偵測服務

本頁面列出 Security Command Center 用於偵測雲端環境安全性問題的偵測服務 (有時也稱為「安全來源」)。

這些服務偵測到問題時，會產生發現項目，也就是識別安全性問題的記錄，並提供您優先處理及解決問題所需的資訊。

您可以在 Google Cloud 控制台中查看發現項目，並以多種不同方式篩選，例如依發現項目類型、資源類型或特定資產篩選。每個安全性來源可能會提供更多篩選器，協助您整理發現的結果。

您可以在機構、資料夾或專案層級授予 Security Command Center 的 IAM 角色。您能否查看、編輯、建立或更新發現項目、資產和安全來源，取決於獲准的存取層級。如要進一步瞭解 Security Command Center 角色，請參閱存取控管。

安全漏洞偵測服務

安全漏洞偵測服務包括內建和整合式服務，可偵測雲端環境中的軟體安全漏洞、設定錯誤和狀態違規情形。這些類型的安全問題統稱為「安全漏洞」。

AI Protection

AI Protection 可偵測威脅，並協助您降低 AI 資產清單的風險，進而管理 AI 工作負載的安全防護機制。

AI Protection 提供下列偵測功能：

  • 評估 AI 資產清單：清楚掌握 AI 系統和資產，例如模型、資料來源、端點和 AI 代理程式。
  • 找出安全漏洞：偵測透過 Agent Runtime 部署的代理式工作負載中的軟體安全漏洞 (CVE)。
  • 找出風險：使用攻擊路徑模擬和安全圖譜規則，找出代理功能風險及其對環境的潛在影響。
  • 偵測權限過高的代理：找出獲授權限過高的 AI 代理。
  • 偵測及管理威脅：透過其他 Security Command Center 服務 (例如 Event Threat Detection 和 Agent Platform Threat Detection) 的整合式規則，偵測及因應鎖定 AI 系統和資產的潛在威脅。

詳情請參閱「AI Protection 總覽」。

Artifact Registry 安全漏洞評估

Artifact Registry 安全漏洞評估是一項偵測服務，可提醒您已部署的容器映像檔中存在安全漏洞。

在下列情況下，這項偵測服務會產生容器映像檔的安全漏洞發現結果：

  • 容器映像檔會儲存在 Artifact Registry 中。

  • 容器映像檔會部署至下列其中一項資產：

    • Google Kubernetes Engine 叢集
    • Cloud Run 服務
    • Cloud Run 工作
    • App Engine

Artifact Registry 安全漏洞評估功能會顯示分類為HIGH或CRITICAL嚴重程度的安全漏洞。Artifact Registry 安全漏洞評估不會針對嚴重性較低的安全漏洞產生發現項目。

如果您透過 Security Command Center 啟用 Artifact Registry 安全漏洞評估功能，Artifact Registry 安全漏洞評估功能會自動將高嚴重性和重大發現項目寫入 Security Command Center。如果容器映像檔有中或低嚴重程度的安全漏洞，您可以在 Artifact Registry 安全漏洞評估中管理這些漏洞，但 Security Command Center 不會顯示這些漏洞。

Artifact Registry 安全漏洞評估只會掃描過去 30 天內提取的映像檔。只要映像檔超過 30 天未遭提取，Artifact Registry 安全漏洞評估就會持續掃描映像檔並建立新的發現項目。

Artifact Registry 安全漏洞評估發現項目產生後，您可以在最後一次更新安全漏洞發現項目的 30 天內查詢。如要進一步瞭解 Security Command Center 資料保留機制，請參閱「資料保留」。

啟用 Artifact Registry 安全漏洞評估結果

如要讓 Artifact Registry 安全漏洞評估功能在 Security Command Center 中，針對儲存在 Artifact Registry 的已部署容器映像檔產生發現項目，您必須為專案啟用 Container Scanning API。

如果您尚未啟用 Container Scanning API，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的「Container Scanning API」頁面。

    前往 Container Scanning API

  2. 選取要啟用 Container Scanning API 的專案。

  3. 按一下「啟用」。

Security Command Center 會顯示掃描到的易受攻擊容器映像檔發現項目，這些映像檔會主動部署至適用的執行階段資產。不過，偵測服務的運作方式會因啟用 Security Command Center 和 Container Scanning API 的時間而異。

啟用情境 偵測服務行為

您在啟用 Container Scanning API 並部署容器映像檔後，才啟用 Security Command Center。

啟用後，Artifact Registry 安全漏洞評估功能會在 24 小時內，針對先前 Artifact Registry 掃描發現的現有安全漏洞產生結果。

您先啟用 Security Command Center 並部署容器映像檔，再啟用 Container Scanning API。

啟用 API 前部署的容器映像檔，必須觸發新的掃描作業，Artifact Registry 安全漏洞評估功能才會自動產生安全漏洞調查結果。如要手動觸發新的掃描作業，請將容器映像檔重新部署至相同的執行階段資源。如果掃描期間偵測到任何安全漏洞，Artifact Registry 安全漏洞評估功能會立即產生結果。

您在部署容器映像檔前，已啟用 Security Command Center 和 Container Scanning API。

Artifact Registry 會立即掃描新部署的容器映像檔，如果掃描作業偵測到任何安全漏洞，Artifact Registry 安全漏洞評估就會產生結果。

停用 Artifact Registry 安全漏洞評估結果

如要停用 Artifact Registry 安全漏洞評估結果，請按照下列步驟操作：

  1. 在 Google Cloud 控制台中，前往 Container Scanning API 的「API/Service Details」(API/服務詳細資料) 頁面。

    前往「API/服務詳細資料」

  2. 選取要停用 Container Scanning API 的專案。

  3. 點選「停用 API」。

Security Command Center 不會顯示日後容器映像檔掃描偵測到的安全漏洞發現項目。在最後一次更新安全漏洞發現項目後，Security Command Center 會將 Artifact Registry 安全漏洞評估發現項目保留 30 天。隨後調查結果會停用，並在停用 7 天後刪除。 如要進一步瞭解 Security Command Center 資料保留機制，請參閱「資料保留」。

您也可以在 Security Command Center 設定中停用安全漏洞評估來源 ID，藉此停用 Artifact Registry 安全漏洞評估功能，但我們不建議這麼做。停用安全漏洞評估來源 ID 後，系統會停用所有歸類在安全漏洞評估來源 ID 下的偵測服務。因此，建議您按照上述程序停用 Container Scanning API。

在控制台中查看 Artifact Registry 安全漏洞評估結果

  1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或機構。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「安全漏洞評估」。發現項目查詢結果會更新，只顯示來自這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「類別」欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及 (如適用) 可採取哪些步驟修正發現項目。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁。

Agent Platform 安全漏洞評估

Agent Platform Vulnerability Assessment 會找出以 Gemini Enterprise Agent Platform 部署的代理功能工作負載中的軟體安全漏洞 (CVE)。

部署或更新期間，這個掃描器會自動評估作業執行個體中的自訂程式碼和依附元件。

啟用 Agent Platform 安全漏洞評估結果

如果新啟用 AI Protection，系統會自動啟用 Agent Platform 安全漏洞評估。

如果您是現有客戶，可以在「AI 保護設定」頁面啟用掃描器。詳情請參閱「設定代理程式平台安全漏洞評估」。

在控制台中查看 Agent Platform 安全漏洞評估結果

  1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或機構。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「Agent Platform 的安全漏洞評估」。發現項目查詢結果會更新，只顯示來自這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「類別」欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及 (如適用) 可採取哪些步驟修正發現項目。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁。

Compliance Manager 發現項目

Compliance Manager 會針對您在 Google Cloud 環境中部署的偵測性和預防性雲端控管措施，建立發現項目。您可以在 Security Command Center 的「發現項目」頁面查看這些發現項目。

Compliance Manager 會為每個服務層級提供不同的功能。詳情請參閱「Compliance Manager 總覽」。

在控制台中查看 Compliance Manager 的調查結果

  1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或機構。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「法規遵循評估服務」。發現項目查詢結果會更新，只顯示來自這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「類別」欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及 (如適用) 可採取哪些步驟修正發現項目。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁。

Data Security Posture Management

Data Security Posture Management (DSPM) 會針對您在環境中套用的資料安全性架構和雲端控管措施，產生潛在違規事項的發現項目。您可以在「資料安全與法規遵循」頁面、「風險總覽」頁面 (位於「資料」分頁下方)，或 Security Command Center 的「發現項目」頁面查看這些發現項目。DSPM 會為每個服務層級提供不同的功能。詳情請參閱「Data Security Posture Management (DSPM) 總覽」。

在控制台中查看 DSPM 發現項目

  1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 機構。

  3. 使用下列查詢查看 DSPM 的發現項目：

    state="ACTIVE" AND NOT mute="MUTED" AND resource.name="//aiplatform.googleapis.com/projects/478190632149/locations/us-central1/models/1244151282898305024" AND category="DATA_SECURITY_POSTURE_ACCESS_VIOLATION" OR category="DATA_SECURITY_POSTURE_FLOW_VIOLATION" OR category="DATA_SECURITY_POSTURE_DELETION_VIOLATION" OR category="DATA_SECURITY_POSTURE_PROTECTION_KEY_GOVERNANCE" OR category="BIGQUERY_TABLE_CMEK_DISABLED" OR category="VERTEX_AI_MODEL_CMEK_DISABLED" OR category="VERTEX_AI_METADATA_STORE_CMEK_DISABLED" OR category="VERTEX_AI_DATASET_CMEK_DISABLED" OR category="VERTEX_AI_FEATURE_STORE_TABLE_CMEK_DISABLED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_MISCONFIGURED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_DELETED" OR category="DATA_SECURITY_POSTURE_CMEK_VIOLATION" OR category="SENSITIVE_DATA_PUBLIC_SQL_INSTANCE" OR category="SENSITIVE_DATA_PUBLIC_DATASET" OR category="SENSITIVE_DATA_BIGQUERY_TABLE_CMEK_DISABLED" OR category="SENSITIVE_DATA_DATASET_CMEK_DISABLED" OR category="SENSITIVE_DATA_SQL_CMEK_DISABLED" OR category="PUBLIC_DATASET" OR category="PUBLIC_SQL_INSTANCE" OR category="SQL_PUBLIC_IP" OR category="ACCESS_TRANSPARENCY_DISABLED" OR category="ORG_POLICY_LOCATION_RESTRICTION" OR category="BUCKET_POLICY_ONLY_DISABLED" OR category="DATA_EXFILTRATION_BIG_QUERY" OR category="DATA_EXFILTRATION_BIG_QUERY_EXTRACTION" OR category="DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE"

  4. 如要查看特定發現項目的詳細資料，請按一下「類別」欄中的發現項目名稱。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。

  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及 (如有) 可採取哪些步驟來修正發現項目。

  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁。

GKE 安全防護機制資訊主頁

Google Kubernetes Engine (GKE) 安全防護機制資訊主頁是Google Cloud 控制台中的頁面，可提供具體可行的發現，協助您瞭解 GKE 叢集中的潛在安全性問題。

如要查看這些調查結果，請啟用下列任一項 GKE 安全防護機制資訊主頁功能：

GKE 安全防護機制資訊主頁窗格 Security Command Center 發現項目類別
工作負載設定稽核1 MISCONFIGURATION
主要威脅2 THREAT
VULNERABILITY
  1. 只有在 GKE 中啟用這項功能，才能使用這項功能。
  2. 適用於 Security Command Center Premium 和 Enterprise 服務層級。

發現項目會顯示安全性問題的相關資訊，並提供建議，協助您解決工作負載或叢集中的問題。

在控制台中查看 GKE 安全防護機制資訊主頁的調查結果

  1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或機構。
  3. 在「快速篩選器」專區的「來源顯示名稱」子專區中，選取「GKE 安全防護機制」。發現項目查詢結果會更新，只顯示來自這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「類別」欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及 (如適用) 可採取哪些步驟修正發現項目。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁。

IAM 推薦功能

IAM 建議工具會產生建議，供您移除或替換主體的 IAM 角色，藉此提升安全性。如果主體不需要某些 IAM 權限，但角色中包含這些權限，您就可以按照建議進行操作。

啟用 Security Command Center 時，系統會自動啟用 IAM 建議工具。

啟用或停用 IAM 建議工具發現項目

如要在 Security Command Center 中啟用或停用 IAM 建議工具發現項目，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的 Security Command Center「設定」頁面，然後點選「整合式服務」分頁標籤：

    前往「整合服務」

  2. 前往「IAM 推薦功能」項目。

  3. 在項目右側選取「啟用」或「停用」。

身分與存取權管理建議工具發現的項目會歸類為安全漏洞。

如要修復 IAM 建議工具發現項目，請展開下列章節，查看 IAM 建議工具發現項目表格。表格項目中會列出每項發現的補救步驟。

在控制台中查看 IAM 推薦功能結果

  1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或機構。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「IAM Recommender」。發現項目查詢結果會更新，只顯示來自這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「類別」欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及 (如適用) 可採取哪些步驟修正發現項目。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁。

在 Security Command Center Premium 中，您也可以選取「IAM 建議工具」查詢預設集，在舊版「安全漏洞」頁面查看 IAM 建議工具發現項目。

Mandiant Attack Surface Management

Mandiant 是全球第一線威脅情報的領導者。Mandiant Attack Surface Management 會找出外部攻擊面中的安全漏洞和錯誤設定，協助您防範最新的網路攻擊。

啟用 Security Command Center Enterprise 方案後，系統會自動啟用 Mandiant Attack Surface Management，您可以在 Google Cloud 控制台中查看發現項目。

如要瞭解獨立的 Mandiant Attack Surface Management 產品與 Security Command Center 整合的 Mandiant Attack Surface Management 有何不同，請參閱 Mandiant 文件入口網站上的「ASM and Security Command Center」。這個連結需要 Mandiant 驗證。

在控制台中查看 Mandiant Attack Surface Management 發現的結果

  1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或機構。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分中，選取「Mandiant Attack Surface Management」。發現項目查詢結果會更新，只顯示來自這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「類別」欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及 (如適用) 可採取哪些步驟修正發現項目。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁。

Security Command Center 和 Mandiant Attack Surface Management 都不會將發現項目標示為已解決。解決問題後，您可以手動將問題標示為已解決。如果下次 Mandiant Attack Surface Management 掃描未發現該問題，就會維持解決狀態。

Model Armor

Model Armor 是一項全代管 Google Cloud 服務，可篩選 LLM 提示詞和回覆，提升 AI 應用程式的安全性。

Model Armor 服務發現的安全漏洞

發現項目 摘要

API 中的類別名稱：FLOOR_SETTINGS_VIOLATION

發現項目說明：Model Armor 範本未達到資源階層底限設定定義的最低安全標準時，就會發生底限設定違規情形。

價格層級：進階

修正這項發現項目：

這項發現項目表示您需要更新 Model Armor 範本，使其符合資源階層中定義的底限設定。

Notebook Security Scanner

Notebook Security Scanner 是 Security Command Center 的內建套件安全漏洞偵測服務。啟用 Notebook Security Scanner 後，系統會每 24 小時自動掃描 Colab Enterprise 筆記本 (副檔名為 ipynb 的檔案)，偵測 Python 套件中的安全漏洞，並將這些發現結果發布至 Security Command Center 的「發現」頁面。

您可以使用 Notebook Security Scanner，掃描在下列區域建立的 Colab Enterprise 筆記本：us-central1、us-east4、us-west1 和 europe-west4。

如要開始使用 Notebook Security Scanner，請參閱「啟用及使用 Notebook Security Scanner」。

Policy Controller

Policy Controller 可對 Kubernetes 叢集套用並強制執行可設定的政策。這些政策可以做為防護機制，協助您管理叢集和機群的最佳做法、安全性與法規遵循事宜。

如果您安裝 Policy Controller，並啟用任何Policy Controller 套裝組合，Policy Controller 會自動將叢集違規事項寫入 Security Command Center，做為 Misconfiguration 類別的發現項目。Security Command Center 發現項目的說明和後續步驟，與對應 Policy Controller 套件的限制說明和修正步驟相同。

Policy Controller 發現項目來自下列 Policy Controller 套裝組合：

如要找出並修正 Policy Controller 發現的問題，請參閱「修正 Policy Controller 發現的問題」。

風險引擎

Security Command Center 風險引擎會評估雲端部署作業的風險暴露程度，為安全漏洞發現項目和高價值資源指派受攻擊風險分數，並繪製潛在攻擊者可能採取的路徑，以取得高價值資源。

在 Security Command Center 的 Enterprise 或 Premium 級別中，風險引擎會偵測到多個安全性問題，這些問題若以特定模式同時發生，就會形成一或多個高價值資源的路徑，而有心人士可能會利用這些路徑存取及入侵資源。

風險引擎偵測到其中一種組合時，會產生 TOXIC_COMBINATION 類別的發現項目。在發現項目中，「風險引擎」會列為發現項目的來源。

風險引擎也會找出多個攻擊路徑匯聚的常見資源或資源群組，然後產生 CHOKEPOINT 類別的發現項目。

詳情請參閱「有害組合和瓶頸總覽」。

安全性狀態分析

安全狀態分析是 Security Command Center 的內建偵測服務，可對雲端資源執行代管掃描，偵測常見的錯誤設定。

偵測到錯誤設定時，安全狀態分析會產生發現項目。 大多數的「安全狀態分析」發現項目都會對應至安全標準控制項，方便您評估法規遵循情形。

安全狀態分析會掃描 Google Cloud資源。如果您使用 Enterprise 方案並建立與其他雲端平台的連線，安全狀態分析也能掃描這些雲端平台上的資源。

可用的偵測器會因您使用的 Security Command Center 服務層級而異：

  • 在 Standard-legacy 級中，安全狀態分析只包含一組基本的中等嚴重性和高嚴重性安全漏洞偵測工具。
  • Premium 級方案包含 Google Cloud的所有安全漏洞偵測工具。
  • Enterprise 級別提供其他雲端平台的額外偵測器。

啟用 Security Command Center 時，系統會自動啟用安全狀態分析。

如要瞭解詳情，請參考下列資源：

安全防護機制服務

安全狀況服務是 Security Command Center Premium 的內建服務，可讓您定義、評估及監控 Google Cloud的整體安全狀態。這項功能會提供資訊，說明您的環境是否符合您在安全防護機制中定義的政策。

安全防護機制服務與 GKE 安全防護機制資訊主頁無關，後者只會顯示 GKE 叢集中的發現項目。

Sensitive Data Protection

Sensitive Data Protection 是一項全代管 Google Cloud 服務 ，可協助您找出、分類及保護機密資料。您可以透過 Sensitive Data Protection 判斷是否儲存機密或個人識別資訊 (PII)，例如：

  • 人名
  • 信用卡號碼
  • 國民身分證字號或州/省身分證字號
  • 健康保險 ID 號碼
  • 密鑰

在 Sensitive Data Protection 中，您搜尋的每種機密資料都稱為 infoType。

如果您將 Sensitive Data Protection 作業設為將結果傳送至 Security Command Center，除了 Sensitive Data Protection 專區外，您也可以直接在 Google Cloud 控制台的 Security Command Center 專區中查看發現項目。

如果您使用 VPC Service Controls 服務範圍，並想在這些範圍內探索機密資料，請參閱「允許在服務範圍內探索機密資料」。

Sensitive Data Protection 探索服務發現的安全性漏洞發現項目

Sensitive Data Protection 探索服務可協助您判斷是否儲存未受保護的高度機密資料。

類別 摘要

API 中的類別名稱：

PUBLIC_SENSITIVE_DATA

發現項目說明：指定資源含有高機密資料，網際網路上的任何人都能存取。

支援的素材資源：

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Amazon S3 儲存貯體
  • Azure Blob 儲存體容器

修復：

如要移除 Google Cloud 資料，請從資料資產的 IAM 政策中移除 allUsers 和 allAuthenticatedUsers。

如果是 Amazon S3 資料，請設定封鎖公開存取設定，或更新物件的 ACL，拒絕公開讀取存取權。詳情請參閱 AWS 說明文件中的「 為 S3 儲存貯體設定封鎖公開存取設定」和「設定 ACL」。

如果是 Azure Blob 儲存體資料，請移除容器和 Blob 的公開存取權。詳情請參閱 Azure 說明文件中的「總覽：修正 Blob 資料的匿名讀取存取權」。

法規遵循標準：未對應

API 中的類別名稱：

SECRETS_IN_ENVIRONMENT_VARIABLES

發現說明：環境變數中含有密鑰，例如密碼、驗證權杖和憑證。 Google Cloud

如要啟用這項偵測工具，請參閱 Sensitive Data Protection 說明文件中的「 向 Security Command Center 回報環境變數中的 Secret」。

支援的素材資源：

修復：

如果是 Cloud Run 函式環境變數，請從環境變數中移除密碼，並改為儲存在 Secret Manager。

如要移除 Cloud Run 服務修訂版本的環境變數，請先將所有流量從該修訂版本移出，然後刪除該修訂版本。

法規遵循標準：

  • CIS GCP Foundation 1.3：1.18
  • CIS GCP Foundation 2.0：1.18

API 中的類別名稱：

SECRETS_IN_STORAGE

發現項目說明：指定資源中含有 密鑰，例如密碼、驗證權杖和雲端憑證。

支援的素材資源：

  • aiplatform.googleapis.com/Dataset
  • aiplatform.googleapis.com/TuningJob
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Amazon S3 儲存貯體
  • Azure Blob 儲存體容器

修復：

  1. 如要處理 Google Cloud 資料，請使用 Sensitive Data Protection 對指定資源執行深入檢查掃描，找出所有受影響的資源。如果是 Cloud SQL 資料，請將資料匯出至 Cloud Storage bucket 中的 CSV 或 AVRO 檔案，然後對該 bucket 執行深度檢查掃描。

    如果是其他雲端供應商的資料，請手動檢查指定 bucket 或容器。

  2. 移除偵測到的密碼。
  3. 建議重設憑證。
  4. 如果是 Google Cloud 資料，建議改為將偵測到的密鑰儲存在 Secret Manager 中。

法規遵循標準：未對應

Sensitive Data Protection 探索服務的錯誤設定發現項目

Sensitive Data Protection 探索服務可協助您判斷是否有可能導致機密資料外洩的設定錯誤。

類別 摘要

API 中的類別名稱：

SENSITIVE_DATA_CMEK_DISABLED

發現項目說明：指定資源含有 高敏感度或中等敏感度資料，但未使用客戶自行管理的加密金鑰 (CMEK)。

支援的素材資源：

  • aiplatform.googleapis.com/Dataset
  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
  • sqladmin.googleapis.com/Instance
  • storage.googleapis.com/Bucket
  • Amazon S3 儲存貯體
  • Azure Blob 儲存體容器

修復：

法規遵循標準：未對應

Sensitive Data Protection 的觀察結果

本節說明 Sensitive Data Protection 在 Security Command Center 中產生的觀察結果。

探索服務的觀察結果

Sensitive Data Protection 探索服務可協助您判斷資料是否含有特定資訊類型，以及這些資訊類型在貴機構、資料夾和專案中的存放位置。並在 Security Command Center 中產生下列觀察發現項目類別：

Data sensitivity
特定資料資產中資料的機密程度指標。如果資料中包含個人識別資訊或其他可能需要進一步控管或管理的元素，就會將其視為機密資料。發現項目的嚴重程度是 Sensitive Data Protection 在生成資料剖析檔時計算出的機密程度。
Data risk
資料在目前狀態下的風險。計算資料風險時，Sensitive Data Protection 會考量資料資產中資料的機密程度，以及是否有保護該資料的存取控管機制。發現項目的嚴重程度是 Sensitive Data Protection 在生成資料剖析檔時計算出的資料風險等級。

視貴機構規模而定，啟用機密資料探索功能後，Security Command Center 可能會在幾分鐘內開始顯示 Sensitive Data Protection 發現項目。如果組織規模較大，或有影響發現項目生成的特定設定，Security Command Center 最多可能需要 12 小時，才會顯示初始發現項目。

隨後，Sensitive Data Protection 會在探索服務掃描資源後幾分鐘內，在 Security Command Center 中產生發現項目。

如要瞭解如何將資料剖析檔結果傳送至 Security Command Center，請參閱「啟用機密資料探索功能」。

Sensitive Data Protection 檢查服務的觀察結果

Sensitive Data Protection 檢查工作會找出儲存系統 (例如 Cloud Storage bucket 或 BigQuery 資料表) 中，特定 infoType 的每個資料例項。舉例來說，您可以執行檢查工作，在 Cloud Storage 值區中搜尋符合 CREDIT_CARD_NUMBER infoType 偵測工具的所有字串。

如果每個 infoType 偵測工具都有一或多個相符項目，Sensitive Data Protection 就會產生對應的 Security Command Center 發現項目。發現項目類別是比對成功的 infoType 偵測工具名稱，例如 Credit card number。這項發現項目包括在資源的文字或圖片中偵測到的相符字串數量。

基於安全考量，系統不會在發現項目中列出偵測到的實際字串。舉例來說，Credit card number 發現項目會顯示找到的信用卡號碼數量，但不會顯示實際的信用卡號碼。

由於 Sensitive Data Protection 內建超過 150 種 infoType 偵測工具，因此這裡不會列出所有可能的 Security Command Center 發現項目類別。如需 infoType 偵測工具的完整清單，請參閱 InfoType 偵測工具參考資料。

如要瞭解如何將檢查作業結果傳送至 Security Command Center，請參閱「將 Sensitive Data Protection 檢查作業結果傳送至 Security Command Center」。

在主控台中查看 Sensitive Data Protection 發現項目

  1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

    前往「發現項目」

  2. 選取 Google Cloud 專案或機構。
  3. 在「快速篩選器」部分的「來源顯示名稱」子部分中，選取「Sensitive Data Protection」。發現項目查詢結果會更新，只顯示來自這個來源的發現項目。
  4. 如要查看特定發現項目的詳細資料，請按一下「類別」欄中的發現項目名稱。 系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
  5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及 (如適用) 可採取哪些步驟修正發現項目。
  6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁。

VM 管理員

VM 管理員是一套作業系統管理工具，適合用於 Compute Engine 中的 Windows 和 Linux 大型虛擬機器 (VM) 機群。

如要搭配專案層級啟用的 Security Command Center Premium 使用 VM 管理員，請在父項機構中啟用 Security Command Center Standard 舊版方案。

如果您使用 Security Command Center Premium 方案啟用 VM 管理員，VM 管理員會自動透過安全漏洞報表 (預先發布版) 將 high 和 critical 發現項目寫入 Security Command Center。這些報告會找出安裝在 VM 的作業系統安全漏洞，包括常見安全漏洞與弱點 (CVE)。

安全漏洞報告不適用於 Security Command Center Standard 舊版方案。

發現項目可簡化使用 VM 管理員修補程式合規性功能 (預先發布版) 的程序。與 Security Command Center Premium 級別整合後，這項功能可讓您在機構層級查看所有專案，並進行修補程式管理。雖然個別修補程式工作是在 VM 管理員的專案層級設定，但 Security Command Center 提供整合檢視畫面，可協助您管理整個機構的修補程式工作。

如要修正 VM 管理員發現項目，請參閱「修正 VM 管理員發現項目」。

如要停止將安全漏洞報表寫入 Security Command Center，請參閱「略過 VM 管理員發現項目」。

這類安全漏洞都與受支援 Compute Engine VM 中安裝的作業系統套件有關。

偵測工具 摘要 資產掃描設定

API 中的類別名稱：OS_VULNERABILITY

發現項目說明：VM 管理員在 Compute Engine VM 安裝的作業系統 (OS) 套件中偵測到安全漏洞。

價格層級：進階

支援的素材資源

compute.googleapis.com/Instance

修正這項發現項目

VM 管理員的 安全漏洞報告會詳細列出 Compute Engine VM 安裝的作業系統套件安全漏洞，包括 常見安全漏洞與弱點 (CVE)。

如需支援的作業系統完整清單，請參閱「作業系統詳細資料」。

系統偵測到安全漏洞後，發現項目很快就會顯示在 Security Command Center 中。 VM 管理員會依下列方式產生安全漏洞報告：

  • 在 VM 的作業系統中安裝或更新套件後，您應該會在變更後兩小時內，在 Security Command Center 中看到 VM 的 常見弱點和曝光 (CVE) 資訊。
  • 作業系統發布新的安全諮詢後，更新的 CVE 通常會在 24 小時內提供。

AWS 安全漏洞評估

Amazon Web Services (AWS) 的安全漏洞評估服務會偵測在 AWS 雲端平台 EC2 虛擬機器 (VM) 上執行的工作負載中，是否有軟體安全漏洞。

針對偵測到的每個安全漏洞，AWS 適用的安全漏洞評估功能會在 Security Command Center 的「發現項目」Software vulnerability類別中，產生 Vulnerability 類別的發現項目。

AWS 安全漏洞評估服務會掃描執行中 EC2 機器執行個體的快照，因此不會影響生產工作負載。這種掃描方法稱為「無代理程式磁碟掃描」，因為掃描目標上未安裝任何代理程式。

如要瞭解詳情，請參考下列資源：

代理安全漏洞評估 Google Cloud

Google Cloud 服務的安全漏洞評估功能會偵測 Google Cloud 平台下列資源中的軟體安全漏洞：

  • 執行 Compute Engine VM 執行個體
  • GKE Standard 叢集中的節點
  • 在 GKE Standard 和 GKE Autopilot 叢集中執行的容器

針對偵測到的每個安全漏洞，安全漏洞評估功能會產生 Vulnerability 類別的發現項目，並顯示在 Security Command Center 的 Software vulnerability 或 OS vulnerability 發現項目類別中。 Google Cloud

Vulnerability Assessment for Google Cloud 服務會掃描 Compute Engine VM 執行個體，方法是每隔約 12 小時複製一次磁碟，然後將磁碟掛接至安全 VM 執行個體，並使用 SCALIBR 掃描器評估磁碟。

詳情請參閱「安全漏洞評估 for Google Cloud」。

Web Security Scanner

Web Security Scanner 可對公開的 App Engine、GKE 和 Compute Engine 服務網頁應用程式，執行代管和自訂的網路安全漏洞掃描。

代管掃描

Web Security Scanner 代管掃描作業由 Security Command Center 設定及管理。系統每週會自動執行一次受管理掃描，偵測及掃描公開網路端點。這些掃描作業不會使用驗證，且只會傳送 GET 要求，因此不會在實際運作的網站上提交任何表單。

系統會分開執行代管掃描和自訂掃描。

如果 Security Command Center 是在機構層級啟用，您可以使用受管理掃描功能，集中管理機構中專案的基本網頁應用程式安全漏洞偵測，不必個別與專案團隊合作。發現結果後，您可以與這些團隊合作，設定更全面的自訂掃描。

啟用 Web Security Scanner 服務後，您就能在 Security Command Center 的「安全漏洞」頁面和相關報表中，自動查看代管掃描的發現項目。如要瞭解如何啟用 Web Security Scanner 受管理掃描，請參閱「設定 Security Command Center 服務」。

受管理掃描僅支援使用預設通訊埠的應用程式，也就是 HTTP 連線的通訊埠 80，以及 HTTPS 連線的通訊埠 443。如果應用程式使用非預設通訊埠，請改為執行自訂掃描。

自訂掃描

Web Security Scanner 自訂掃描功能可提供應用程式安全漏洞發現項目的詳細資訊，例如過時的程式庫、跨網站指令碼攻擊或複合型內容的使用情形。

您可以在專案層級定義自訂掃描。

完成設定 Web Security Scanner 自訂掃描的指南後，即可在 Security Command Center 中查看自訂掃描結果。

偵測工具和法規遵循

Web Security Scanner 支援 OWASP Top Ten 中的類別。OWASP Top Ten 是由 Open Web Application Security Project (OWASP) 制定，列出前 10 大網頁應用程式安全風險並提供修復指南的文件。如需防範 OWASP 風險的指引，請參閱 Google Cloud 的 OWASP 前 10 名緩解選項。

合規對應表僅供參考，並非由 OWASP 基金會提供或審查。

這項功能僅供您監控是否違反法規控管規定。這些對應表不得做為您產品或服務是否符合任何法規或產業基準/標準的稽核、認證或報告依據，也不得取代上述項目。

詳情請參閱「Web Security Scanner 總覽」。

威脅偵測服務

威脅偵測服務包括內建和整合式服務，可偵測可能有害的事件，例如資源遭入侵或網路攻擊。

Agent Platform Threat Detection

Agent Platform Threat Detection 可偵測部署至 Agent Runtime 的代理程式在執行階段受到的威脅。這項服務會監控執行中的代理程式，找出潛在攻擊並在 Security Command Center 中產生發現項目。

Agent Platform Threat Detection 可為 Agent Runtime 生成發現項目，包括下列類別：

  • 惡意中繼站：偵測到隱寫術工具
  • 憑證存取：尋找「憑證」 Google Cloud
  • 憑證存取：偵察 GPG 金鑰
  • 憑證存取權：搜尋私密金鑰或密碼
  • 規避防禦機制：Base64 ELF 檔案指令列
  • 規避防禦措施：已執行 Base64 編碼的 Python 指令碼
  • 規避防禦機制：已執行 Base64 編碼的殼層指令碼
  • 規避防禦機制：在容器中啟動程式碼編譯器工具
  • 執行：容器中的 Netcat 遠端程式碼執行作業
  • 執行：可能透過 CUPS 執行任意指令 (CVE-2024-47177)
  • 執行：偵測到可能的遠端指令執行作業
  • 執行：在禁止使用 HTTP Proxy 的環境中執行程式
  • 執行作業：偵測到 Socat 反向殼層
  • 執行作業：載入了可疑的 OpenSSL 共用物件
  • 外洩：在容器中啟動遠端檔案複製工具
  • 影響：偵測惡意指令列
  • 影響：從磁碟移除大量資料
  • 影響：使用 Stratum 通訊協定的可疑加密貨幣挖礦活動
  • 權限提升：濫用 Sudo 來提權 (CVE-2019-14287)
  • 權限提升：Polkit 本機提權安全漏洞 (CVE-2021-4034)
  • 提權：Sudo 存在提權風險 (CVE-2021-3156)
  • 執行：已執行惡意 Python
  • 執行：容器跳脫
  • 執行：Kubernetes 攻擊工具執行作業
  • 執行：本機偵查工具執行作業
  • 影響：已執行惡意指令碼
  • 影響：偵測到惡意網址
  • 執行：非預期的子殼層

進一步瞭解 Agent Platform Threat Detection。

異常偵測

異常偵測是內建服務，會利用您系統以外的行為信號來運作。如果偵測到服務帳戶出現安全性異常狀況，例如憑證可能遭到外洩，這項服務就會提供詳細資訊。啟用 Security Command Center Standard 舊版或 Premium 級時，系統會自動啟用異常偵測功能，您可以在 Google Cloud 控制台中查看結果。

異常偵測結果包括：

異常狀況名稱 發現項目類別 說明
account_has_leaked_credentials

服務帳戶的憑證意外在網路上洩漏或遭盜用。 Google Cloud

嚴重性：重大

帳戶憑證外洩

GitHub 通知 Security Command Center，用於提交的憑證似乎是Google Cloud Identity and Access Management 服務帳戶的憑證。

通知會包含服務帳戶名稱和私密金鑰 ID。 Google Cloud 也會透過電子郵件，將通知傳送給指定的安全性和隱私權問題聯絡人。

如要解決這個問題，請採取下列一或多項做法：

  • 確認金鑰的合法使用者。
  • 輪替金鑰。
  • 取下鑰匙。
  • 調查金鑰洩漏後，金鑰執行的所有動作，確保沒有惡意動作。

JSON：帳戶憑證外洩發現項目

{
  "findings": {
    "access": {},
    "assetDisplayName": "PROJECT_NAME",
    "assetId": "organizations/ORGANIZATION_ID/assets/ASSET_ID",
    "canonicalName": "projects/PROJECT_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "category": "account_has_leaked_credentials",
    "contacts": {
      "security": {
        "contacts": [
          {
            "email": "EMAIL_ADDRESS"
          }
        ]
      }
    },
    "createTime": "2022-08-05T20:59:41.022Z",
    "database": {},
    "eventTime": "2022-08-05T20:59:40Z",
    "exfiltration": {},
    "findingClass": "THREAT",
    "findingProviderId": "organizations/ORGANIZATION_ID/firstPartyFindingProviders/cat",
    "indicator": {},
    "kubernetes": {},
    "mitreAttack": {},
    "mute": "UNDEFINED",
    "name": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID/findings/FINDING_ID",
    "parent": "organizations/ORGANIZATION_ID/sources/SOURCE_INSTANCE_ID",
    "parentDisplayName": "Cloud Anomaly Detection",
    "resourceName": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "severity": "CRITICAL",
    "sourceDisplayName": "Cloud Anomaly Detection",
    "state": "ACTIVE",
    "vulnerability": {},
    "workflowState": "NEW"
  },
  "resource": {
    "name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "display_name": "PROJECT_NAME",
    "project_name": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
    "project_display_name": "PROJECT_NAME",
    "parent_name": "//cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID",
    "parent_display_name": "ORGANIZATION_NAME",
    "type": "google.cloud.resourcemanager.Project",
    "folders": []
  },
  "sourceProperties": {
    "project_identifier": "PROJECT_ID",
    "compromised_account": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
    "finding_type": "Potential compromise of a resource in your organization.",
    "summary_message": "We have detected leaked Service Account authentication credentials that could be potentially compromised.",
    "action_taken": "Notification sent",
    "private_key_identifier": "SERVICE_ACCOUNT_KEY_ID",
    "url": "https://github.com/KEY_FILE_PATH/KEY_FILE_NAME.json"
  }
}

Container Threat Detection

Container Threat Detection 可偵測最常見的容器執行階段攻擊，並在 Security Command Center 中發出警報，您也可以選擇在 Cloud Logging 中發出警報。Container Threat Detection 包含多項偵測功能、分析工具和 API。

Container Threat Detection 偵測檢測會收集客層核心中的低階行為，並對程式碼執行自然語言處理，以偵測下列事件：

  • Added Binary Executed
  • Added Library Loaded
  • Command and Control: Steganography Tool Detected (預先發布版)
  • Credential Access: Find Google Cloud Credentials
  • Credential Access: GPG Key Reconnaissance
  • Credential Access: Search Private Keys or Passwords
  • Defense Evasion: Base64 ELF File Command Line
  • Defense Evasion: Base64 Encoded Python Script Executed
  • Defense Evasion: Base64 Encoded Shell Script Executed
  • Defense Evasion: Launch Code Compiler Tool In Container (預先發布版)
  • Execution: Added Malicious Binary Executed
  • Execution: Added Malicious Library Loaded
  • Execution: Built in Malicious Binary Executed
  • Execution: Container Escape
  • Execution: Fileless Execution in /memfd:
  • Execution: Ingress Nightmare Vulnerability Execution (預先發布版)
  • Execution: Kubernetes Attack Tool Execution
  • Execution: Local Reconnaissance Tool Execution
  • Execution: Malicious Python executed
  • Execution: Modified Malicious Binary Executed
  • Execution: Modified Malicious Library Loaded
  • Execution: Netcat Remote Code Execution In Container
  • Execution: Possible Arbitrary Command Execution through CUPS (CVE-2024-47076)
  • Execution: Possible Remote Command Execution Detected (預先發布版)
  • Execution: Program Run with Disallowed HTTP Proxy Env
  • Execution: Socat Reverse Shell Detected
  • Execution: Suspicious OpenSSL Shared Object Loaded
  • Exfiltration: Launch Remote File Copy Tools in Container
  • Impact: Detect Malicious Cmdlines (預先發布版)
  • Impact: Remove Bulk Data From Disk
  • Impact: Suspicious crypto mining activity using the Stratum Protocol
  • Malicious Script Executed
  • Malicious URL Observed
  • Privilege Escalation: Abuse of Sudo For Privilege Escalation (CVE-2019-14287)
  • Privilege Escalation: Fileless Execution in /dev/shm
  • Privilege Escalation: Polkit Local Privilege Escalation Vulnerability (CVE-2021-4034)
  • Privilege Escalation: Sudo Potential Privilege Escalation (CVE-2021-3156)
  • Reverse Shell
  • Unexpected Child Shell

進一步瞭解 Container Threat Detection。

Event Threat Detection

Event Threat Detection 會使用系統內部的記錄資料。這項服務會監控專案的 Cloud Logging 串流，並在記錄檔可用時使用。偵測到威脅時，Event Threat Detection 會將發現項目寫入 Security Command Center 和 Cloud Logging 專案。啟用 Security Command Center Premium 方案後，系統會自動啟用 Event Threat Detection，您可以在Google Cloud 控制台中查看發現項目。

下表列出 Event Threat Detection 發現項目的範例。

表 C. Event Threat Detection 發現類型

Event Threat Detection 會檢查備份和災難復原服務 Management Server 的稽核記錄，偵測下列情況是否發生資料毀損：

  • 刪除備用圖片
  • 刪除與應用程式相關聯的所有備份圖片
  • 刪除備份/復原設備

Event Threat Detection 會檢查稽核記錄，偵測下列情況，判斷是否發生 BigQuery 和 Cloud SQL 資料竊取事件：

  • 與部署至 Agent Runtime 的 AI 代理程式相關聯的身分，將資源儲存到貴機構外部，藉此發起 BigQuery 資料竊取活動。這項發現項目的嚴重程度為「高」。預覽
  • 部署至 Agent Runtime 的 AI 代理相關聯身分，嘗試存取受 VPC Service Controls 保護的 BigQuery 資源。這項發現項目的嚴重程度為「低」。預覽
  • 部署至 Agent Runtime 的 AI 代理相關聯身分，已將 BigQuery 資料擷取至貴機構外部的 bucket，或公開的 Cloud Storage bucket。預覽
  • 部署至 Agent Runtime 的 AI 代理相關聯身分，發起了 Cloud SQL 資料竊取活動，將資料傳送至貴機構外部的 Cloud Storage bucket，或是貴機構擁有的公開 bucket。預覽版
  • BigQuery 資源儲存在貴機構外部，或嘗試執行遭到 VPC Service Controls 封鎖的複製作業。
  • 嘗試存取受 VPC Service Controls 保護的 BigQuery 資源。
  • Cloud SQL 資源已完整或部分匯出至貴機構外部的 Cloud Storage bucket，或是匯出至貴機構擁有且可公開存取的 bucket。
  • Cloud SQL 備份會還原至貴機構外部的 Cloud SQL 執行個體。
  • 貴機構擁有的 BigQuery 資源已匯出至貴機構外部的 Cloud Storage bucket，或匯出至貴機構中可公開存取的值區。
  • 貴機構擁有的 BigQuery 資源會匯出至 Google 雲端硬碟資料夾。
  • BigQuery 資源會儲存至貴機構擁有的公開資源。

Event Threat Detection 會檢查稽核記錄，偵測下列事件，這些事件可能表示 Cloud SQL 執行個體上的有效使用者帳戶遭到入侵：

  • 資料庫使用者取得 PostgreSQL 適用的 Cloud SQL 資料庫的所有權限，或是結構定義中的所有資料表、程序或函式。
  • Cloud SQL 預設資料庫帳戶超級使用者 (PostgreSQL 執行個體上的 `postgres` 或 MySQL 執行個體上的「root」) 用於寫入非系統資料表。

Event Threat Detection 會檢查稽核記錄，偵測下列事件，這些事件可能表示 AlloyDB for PostgreSQL 執行個體上的有效使用者帳戶遭到入侵：

  • 資料庫使用者取得 AlloyDB for PostgreSQL 資料庫的所有權限，或是結構定義中的所有資料表、程序或函式。
  • AlloyDB for PostgreSQL 預設資料庫帳戶超級使用者 (`postgres`) 用於寫入非系統資料表。
Event Threat Detection 會檢查系統記錄檔，找出重複失敗後成功的案例，藉此偵測密碼驗證 SSH 的暴力破解行為。
Event Threat Detection 會檢查虛擬私有雲流程記錄和 Cloud DNS 記錄，找出與已知不良網域或挖礦集區 IP 位址的連線，藉此偵測挖礦惡意軟體。

異常的 IAM 授予行為：Event Threat Detection 會偵測可能屬於異常的 IAM 授予行為，例如：

  • 將 gmail.com 使用者新增至具有專案編輯者角色的政策。
  • 透過 Google Cloud 控制台邀請 gmail.com 使用者擔任專案擁有者。
  • 服務帳戶授予敏感權限。
  • 自訂角色獲得敏感權限。
  • 從貴機構外部新增的服務帳戶。

Event Threat Detection 會偵測備份和災難復原服務的異常變更，這些變更可能會影響備份狀態，包括重大政策變更和移除重要備份和災難復原服務元件。
Event Threat Detection 會偵測可能嘗試惡意利用 Log4j 的行為，以及主動式 Log4j 安全漏洞。
Event Threat Detection 會檢查虛擬私有雲流程記錄和 Cloud DNS 記錄，找出與已知指令與控制網域和 IP 的連線，藉此偵測惡意軟體。
Event Threat Detection 會檢查虛擬私有雲流量記錄，偵測傳出的阻斷服務流量。
Event Threat Detection 會檢查 Cloud 稽核記錄，找出源自匿名 Proxy IP 位址 (例如 Tor IP 位址) 的服務修改，藉此偵測異常存取活動。 Google Cloud
Event Threat Detection 會檢查 Cloud 稽核記錄，找出下列情況，藉此偵測異常的 IAM 行為：
  • IAM 使用者和服務帳戶從異常 IP 位址存取 Google Cloud 。
  • IAM 服務帳戶從異常使用者代理程式存取 Google Cloud 。
  • 模擬 IAM 服務帳戶以存取 Google Cloud的主體和資源。
當服務帳戶憑證用於調查與該服務帳戶相關聯的角色和權限時，Event Threat Detection 會偵測到這項活動。
Event Threat Detection 偵測到已建立 (超過 1 週) 的執行個體中，Compute Engine 執行個體中繼資料安全殼層金鑰值遭到修改。
Event Threat Detection 會偵測已建立執行個體 (超過 1 週) 的 Compute Engine 執行個體中繼資料開機指令碼值是否遭到修改。
Event Threat Detection 會檢查稽核記錄中的異常帳戶活動，包括密碼外洩和嘗試可疑登入，偵測 Google Workspace 帳戶是否可能遭到入侵。
Event Threat Detection 會檢查 Google Workspace 稽核記錄，偵測受到政府資助的攻擊者是否曾試圖入侵使用者帳戶或電腦。
Event Threat Detection 會檢查 Google Workspace 稽核記錄，偵測單一登入 (SSO) 服務是否已停用，或 Google Workspace 管理員帳戶的設定是否已變更。
Event Threat Detection 會檢查 Google Workspace 稽核記錄，偵測使用者和管理員帳戶何時停用兩步驟驗證。
Event Threat Detection 會檢查 Cloud 稽核記錄中，主體先前未曾見過的 Google Cloud 服務要求，藉此偵測異常的 API 行為。

Event Threat Detection 會檢查 Cloud 稽核記錄，偵測下列情況是否出現規避防禦措施的行為：

  • 變更現有的 VPC Service Controls 範圍，導致防護措施減少。
  • 部署或更新工作負載時，使用急用權限旗標覆寫二進位授權控管機制。預先發布版
  • 在專案層級、資料夾層級或機構層級停用 storage.secureHttpTransport 政策。
  • 變更 Cloud Storage bucket 的 IP 過濾設定。
  • 與 AI 代理程式相關聯的身分在專案、資料夾或機構層級獲授予 Token Creator 角色。預覽版

Event Threat Detection 會檢查稽核記錄，偵測下列情境中的探索作業：

  • 可能有惡意行為人試圖使用 kubectl 指令，判斷可以查詢 GKE 中的哪些機密物件。
  • 與部署至 Agent Runtime 的 AI 代理程式相關聯的身分，使用服務帳戶憑證來調查與該服務帳戶相關聯的角色和權限。預覽
  • 系統會使用服務帳戶憑證，調查與該服務帳戶相關聯的角色和權限。
  • 與部署至 Agent Runtime 的 AI 代理相關聯的身分，對外部專案發出未經授權的 API 呼叫。預覽
  • 部署至 Agent Runtime 的 AI 代理相關聯身分，出現通訊埠掃描行為。預覽版
Event Threat Detection 會檢查 Agent Runtime 記錄，判斷是否出現下列情況，藉此偵測憑證存取作業：
  • 與部署至 Agent Runtime 的 AI 代理相關聯的身分，從中繼資料伺服器擷取了服務帳戶權杖。預覽版
  • 在 Google Cloud以外的地方使用代理程式身分憑證。預覽版
Event Threat Detection 會檢查稽核記錄，判斷是否出現下列情況，藉此偵測初始存取作業：
  • 休眠的使用者代管服務帳戶觸發了動作。預覽
  • 主體嘗試叫用各種 Google Cloud 方法，但因權限遭拒錯誤而屢次失敗。預覽
  • 部署至 Agent Runtime 的 AI 代理身分反覆觸發權限遭拒錯誤，原因為叫用各種 Google Cloud 方法。預先發布版
  • AI 服務中的休眠服務帳戶活動。預覽版

Event Threat Detection 會偵測 Gemini Enterprise Agent Platform 資產的持續性作業，包括下列情境：

  • 新 AI API 方法。預先發布版
  • AI 服務的新地理區域。預先發布版
  • 將異常的 IAM 授權授予代理身分。預覽
  • 敏感 AI 權限新增至自訂角色。預覽版
  • AI 代理授予敏感角色。預覽版
  • 將敏感角色授予外部 AI 代理。預覽

Event Threat Detection 會檢查稽核記錄，找出下列情境，偵測 GKE 中的提權行為：

  • 與部署至 Agent Runtime 的 AI 代理程式相關聯的身分，濫用 signJwt 權限產生權杖，可用於提權。預先發布版
  • 與部署至 Agent Runtime 的 AI 代理相關聯的身分產生了可用於提權的權杖。預覽版
  • 有人冒用服務帳戶，並出現異常的 AI 管理員活動。預覽版
  • 有人冒用服務帳戶，並出現異常的 AI 資料存取活動。預覽版
  • AI 管理員活動或資料存取權出現異常多步驟服務帳戶委任情況。預覽版
  • AI 管理員活動出現異常服務帳戶模擬者。預覽版
  • 為提升權限，可能有惡意行為人試圖使用 PUT 或 PATCH 要求，修改機密 cluster-admin 角色的 ClusterRole、RoleBinding 或 ClusterRoleBinding 角色式存取權控管 (RBAC) 物件。
  • 可能有惡意的行為人建立了 Kubernetes 控制層憑證簽署要求 (CSR)，藉此取得cluster-admin存取權。
  • 為提升權限，可能有惡意的行為人試圖為 cluster-admin 角色建立新的 RoleBinding 或 ClusterRoleBinding 物件。
  • 可能有惡意行為人使用了外洩的啟動憑證，以 kubectl 指令查詢憑證簽署要求 (CSR)。
  • 可能有惡意行為人建立了 Pod，當中的容器具備特殊權限或提權功能。
Cloud IDS 會分析鏡像封包，偵測第 7 層攻擊，並在偵測到可疑事件時，觸發 Event Threat Detection 發現項目。如要進一步瞭解 Cloud IDS 偵測結果，請參閱「Cloud IDS 記錄資訊」。預覽
Event Threat Detection 會檢查 Cloud 稽核記錄，查看 Compute Engine 執行個體是否經常卸離及重新附加開機磁碟，藉此偵測潛在的開機磁碟遭修改攻擊。

進一步瞭解 Event Threat Detection。

Google Cloud Armor

Cloud Armor 提供第 7 層篩選功能，協助保護應用程式。Cloud Armor 會清除常見的網路攻擊或其他第 7 層屬性，以防流量抵達負載平衡的後端服務或後端儲存空間。

Cloud Armor 會將兩項發現項目匯出至 Security Command Center：

Virtual Machine Threat Detection

虛擬機器威脅偵測是 Security Command Center 的內建服務。這項服務會掃描虛擬機器，偵測潛在的惡意應用程式，例如加密貨幣挖礦軟體、核心模式 Rootkit，以及在遭入侵的雲端環境中執行的惡意軟體。

VM 威脅偵測是 Security Command Center 威脅偵測套件的一部分，旨在輔助 Event Threat Detection 和 Container Threat Detection 的現有功能。

如要進一步瞭解 VM 威脅偵測，請參閱 VM 威脅偵測總覽。

VM 威脅偵測發現的威脅

VM 威脅偵測功能可產生下列威脅發現項目。

加密貨幣挖礦威脅調查結果

VM 威脅偵測會透過雜湊比對或 YARA 規則，偵測下列發現項目類別。

VM 威脅偵測加密貨幣挖礦威脅發現項目
類別 單元 說明
CRYPTOMINING_HASH 比對執行中程式的記憶體雜湊與已知的加密貨幣挖礦軟體記憶體雜湊。發現項目預設會分類為「高」嚴重性。
CRYPTOMINING_YARA 符合記憶體模式，例如工作量證明常數，已知加密貨幣挖礦軟體會使用這類模式。發現項目預設會分類為「高」嚴重性。
  • CRYPTOMINING_HASH
  • CRYPTOMINING_YARA
 識別 CRYPTOMINING_HASH 和 CRYPTOMINING_YARA 模組偵測到的威脅。詳情請參閱「 合併偵測結果」。發現項目預設會分類為「高」嚴重性。

核心模式 Rootkit 威脅發現項目

VM 威脅偵測功能會在執行階段分析核心完整性，偵測惡意軟體常用的規避技術。

KERNEL_MEMORY_TAMPERING模組會比較虛擬機器的核心程式碼和核心唯讀資料記憶體的雜湊值，藉此偵測威脅。

KERNEL_INTEGRITY_TAMPERING 模組會檢查重要核心資料結構的完整性，藉此偵測威脅。

VM 威脅偵測核心模式 Rootkit 威脅發現結果
類別 單元 說明
Rootkit
  • KERNEL_MEMORY_TAMPERING
  • KERNEL_INTEGRITY_TAMPERING
 系統偵測到多個信號，符合已知的核心模式 Rootkit。如要接收這類別的調查結果，請務必啟用這兩個模組。發現項目預設會分類為「高」嚴重性。
核心記憶體竄改行為
KERNEL_MEMORY_TAMPERING 核心唯讀資料記憶體出現非預期的修改行為。發現項目預設會分類為「高」嚴重性。
核心完整性竄改行為
KERNEL_INTEGRITY_TAMPERING ftrace 點，且回呼指向的區域不在預期的核心或模組程式碼範圍內。發現項目預設會分類為「高」嚴重性。
KERNEL_INTEGRITY_TAMPERING 存在不在預期核心或模組程式碼區域中的中斷處理常式。發現項目預設會分類為「高」嚴重性。
KERNEL_INTEGRITY_TAMPERING 系統偵測到不在預期核心或模組程式碼區域中的核心程式碼頁面。發現項目預設會分類為「高」嚴重性。
KERNEL_INTEGRITY_TAMPERING kprobe 點，且回呼指向的區域不在預期的核心或模組程式碼範圍內。發現項目預設會分類為「高」嚴重性。
KERNEL_INTEGRITY_TAMPERING 排程器執行佇列中出現非預期程序。這類程序位於執行佇列中，但不在程序工作清單中。發現項目預設會分類為「高」嚴重性。
KERNEL_INTEGRITY_TAMPERING 系統呼叫處理常式不在預期的核心或模組程式碼區域中。發現項目預設會分類為「高」嚴重性。

錯誤

錯誤偵測器可協助您偵測設定中的錯誤，避免安全來源產生調查結果。錯誤發現項目是由 Security Command Center 安全性來源產生，且發現項目類別為 SCC errors。

誤觸

下列發現項目類別代表可能因無意間的動作而導致的錯誤。

無意間執行的動作
類別名稱 API 名稱 摘要 嚴重性
API_DISABLED

發現項目說明： 專案所需的 API 已停用。停用的服務無法將調查結果傳送至 Security Command Center。

價格層級： 進階或標準

支援的資產
cloudresourcemanager.googleapis.com/Project

批次掃描：每 60 小時一次

修正這項發現項目

重大
APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES

發現項目說明： 已為攻擊路徑模擬定義資源值設定，但這些設定與您環境中的任何資源執行個體都不相符。模擬作業改用預設的高價值資源集。

這個錯誤的可能原因如下：

  • 沒有任何資源值設定與資源例項相符。
  • 指定 NONE 的一或多項資源價值設定會覆寫所有其他有效設定。
  • 所有已定義的資源價值設定都會指定 NONE 的價值。

定價層級： 進階

支援的資產
cloudresourcemanager.googleapis.com/Organizations

批次掃描：每次模擬攻擊路徑前。

修正這項發現項目

重大
APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED

發現項目說明： 在上次攻擊路徑模擬中，資源價值設定識別出的高價值資源執行個體數量，超過高價值資源集中 1,000 個資源執行個體的限制。因此，Security Command Center 會從高價值資源集中排除超出上限的執行個體。

SCC Error 發現項目會顯示相符執行個體的總數，以及從集合中排除的執行個體總數。 Google Cloud

影響排除資源例項的任何發現項目，其受攻擊風險分數不會反映資源例項的高價值指定項目。

定價層級： 進階

支援的資產
cloudresourcemanager.googleapis.com/Organizations

批次掃描：每次模擬攻擊路徑前。

修正這項發現項目

高
KTD_IMAGE_PULL_FAILURE

發現說明： 無法在叢集上啟用 Container Threat Detection，因為系統無法從 gcr.io (Container Registry 映像檔主機) 提取 (下載) 必要容器映像檔。Container Threat Detection 需要這個映像檔，才能部署 Container Threat Detection DaemonSet。

嘗試部署 Container Threat Detection DaemonSet 時發生下列錯誤：

Failed to pull image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": rpc error: code = NotFound desc = failed to pull and unpack image "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": failed to resolve reference "badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00": badurl.gcr.io/watcher-daemonset:ktd_release.watcher_20220831_RC00: not found

定價層級： 進階

支援的資產
container.googleapis.com/Cluster

批次掃描：每 30 分鐘一次

修正這項發現項目

重大
KTD_BLOCKED_BY_ADMISSION_CONTROLLER

發現說明： 無法在 Kubernetes 叢集上啟用 Container Threat Detection。第三方許可控制器會禁止部署 Container Threat Detection 必要的 Kubernetes DaemonSet 物件。

在 Google Cloud 控制台中查看時，發現項目詳細資料會包含 Container Threat Detection 嘗試部署 Container Threat Detection DaemonSet 物件時，Google Kubernetes Engine 傳回的錯誤訊息。

定價層級： 進階

支援的資產
container.googleapis.com/Cluster

批次掃描：每 30 分鐘一次

修正這項發現項目

高
KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS

發現項目說明： 服務帳戶缺少 Container Threat Detection 必要的權限。由於無法啟用、升級或停用 偵測儀器，Container Threat Detection 功能可能無法正常運作。

定價層級： 進階

支援的資產
cloudresourcemanager.googleapis.com/Project

批次掃描：每 30 分鐘一次

修正這項發現項目

重大
GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS

發現項目說明： Container Threat Detection 無法為 Google Kubernetes Engine 叢集產生發現項目，因為叢集中的 GKE 預設服務帳戶缺少權限。這會導致系統無法在叢集上成功啟用 Container Threat Detection。

定價層級： 進階

支援的資產
container.googleapis.com/Cluster

批次掃描：每週

修正這項發現項目

高
MISCONFIGURED_CLOUD_LOGGING_EXPORT

發現項目說明： 設定 持續匯出至 Cloud Logging 的專案無法使用。Security Command Center 無法將發現項目傳送至 Cloud Logging。

定價層級： 進階

支援的資產
cloudresourcemanager.googleapis.com/Organization

批次掃描：每 30 分鐘一次

修正這項發現項目

高
VPC_SC_RESTRICTION

發現項目說明： 安全狀態分析無法為專案產生特定發現項目。專案受到服務周圍區域保護，且 Security Command Center 服務帳戶無法存取該周圍區域。

價格層級： 進階或標準

支援的資產
cloudresourcemanager.googleapis.com/Project

批次掃描：每 6 小時一次

修正這項發現項目

高
SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS

發現項目說明： Security Command Center 服務帳戶缺少正常運作所需的權限。未產生任何發現項目。

價格層級： 進階或標準

支援的素材資源

批次掃描：每 30 分鐘一次

修正這項發現項目

重大

詳情請參閱「Security Command Center 錯誤」。

應用程式生命週期安全評估

您可以搭配使用 Security Command Center 和 Application Design Center (App Design Center)，直接將主動式安全評估整合到應用程式開發生命週期。

這項整合作業著重於下列主要概念。

設計階段和執行階段的發現項目

  • 設計階段發現的問題：來自 App Design Center 內基礎架構即程式碼 (IaC) 範本和應用程式的掃描結果，這些問題會在資源部署前發現。
  • 執行階段發現項目：源自部署在雲端環境中的資源。

Security Command Center 會顯示這兩種發現項目，協助您提供應用程式的整合式資安態勢資料檢視。

代管和非代管應用程式

Security Command Center 會根據應用程式的部署方式，使用下列術語區分應用程式：

受管理的應用程式
使用 App Design Center 設計的應用程式。這些應用程式支援設計階段評估。
非受管應用程式
在 App Hub 註冊但未由 App Design Center 管理的應用程式。這些應用程式支援 Security Command Center 中的執行階段監控和風險優先順序設定，但不支援設計階段評估。

部署前評估重點

您可以在 App Design Center 的應用程式生命週期中，於下列階段執行安全評估：

  1. 設計階段：編輯範本或應用程式時，可按需求進行評估。
  2. 發布階段：將範本發布至 Service Catalog 時，系統會自動評估。
  3. 部署階段：在佈建資源前進行最終評估檢查。

App Hub

透過 Security Command Center 和 Compliance Manager，您可以查看特定 App Hub 應用程式中資源的發現項目、問題和法規遵循資訊。您可以篩選調查檢視畫面，只查看已向 App Hub 應用程式註冊的資源資料。

您可以在下列調查檢視畫面中篩選：

  • 「風險總覽」>「所有風險」資訊主頁
  • 依序點選「風險總覽」>「資料」資訊主頁
  • 「發現項目」頁面
  • 「問題」頁面
  • 依序點選「法規遵循」>「監控 (新版)」分頁標籤。
  • 依序點選「法規遵循」「監控 (新版)」「架構詳細資料」頁面

查看機構層級的資料時，可以使用「選取應用程式」選單篩選檢視畫面。這個選單會列出在應用程式中心建立，並部署在 Security Command Center 啟用的相同機構中的應用程式。「選取應用程式」選單中的資訊是從 Cloud Asset Inventory 和 App Hub 擷取而來。

查看單一專案或資料夾的資料時，無法使用「選取應用程式」選單。

後續步驟