會顯示這兩種發現項目，協助您全面掌握應用程式的資安態勢。

受管理和非受管應用程式

Security Command Center 會根據應用程式的部署方式，使用下列字詞來區分應用程式：

受管理的應用程式
使用 App Design Center 設計的應用程式。這些應用程式支援設計階段評估。
非受管應用程式
在 App Hub 註冊，但不受 App Design Center 管理的應用程式。這些應用程式支援 Security Command Center 的執行階段監控和風險優先順序，但不支援設計階段評估。

部署前評估重點

在 App Design Center，您可以在應用程式生命週期的多個階段執行安全性評估。

  1. 設計階段：在 App Design Center 編輯範本或應用程式時，隨選評估。
  2. 發布階段：將範本發布至 Service Catalog 時，App Design Center 會自動進行評估。
  3. 部署階段：在佈建資源前進行最終評估檢查。

只有在部署應用程式時，設計階段發現項目才會傳送至 Security Command Center。

在控制台中查看應用程式生命週期安全性評估結果

  1. 前往 Google Cloud 控制台，開啟 Security Command Center 的「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或組織。
  3. 在「快速篩選器」部分的「來源顯示名稱」子節中，選取「Application Design Center」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

App Hub

Security Command Center 和 Compliance Manager 可讓您查看特定 App Hub 應用程式中資源的發現項目、問題和法規遵循資訊。您可以篩選調查檢視畫面，只查看已註冊至 App Hub 應用程式的資源資料。

您可以在下列調查檢視畫面中篩選：

  • 風險總覽 > 所有風險資訊主頁
  • 風險總覽 > 資料資訊主頁
  • 「發現項目」頁面
  • 「問題」頁面
  • 「法規遵循」>「監控 (新)」分頁
  • 依序點選「法規遵循」>「監控 (新版)」>「架構詳細資料」頁面

在組織層級查看資料時，您可以使用「Select app」(選取應用程式) 選單篩選檢視畫面。這個選單會列出在 App Hub 建立的應用程式，且這些應用程式部署在已啟用 Security Command Center 的組織中。「Select app」(選取應用程式) 選單中的資訊擷取自 Cloud Asset Inventory 和 App Hub。

查看單一專案或資料夾的資料時，無法使用「Select app」(選取應用程式) 選單。

後續步驟