安全漏洞發現項目

Standard-legacy、Standard、Premium 和 Enterprise (已淘汰) 服務級別 (部分功能需要在組織層級啟用)

Security Command Center Enterprise 服務級別將於 2027 年 5 月 21 日停用。 如果貴組織使用 Enterprise 服務級別，則會在 2027 年 5 月 21 日當天或之後自動移至 Premium 服務級別。如有任何問題，請與您的帳戶代表或Google Cloud 銷售專員聯絡。

每項服務都會建立不同類別的發現項目。發現項目類別取決於建立發現項目的安全性條件。

您能否查看及編輯發現項目，取決於指派給您的 Identity and Access Management (IAM) 角色和權限。如要進一步瞭解 Security Command Center 中的 IAM 角色，請參閱「存取控管」。

偵測工具和法規遵循

Standard-legacy、Standard、Premium 和 Enterprise (已淘汰) 服務級別 (部分功能需要在組織層級啟用)

Security Command Center 會使用對應至各種安全標準控制項的偵測工具，監控您的法規遵循情形。

Security Command Center 會檢查每項支援安全標準的部分控管機制。Security Command Center 會顯示通過檢查的控管機制數量。對於未通過的控管機制，Security Command Center 會顯示發現項目清單，說明控管機制失敗的原因。

CIS 會審查並認證 Security Command Center 偵測工具與各支援版本 CIS Google Cloud Foundations Benchmark 的對應關係。其他法規遵循對應僅供參考。

Security Command Center 會定期新增對新基準版本和標準的支援。系統仍支援舊版，但最終會淘汰。建議您使用最新支援的基準或標準。

透過資安態勢服務，您可以將組織政策和安全狀態分析偵測工具，對應至適用於貴機構的標準和控管機制。建立資安態勢後，您可以監控環境是否有任何可能影響業務法規遵循的變更。

您可以使用法規遵循管理工具部署框架，將法規控管機制對應至雲端控管機制。建立架構後，您可以監控環境中可能影響業務法規遵循的任何變更，並稽核環境。

如要進一步瞭解如何管理法規遵循，請參閱「評估及回報安全標準遵循情形」。

支援的安全標準

注意：如果您未啟用法規遵循管理工具，系統會支援這些標準。如要瞭解可與 Compliance Manager 搭配使用的架構，請參閱「Compliance Manager 總覽」。

Google Cloud

Security Command Center 會將 Google Cloud 的偵測工具對應至下列一或多項法規遵循標準：

• Center for Information Security (CIS) Controls 8.0
• CIS Google Cloud Computing Foundations Benchmark v2.0.0、v1.3.0、v1.2.0、v1.1.0 和 v1.0.0
• CIS Kubernetes 基準政策 v1.5.1
• Cloud Controls Matrix (CCM) 4
• 《健康保險流通與責任法案》(HIPAA)
• 國際標準組織 (ISO) 27001、2022 和 2013
• 美國國家標準暨技術研究院 (NIST) 800-53 R5 和 R4
• 美國國家標準暨技術研究院 (NIST) 網路安全架構 (CSF) 1.0
• Open Web Application Security Project (OWASP) Top Ten，2021 年和 2017 年
• 付款卡產業資料安全標準 (PCI DSS) 4.0 和 3.2.1
• 系統與組織控管 (SOC) 2 2017 信任服務準則 (TSC)

AWS

在 Enterprise (已淘汰) 服務級別中，Security Command Center 會將 Amazon Web Services (AWS) 的偵測工具對應至下列一或多項法規遵循標準：

• CIS Amazon Web Services Foundations 2.0.0
• CIS Critical Security Controls 8.0 版
• Cloud Controls Matrix (CCM) 4
• 《健康保險流通與責任法案》(HIPAA)
• 國際標準組織 (ISO) 27001，2022 年
• 美國國家標準暨技術研究院 (NIST) 800-53 R5
• 美國國家標準暨技術研究院 (NIST) 網路安全架構 (CSF) 1.0
• 付款卡產業資料安全標準 (PCI DSS) 4.0 和 3.2.1
• 系統與組織控管 (SOC) 2 2017 信任服務準則 (TSC)

如需查看及匯出法規遵循報告的操作說明，請參閱「評估及回報安全標準遵循情形」。

安全狀態分析發現項目

Standard-legacy、Standard、Premium 和 Enterprise (已淘汰) 服務級別

安全狀態分析偵測工具會監控 Cloud Asset Inventory (CAI) 的部分資源，並接收資源和 Identity and Access Management (IAM) 政策變更通知。部分偵測工具會直接呼叫 Google Cloud API 來擷取資料，如本頁後續表格所示。

如要進一步瞭解安全狀態分析、掃描排程，以及安全狀態分析對內建和自訂模組偵測工具的支援，請參閱「安全狀態分析總覽」。

下表說明安全狀態分析偵測工具、支援的資產和法規遵循標準、掃描使用的設定，以及產生的發現項目類型。您可以在下列 Google Cloud 控制台頁面，依各種屬性篩選發現項目：

• 「Vulnerabilities」(安全漏洞) 頁面
• 「風險總覽」頁面 >「安全漏洞」資訊主頁

如需修正發現項目和保護資源的操作說明，請參閱「修復安全狀態分析發現項目」。

API 金鑰安全漏洞發現項目

API_KEY_SCANNER 偵測工具會找出與雲端部署項目所用 API 金鑰相關的安全漏洞。

偵測工具	摘要	資產掃描設定
API key APIs unrestricted API 中的類別名稱：API_KEY_APIS_UNRESTRICTED	發現項目說明： API 金鑰的使用範圍過廣。如要解決這個問題，請限制 API 金鑰用量，只允許應用程式所需的 API。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.12 CIS GCP Foundation 1.1: 1.14 CIS GCP Foundation 1.2: 1.14 CIS GCP Foundation 1.3: 1.14 CIS GCP Foundation 2.0: 1.14 CIS GCP Foundation 3.0: 1.14 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	擷取專案中所有 API 金鑰的 restrictions 屬性，檢查是否有任何屬性設為 cloudapis.googleapis.com。 即時掃描：否
API key apps unrestricted API 中的類別名稱：API_KEY_APPS_UNRESTRICTED	發現項目說明： 有 API 金鑰未設限，任何不受信任的應用程式都能使用。 定價級別：進階 支援的素材資源 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.11 CIS GCP Foundation 1.1: 1.13 CIS GCP Foundation 1.2: 1.13 CIS GCP Foundation 1.3: 1.13 CIS GCP Foundation 2.0: 1.13 CIS GCP Foundation 3.0: 1.13	擷取專案中所有 API 金鑰的 restrictions 屬性，檢查是否已設定 browserKeyRestrictions、serverKeyRestrictions、androidKeyRestrictions 或 iosKeyRestrictions。 即時掃描：否
API key exists API 中的類別名稱：API_KEY_EXISTS	發現項目說明：專案使用 API 金鑰，而非標準驗證。 定價級別：進階 支援的素材資源 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.10 CIS GCP Foundation 1.1: 1.12 CIS GCP Foundation 1.2: 1.12 CIS GCP Foundation 1.3: 1.12 CIS GCP Foundation 2.0: 1.12 CIS GCP Foundation 3.0: 1.12 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	擷取專案擁有的所有 API 金鑰。 即時掃描：否
API key not rotated API 中的類別名稱：API_KEY_NOT_ROTATED	發現項目說明：API 金鑰超過 90 天未輪替。 定價級別：進階 支援的素材資源 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.13 CIS GCP Foundation 1.1: 1.15 CIS GCP Foundation 1.2: 1.15 CIS GCP Foundation 1.3: 1.15 CIS GCP Foundation 2.0: 1.15 CIS GCP Foundation 3.0: 1.15 NIST 800-53 R5: PL-8, SA-8 PCI-DSS v4.0: 2.2.2, 6.2.1 ISO-27001 v2022: A.8.27 Cloud Controls Matrix 4: DSP-07 NIST Cybersecurity Framework 1.0: PR-IP-2 CIS Controls 8.0: 16.10	擷取所有 API 金鑰 createTime 屬性中的時間戳記，檢查是否已超過 90 天。 即時掃描：否

Cloud Asset Inventory 安全漏洞發現項目

這類偵測工具的安全漏洞都與 Cloud Asset Inventory 設定有關，且屬於 CLOUD_ASSET_SCANNER 類型。

偵測工具	摘要	資產掃描設定
Cloud Asset API disabled API 中的類別名稱：CLOUD_ASSET_API_DISABLED	發現項目說明：Cloud Asset Inventory 擷取 Google Cloud 資源和 IAM 政策，可讓您分析安全性、追蹤資源變更，以及稽核法規遵循情況。建議您為所有專案啟用 Cloud Asset Inventory 服務。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.3: 2.13 CIS GCP Foundation 2.0: 2.13 CIS GCP Foundation 3.0: 2.13 NIST 800-53 R5: CM-8, PM-5 PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1 ISO-27001 v2022: A.5.9, A.8.8 Cloud Controls Matrix 4: UEM-04 NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3 SOC2 v2017: CC3.2.6, CC6.1.1 HIPAA: 164.310(d)(2)(iii) CIS Controls 8.0: 1.1, 6.6	檢查是否已啟用 Cloud Asset Inventory 服務。 即時掃描：否

儲存空間安全漏洞發現項目

這類偵測工具的安全漏洞都與 Cloud Storage bucket 設定有關，且屬於STORAGE_SCANNER類型。

偵測工具	摘要	資產掃描設定
Bucket CMEK disabled API 中的類別名稱：BUCKET_CMEK_DISABLED	發現項目說明：bucket 未使用客戶自行管理的加密金鑰 (CMEK) 加密。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的資產 storage.googleapis.com/Bucket 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查 bucket 中繼資料中的 encryption 欄位，找出 CMEK 的資源名稱。 即時掃描：是
Bucket policy only disabled API 中的類別名稱：BUCKET_POLICY_ONLY_DISABLED	發現項目說明：未設定統一 bucket 層級存取權 (先前稱為「僅限 bucket 政策」)。 定價級別：進階 支援的資產 storage.googleapis.com/Bucket 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 5.2 CIS GCP Foundation 1.3: 5.2 CIS GCP Foundation 2.0: 5.2 CIS GCP Foundation 3.0: 5.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查 bucket 的 uniformBucketLevelAccess 屬性是否設為 "enabled":false 即時掃描：是
Public bucket ACL API 中的類別名稱：PUBLIC_BUCKET_ACL	發現項目說明： Cloud Storage bucket 可公開存取。 定價級別：進階或標準 支援的資產 storage.googleapis.com/Bucket 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 5.1 CIS GCP Foundation 1.1: 5.1 CIS GCP Foundation 1.2: 5.1 CIS GCP Foundation 1.3: 5.1 CIS GCP Foundation 2.0: 5.1 CIS GCP Foundation 3.0: 5.1 NIST 800-53 R4: AC-2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查 bucket 的 IAM 允許政策，確認是否有公開角色 allUsers 或 allAuthenticatedUsers。 即時掃描：是
Public log bucket API 中的類別名稱：PUBLIC_LOG_BUCKET	發現項目說明：做為記錄檔接收器的 Storage bucket 開放公開存取。 這項發現項目不適用於專案層級啟用。 定價級別：進階或標準 支援的資產 storage.googleapis.com/Bucket 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: AU-9 PCI-DSS v3.2.1: 10.5 ISO-27001 v2013: A.12.4.2, A.18.1.3, A.8.2.3	檢查 bucket 的 IAM 允許政策，確認是否包含授予公開存取權的主體 allUsers 或 allAuthenticatedUsers。 其他輸入內容：讀取 bucket 的記錄檔接收器 (記錄檔篩選器和記錄檔目的地)，判斷是否為記錄檔 bucket 即時掃描：是，但僅限 bucket 的 IAM 政策變更時，記錄檔接收器變更時則否

Compute 映像檔安全漏洞發現項目

COMPUTE_IMAGE_SCANNER 偵測工具會找出與Google Cloud 映像檔設定相關的安全漏洞。

偵測工具	摘要	資產掃描設定
Public Compute image API 中的類別名稱：PUBLIC_COMPUTE_IMAGE	發現項目說明： Compute Engine 映像檔可公開存取。 定價級別：進階或標準 支援的素材資源 compute.googleapis.com/Image 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查資源中繼資料中的 IAM 允許政策，確認是否包含授予公開存取權的主體 allUsers 或 allAuthenticatedUsers。 即時掃描：是

運算執行個體安全漏洞發現項目

COMPUTE_INSTANCE_SCANNER 偵測工具會找出與 Compute Engine 執行個體設定相關的安全漏洞。

COMPUTE_INSTANCE_SCANNER 偵測工具不會回報 GKE 建立的 Compute Engine 執行個體發現項目。這類執行個體的名稱開頭為「gke-」，使用者無法編輯。如要保護這些執行個體，請參閱「容器安全漏洞發現項目」一節。

偵測工具	摘要	資產掃描設定
Confidential Computing disabled API 中的類別名稱：CONFIDENTIAL_COMPUTING_DISABLED	發現項目說明：Compute Engine 執行個體已停用機密運算功能。 定價級別：進階 支援的素材資源 compute.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 4.11 CIS GCP Foundation 1.3: 4.11 CIS GCP Foundation 2.0: 4.11 CIS GCP Foundation 3.0: 4.11 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	檢查執行個體中繼資料的 confidentialInstanceConfig 屬性，確認是否有鍵/值組合 "enableConfidentialCompute":true。 不列入掃描範圍的資產： GKE 執行個體 無伺服器 VPC 存取 與 Dataflow 工作相關的執行個體 非 N2D 類型的 Compute Engine 執行個體 即時掃描：是
Compute project wide SSH keys allowed API 中的類別名稱：COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED	發現項目說明：使用全專案適用的安全殼層金鑰，允許登入專案中的所有執行個體。 定價級別：進階 支援的素材資源 compute.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 4.2 CIS GCP Foundation 1.1: 4.3 CIS GCP Foundation 1.2: 4.3 CIS GCP Foundation 1.3: 4.3 CIS GCP Foundation 2.0: 4.3 CIS GCP Foundation 3.0: 4.3 NIST 800-53 R5: AC-17, IA-5, SC-8 PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2 ISO-27001 v2022: A.5.14 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-2 SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2 HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii) CIS Controls 8.0: 3.10, 5.2	檢查執行個體中繼資料中的 metadata.items[] 物件，找出鍵/值組合 "key": "block-project-ssh-keys", "value": TRUE。 不列入掃描範圍的資產：GKE 執行個體、Dataflow 工作、Windows 執行個體 其他 IAM 權限： roles/compute.Viewer 其他輸入內容：從 Compute Engine 讀取中繼資料 即時掃描：否
Compute Secure Boot disabled API 中的類別名稱：COMPUTE_SECURE_BOOT_DISABLED	發現項目說明：這個 Shielded VM 未啟用安全啟動功能。使用安全啟動功能，可保護虛擬機器執行個體免受 rootkit 和 bootkit 等進階威脅。 定價級別：進階 支援的資產 compute.googleapis.com/Instance 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查 Compute Engine 執行個體的 shieldedInstanceConfig 屬性，判斷 enableSecureBoot 是否設為 true。這項偵測工具會檢查附加的磁碟是否與安全啟動功能相容，以及是否已啟用安全啟動功能。 不納入掃描範圍的資產：GKE 執行個體、具有 GPU 加速器且未使用 Container-Optimized OS 的 Compute Engine 磁碟、無伺服器 VPC 存取 即時掃描：是
Compute serial ports enabled API 中的類別名稱：COMPUTE_SERIAL_PORTS_ENABLED	發現項目說明：執行個體已啟用序列埠，允許連線至執行個體的序列控制台。 定價級別：進階 支援的資產 compute.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 4.4 CIS GCP Foundation 1.1: 4.5 CIS GCP Foundation 1.2: 4.5 CIS GCP Foundation 1.3: 4.5 CIS GCP Foundation 2.0: 4.5 CIS GCP Foundation 3.0: 4.5 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1 ISO-27001 v2022: A.8.9 SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4 CIS Controls 8.0: 4.8	檢查執行個體中繼資料中的 metadata.items[] 物件，找出鍵/值組合 "key": "serial-port-enable", "value": TRUE。 不列入掃描的資產：GKE 執行個體 其他 IAM 權限： roles/compute.Viewer 其他輸入內容：從 Compute Engine 讀取中繼資料 即時掃描：是
Default service account used API 中的類別名稱：DEFAULT_SERVICE_ACCOUNT_USED	發現項目說明：執行個體已設為使用預設服務帳戶。 定價級別：進階 支援的資產 compute.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 4.1 CIS GCP Foundation 1.2: 4.1 CIS GCP Foundation 1.3: 4.1 CIS GCP Foundation 2.0: 4.1 CIS GCP Foundation 3.0: 4.1 NIST 800-53 R5: IA-5 PCI-DSS v4.0: 2.2.2, 2.3.1 ISO-27001 v2022: A.8.2, A.8.9 NIST Cybersecurity Framework 1.0: PR-AC-1 SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 4.7	檢查執行個體中繼資料中的 serviceAccounts 屬性，找出任何前置字串為 [e-mail] 的服務帳戶電子郵件地址，這代表 Google 建立的預設服務帳戶。 不納入掃描範圍的資產：GKE 執行個體、Dataflow 工作 即時掃描：是
Disk CMEK disabled API 中的類別名稱：DISK_CMEK_DISABLED	發現項目說明：這個 VM 上的磁碟並未使用客戶自行管理的加密金鑰 (CMEK) 加密。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的資產 compute.googleapis.com/Disk 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查磁碟中繼資料內 diskEncryptionKey 物件的 kmsKeyName 欄位，確認 CMEK 的資源名稱。 不列入掃描範圍的資產：與 Managed Airflow 環境、Dataflow 工作和 GKE 執行個體相關的磁碟 即時掃描：是
Disk CSEK disabled API 中的類別名稱：DISK_CSEK_DISABLED	發現項目說明：這個 VM 的磁碟並未使用客戶提供的加密金鑰 (CSEK) 加密。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「特殊案例偵測工具」。 定價級別：進階 支援的資產 compute.googleapis.com/Disk 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 4.6 CIS GCP Foundation 1.1: 4.7 CIS GCP Foundation 1.2: 4.7 CIS GCP Foundation 1.3: 4.7 CIS GCP Foundation 2.0: 4.7 CIS GCP Foundation 3.0: 4.7 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	檢查 diskEncryptionKey 物件中的 sha256 欄位，找出 CSEK 的資源名稱。 掃描作業排除的資產： Compute Engine 磁碟，且 enforce_customer_supplied_disk_encryption_keys 安全標記未設為 true 其他 IAM 權限： roles/compute.Viewer 其他輸入內容：從 Compute Engine 讀取中繼資料 即時掃描：是
Full API access API 中的類別名稱：FULL_API_ACCESS	發現項目說明：執行個體設為使用預設服務帳戶，具備所有 Google CloudAPI 的完整存取權。 定價級別：進階 支援的資產 compute.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 4.1 CIS GCP Foundation 1.1: 4.2 CIS GCP Foundation 1.2: 4.2 CIS GCP Foundation 1.3: 4.2 CIS GCP Foundation 2.0: 4.2 CIS GCP Foundation 3.0: 4.2 NIST 800-53 R4: AC-6 NIST 800-53 R5: IA-5 PCI-DSS v3.2.1: 7.1.2 PCI-DSS v4.0: 2.2.2, 2.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.8.2, A.8.9 NIST Cybersecurity Framework 1.0: PR-AC-1 SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 4.7	擷取 serviceAccounts 屬性中的 scopes 欄位，檢查是否使用預設服務帳戶，以及是否已指派 cloud-platform 範圍。 不納入掃描範圍的資產：GKE 執行個體、Dataflow 工作 即時掃描：是
HTTP load balancer API 中的類別名稱：HTTP_LOAD_BALANCER	發現項目說明：執行個體使用的負載平衡器設定為使用目標 HTTP Proxy，而非目標 HTTPS Proxy。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 compute.googleapis.com/TargetHttpProxy 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： PCI-DSS v3.2.1: 2.3	判斷 targetHttpProxy 資源的 selfLink 屬性是否與轉送規則中的 target 屬性相符，以及轉送規則是否包含設為 External 的 loadBalancingScheme 欄位。 其他 IAM 權限： roles/compute.Viewer 其他輸入內容：從 Compute Engine 讀取目標 HTTP Proxy 的轉送規則，檢查是否有外部規則 即時掃描：是
Instance OS Login disabled API 中的類別名稱：INSTANCE_OS_LOGIN_DISABLED	發現項目說明：這個執行個體已停用 OS 登入功能。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 compute.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 4.3 CIS GCP Foundation 1.1: 4.4 CIS GCP Foundation 1.2: 4.4 CIS GCP Foundation 1.3: 4.4 CIS GCP Foundation 2.0: 4.4 NIST 800-53 R5: AC-2 ISO-27001 v2022: A.5.15 SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9 CIS Controls 8.0: 5.6, 6.7	檢查執行個體 Custom metadata 的 enable-oslogin 屬性是否設為 TRUE。 不列入掃描範圍的資產：GKE 執行個體、與 Dataflow 工作相關的執行個體、無伺服器 VPC 存取 其他 IAM 權限： roles/compute.Viewer 其他輸入內容：從 Compute Engine 讀取中繼資料。 即時掃描：否
IP forwarding enabled API 中的類別名稱：IP_FORWARDING_ENABLED	發現項目說明：執行個體已啟用 IP 轉送功能。 定價級別：進階 支援的資產 compute.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 4.5 CIS GCP Foundation 1.1: 4.6 CIS GCP Foundation 1.2: 4.6 CIS GCP Foundation 1.3: 4.6 CIS GCP Foundation 2.0: 4.6 CIS GCP Foundation 3.0: 4.6 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v4.0: 1.2.1, 1.4.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	檢查執行個體的 canIpForward 屬性是否設為 true。 不列入掃描的資產：GKE 執行個體、無伺服器 VPC 存取 即時掃描：是
OS login disabled API 中的類別名稱：OS_LOGIN_DISABLED	發現項目說明：這項專案已停用 OS 登入功能。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 compute.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 4.3 CIS GCP Foundation 1.1: 4.4 CIS GCP Foundation 1.2: 4.4 CIS GCP Foundation 1.3: 4.4 CIS GCP Foundation 2.0: 4.4 NIST 800-53 R5: AC-2 ISO-27001 v2022: A.5.15 SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9 CIS Controls 8.0: 5.6, 6.7	檢查專案中繼資料中的 commonInstanceMetadata.items[] 物件，確認是否有鍵/值組合 "key"："enable-oslogin"、"value"：TRUE。偵測工具也會檢查 Compute Engine 專案中的所有執行個體，判斷個別執行個體是否停用 OS 登入功能。 不列入掃描範圍的資產：GKE 執行個體、與 Dataflow 工作相關的執行個體 其他 IAM 權限： roles/compute.Viewer 其他輸入內容：從 Compute Engine 讀取中繼資料。偵測工具也會檢查專案中的 Compute Engine 執行個體 即時掃描：否
Public IP address API 中的類別名稱：PUBLIC_IP_ADDRESS	發現項目說明：執行個體具有公開 IP 位址。 定價級別：進階或標準 支援的資產 compute.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 4.9 CIS GCP Foundation 1.2: 4.9 CIS GCP Foundation 1.3: 4.9 CIS GCP Foundation 2.0: 4.9 CIS GCP Foundation 3.0: 4.9 NIST 800-53 R4: CA-3, SC-7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查 networkInterfaces 屬性是否包含 accessConfigs 欄位，指出是否已設為使用公開 IP 位址。 不列入掃描範圍的資產：GKE 執行個體、與 Dataflow 工作相關的執行個體 即時掃描：是
Shielded VM disabled API 中的類別名稱：SHIELDED_VM_DISABLED	發現項目說明：這個執行個體已停用 Shielded VM。 定價級別：進階 支援的資產 compute.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 4.8 CIS GCP Foundation 1.2: 4.8 CIS GCP Foundation 1.3: 4.8 CIS GCP Foundation 2.0: 4.8 CIS GCP Foundation 3.0: 4.8	檢查 Compute Engine 執行個體中的 shieldedInstanceConfig 屬性，判斷 enableIntegrityMonitoring 和 enableVtpm 欄位是否設為 true。這些欄位會指出是否已啟用 Shielded VM。 不列入掃描範圍的資產：GKE 執行個體和無伺服器 VPC 存取 即時掃描：是
Weak SSL policy API 中的類別名稱：WEAK_SSL_POLICY	發現項目說明：執行個體的 SSL 政策強度不足。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 compute.googleapis.com/TargetHttpsProxy compute.googleapis.com/TargetSslProxy 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 3.9 CIS GCP Foundation 1.2: 3.9 CIS GCP Foundation 1.3: 3.9 CIS GCP Foundation 2.0: 3.9 CIS GCP Foundation 3.0: 3.9 NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 4.1 ISO-27001 v2013: A.14.1.3	檢查資產中繼資料中的 sslPolicy 是否空白或使用 Google Cloud 預設政策，以及附加的 sslPolicies 資源是否符合下列條件：profile 設為 Restricted 或 Modern、minTlsVersion 設為 TLS 1.2，且 customFeatures 為空白或不含下列加密：TLS_RSA_WITH_AES_128_GCM_SHA256、TLS_RSA_WITH_AES_256_GCM_SHA384、TLS_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_WITH_AES_256_CBC_SHA、TLS_RSA_WITH_3DES_EDE_CBC_SHA。 其他 IAM 權限： roles/compute.Viewer 其他輸入內容：讀取目標 Proxy 儲存空間的安全資料傳輸層 (SSL) 政策，檢查是否有強度不足的政策 即時掃描：是，但只有在 TargetSslProxy 的 TargetHttpsProxy 更新時才會執行，SSL 政策更新時不會執行

容器安全漏洞發現項目

這些發現項目類型都與 GKE 容器設定有關，且屬於 CONTAINER_SCANNER 偵測工具類型。

偵測工具	摘要	資產掃描設定
Alpha cluster enabled API 中的類別名稱：ALPHA_CLUSTER_ENABLED	發現項目說明：GKE 叢集已啟用 Alpha 版叢集功能。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GKE 1.0: 6.10.2	檢查叢集的 enableKubernetesAlpha 屬性是否設為 true。 即時掃描：是
Auto repair disabled API 中的類別名稱：AUTO_REPAIR_DISABLED	發現項目說明：GKE 叢集的自動修復功能已停用，這項功能可讓節點維持在運作正常的良好狀態。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.7 CIS GKE 1.0: 6.5.2 PCI-DSS v3.2.1: 2.2	檢查節點集區的 management 屬性，確認是否有鍵/值組合 "key": "autoRepair"、"value": true。 即時掃描：是
Auto upgrade disabled API 中的類別名稱：AUTO_UPGRADE_DISABLED	發現項目說明：GKE 叢集的自動升級功能已停用，這項功能可讓叢集和節點集區保持在最新穩定版 Kubernetes。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.8 CIS GKE 1.0: 6.5.3 PCI-DSS v3.2.1: 2.2	檢查節點集區的 management 屬性，確認是否有鍵/值組合 "key": "autoUpgrade"、"value": true。 即時掃描：是
Binary authorization disabled API 中的類別名稱：BINARY_AUTHORIZATION_DISABLED	發現項目說明：GKE 叢集已停用二進位授權，或二進位授權政策設為允許部署所有映像檔。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查下列項目： 檢查 binaryAuthorization 屬性是否具有下列其中一個鍵/值組合： "evaluationMode": "PROJECT_SINGLETON_POLICY_ENFORCE" "evaluationMode": "POLICY_BINDINGS" "evaluationMode": "POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE" 檢查 defaultAdmissionRule 政策屬性是否不含鍵/值組合 evaluationMode: ALWAYS_ALLOW。 即時掃描：是
Cluster logging disabled API 中的類別名稱：CLUSTER_LOGGING_DISABLED	發現項目說明：GKE 叢集未啟用記錄功能。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.1 CIS GKE 1.0: 6.7.1 PCI-DSS v3.2.1: 10.2.2, 10.2.7	檢查叢集的 loggingService 屬性是否包含 Cloud Logging 應使用的記錄寫入位置。 即時掃描：是
Cluster monitoring disabled API 中的類別名稱：CLUSTER_MONITORING_DISABLED	發現項目說明：GKE 叢集已停用監控功能。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.2 CIS GKE 1.0: 6.7.1 PCI-DSS v3.2.1: 10.1, 10.2	檢查叢集的 monitoringService 屬性是否包含 Cloud Monitoring 應使用的指標寫入位置。 即時掃描：是
Cluster private Google access disabled API 中的類別名稱：CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED	發現項目說明：叢集主機未設為僅使用私人內部 IP 位址存取 Google API。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.16 PCI-DSS v3.2.1: 1.3	檢查子網路的 privateIpGoogleAccess 屬性是否設為 false。 其他輸入內容：從儲存空間讀取子網路，僅針對具有子網路的叢集提交發現項目 即時掃描：是，但僅限叢集更新，不適用於子網路更新
Cluster secrets encryption disabled API 中的類別名稱：CLUSTER_SECRETS_ENCRYPTION_DISABLED	發現項目說明：GKE 叢集已停用應用程式層 Secret 加密功能。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GKE 1.0: 6.3.1	檢查 databaseEncryption 物件的 keyName 屬性，找出鍵/值組合 "state": ENCRYPTED。 即時掃描：是
Cluster shielded nodes disabled API 中的類別名稱：CLUSTER_SHIELDED_NODES_DISABLED	發現項目說明：叢集未啟用 Shielded GKE 節點。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GKE 1.0: 6.5.5	檢查 shieldedNodes 屬性是否有鍵/值組合 "enabled": true。 即時掃描：是
COS not used API 中的類別名稱：COS_NOT_USED	發現項目說明：Compute Engine VM 未使用 Container-Optimized OS，該 OS 專為在 Google Cloud 上安全執行 Docker 容器而設計。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.9 CIS GKE 1.0: 6.5.1 PCI-DSS v3.2.1: 2.2	檢查節點集區的 config 屬性，確認是否有鍵/值組合 "imageType": "COS"。 即時掃描：是
Integrity monitoring disabled API 中的類別名稱：INTEGRITY_MONITORING_DISABLED	發現項目說明：GKE 叢集的完整性監控功能已停用。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GKE 1.0: 6.5.6	檢查 nodeConfig 物件的 shieldedInstanceConfig 屬性，找出鍵/值組合 "enableIntegrityMonitoring": true。 即時掃描：是
Intranode visibility disabled API 中的類別名稱：INTRANODE_VISIBILITY_DISABLED	發現項目說明：GKE 叢集已停用節點內瀏覽權限。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GKE 1.0: 6.6.1	檢查鍵/值組合 "enableIntraNodeVisibility": true 的 networkConfig 屬性。 即時掃描：是
IP alias disabled API 中的類別名稱：IP_ALIAS_DISABLED	發現項目說明：建立 GKE 叢集時，別名 IP 範圍已停用。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.13 CIS GKE 1.0: 6.6.2 PCI-DSS v3.2.1: 1.3.4, 1.3.7	檢查叢集中 ipAllocationPolicy 的 useIPAliases 欄位是否設為 false。 即時掃描：是
Legacy authorization enabled API 中的類別名稱：LEGACY_AUTHORIZATION_ENABLED	發現項目說明：GKE 叢集已啟用舊版授權。 定價級別：進階或標準 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.3 CIS GKE 1.0: 6.8.3 PCI-DSS v3.2.1: 4.1	檢查叢集的 legacyAbac 屬性，確認是否有鍵/值組合 "enabled"：true。 即時掃描：是
Legacy metadata enabled API 中的類別名稱：LEGACY_METADATA_ENABLED	發現項目說明：GKE 叢集已啟用舊版中繼資料。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GKE 1.0: 6.4.1	檢查節點集區的 config 屬性，確認是否有鍵/值組合 "disable-legacy-endpoints": "false"。 即時掃描：是
Master authorized networks disabled API 中的類別名稱：MASTER_AUTHORIZED_NETWORKS_DISABLED	發現項目說明：GKE 叢集未啟用控制層授權網路。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.4 CIS GKE 1.0: 6.6.3 PCI-DSS v3.2.1: 1.2.1, 1.3.2	檢查叢集的 masterAuthorizedNetworksConfig 屬性，找出鍵/值組合 "enabled": false。 即時掃描：是
Network policy disabled API 中的類別名稱：NETWORK_POLICY_DISABLED	發現項目說明：GKE 叢集已停用網路政策。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.11 NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.3 ISO-27001 v2013: A.13.1.1	檢查 addonsConfig 屬性的 networkPolicy 欄位，找出鍵/值組合 "disabled"：true。 即時掃描：是
Nodepool boot CMEK disabled API 中的類別名稱：NODEPOOL_BOOT_CMEK_DISABLED	發現項目說明：這個節點集區中的開機磁碟並未以客戶自行管理的加密金鑰 (CMEK) 加密。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查節點集區的 bootDiskKmsKey 屬性，確認 CMEK 的資源名稱。 即時掃描：是
Nodepool secure boot disabled API 中的類別名稱：NODEPOOL_SECURE_BOOT_DISABLED	發現項目說明：GKE 叢集已停用安全啟動功能。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GKE 1.0: 6.5.7	檢查 nodeConfig 物件的 shieldedInstanceConfig 屬性，找出鍵/值組合 "enableSecureBoot": true。 即時掃描：是
Over privileged account API 中的類別名稱：OVER_PRIVILEGED_ACCOUNT	發現項目說明：服務帳戶在叢集中的專案存取權過於廣泛。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.17 NIST 800-53 R4: AC-6, SC-7 CIS GKE 1.0: 6.2.1 PCI-DSS v3.2.1: 2.1, 7.1.2 ISO-27001 v2013: A.9.2.3	評估節點集區的 config 屬性，檢查是否未指定服務帳戶，或是否使用預設服務帳戶。 即時掃描：是
Over privileged scopes API 中的類別名稱：OVER_PRIVILEGED_SCOPES	發現項目說明：節點服務帳戶的存取權範圍廣泛。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.18 CIS GKE 1.0: 6.2.1	檢查節點集區 config.oauthScopes 屬性中列出的存取權範圍，是否為受限的服務帳戶存取權範圍：https://www.googleapis.com/auth/devstorage.read_only、https://www.googleapis.com/auth/logging.write 或 https://www.googleapis.com/auth/monitoring。 即時掃描：是
Pod security policy disabled API 中的類別名稱：POD_SECURITY_POLICY_DISABLED	發現項目說明：GKE 叢集已停用 PodSecurityPolicy。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.14 CIS GKE 1.0: 6.10.3	檢查叢集的 podSecurityPolicyConfig 屬性，確認是否有鍵/值組合 "enabled": false。 其他 IAM 權限： roles/container.clusterViewer 其他輸入內容：從 GKE 讀取叢集資訊，因為 Pod 安全性政策是 Beta 版功能。PodSecurityPolicy 已於 Kubernetes 1.21 版正式淘汰，並會在 1.25 版停用。如要瞭解替代方案，請參閱「淘汰 PodSecurityPolicy」一文。 即時掃描：否
Private cluster disabled API 中的類別名稱：PRIVATE_CLUSTER_DISABLED	發現項目說明：GKE 叢集已停用私人叢集。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.15 CIS GKE 1.0: 6.6.5 PCI-DSS v3.2.1: 1.3.2	檢查 privateClusterConfig 屬性的 enablePrivateNodes 欄位是否設為 false。 即時掃描：是
Release channel disabled API 中的類別名稱：RELEASE_CHANNEL_DISABLED	發現項目說明：GKE 叢集未訂閱發布管道。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GKE 1.0: 6.5.4	檢查 releaseChannel 屬性是否有鍵/值組合 "channel": UNSPECIFIED。 即時掃描：是
Web UI enabled API 中的類別名稱：WEB_UI_ENABLED	發現項目說明：已啟用 GKE 網頁版 UI (資訊主頁)。 定價級別：進階或標準 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 7.6 CIS GKE 1.0: 6.10.1 PCI-DSS v3.2.1: 6.6	檢查 addonsConfig 屬性的 kubernetesDashboard 欄位是否有鍵/值組合 "disabled": false。 即時掃描：是
Workload Identity disabled API 中的類別名稱：WORKLOAD_IDENTITY_DISABLED	發現項目說明：GKE 叢集已停用 Workload Identity Federation for GKE。 定價級別：進階 支援的資產 container.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GKE 1.0: 6.2.2	檢查是否已設定叢集的 workloadIdentityConfig 屬性。偵測工具也會檢查節點集區的 workloadMetadataConfig 屬性是否設為 GKE_METADATA。 其他 IAM 權限： roles/container.clusterViewer 即時掃描：是

Managed Service for Apache Spark 安全漏洞發現項目

這類偵測工具的安全漏洞都與 Managed Service for Apache Spark 有關，且屬於 DATAPROC_SCANNER 偵測工具類型。

偵測工具	摘要	資產掃描設定
Dataproc CMEK disabled API 中的類別名稱：DATAPROC_CMEK_DISABLED	發現項目說明：建立 Managed Service for Apache Spark 叢集時，未設定加密 CMEK。如果使用 CMEK，系統會以您在 Cloud Key Management Service 建立及管理的金鑰做為第二組金鑰，包裝 Google Cloud 用於加密資料的金鑰，讓您進一步控管資料存取權。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的資產 dataproc.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.3: 1.17 CIS GCP Foundation 2.0: 1.17 CIS GCP Foundation 3.0: 8.1 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	檢查 encryptionConfiguration 屬性中的 kmsKeyName 欄位是否空白。 即時掃描：是
Dataproc image outdated API 中的類別名稱：DATAPROC_IMAGE_OUTDATED	發現項目說明： 建立 Managed Service for Apache Spark 叢集時，使用的 Managed Service for Apache Spark 映像檔版本會受到 Apache Log4j 2 公用程式中的安全漏洞影響 (CVE-2021-44228 和 CVE-2021-45046)。 定價級別：進階或標準 支援的資產 dataproc.googleapis.com/Cluster 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查 Cluster 的 config 屬性中的 softwareConfig.imageVersion 欄位是否早於 1.3.95，或是否為早於 1.4.77、1.5.53 或 2.0.27 的副次要映像檔版本。 即時掃描：是

資料集安全漏洞發現項目

這類偵測工具的安全漏洞都與 BigQuery 資料集設定有關，且屬於 DATASET_SCANNER 偵測工具類型。

偵測工具	摘要	資產掃描設定
BigQuery table CMEK disabled API 中的類別名稱：BIGQUERY_TABLE_CMEK_DISABLED	發現項目說明：BigQuery 資料表未設為使用客戶自行管理的加密金鑰 (CMEK)。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的資產 bigquery.googleapis.com/Table 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 7.2 CIS GCP Foundation 1.3: 7.2 CIS GCP Foundation 2.0: 7.2 CIS GCP Foundation 3.0: 7.2 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	檢查 encryptionConfiguration 屬性中的 kmsKeyName 欄位是否空白。 即時掃描：是
Dataset CMEK disabled API 中的類別名稱：DATASET_CMEK_DISABLED	發現項目說明：BigQuery 資料集未設為使用預設 CMEK。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的資產 bigquery.googleapis.com/Dataset 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 7.3 CIS GCP Foundation 1.3: 7.3 CIS GCP Foundation 2.0: 7.3 CIS GCP Foundation 3.0: 7.3 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	檢查 defaultEncryptionConfiguration 屬性中的 kmsKeyName 欄位是否空白。 即時掃描：否
Public dataset API 中的類別名稱：PUBLIC_DATASET	發現項目說明： 資料集已設為開放公開存取。 定價級別：進階或標準 支援的資產 bigquery.googleapis.com/Dataset 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 7.1 CIS GCP Foundation 1.2: 7.1 CIS GCP Foundation 1.3: 7.1 CIS GCP Foundation 2.0: 7.1 CIS GCP Foundation 3.0: 7.1 NIST 800-53 R4: AC-2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查資源中繼資料中的 IAM 允許政策，確認是否包含授予公開存取權的主體 allUsers 或 allAuthenticatedUsers。 即時掃描：是

DNS 安全漏洞發現項目

這類偵測工具的安全漏洞都與 Cloud DNS 設定有關，且屬於 DNS_SCANNER 偵測工具類型。

偵測工具	摘要	資產掃描設定
DNSSEC disabled API 中的類別名稱：DNSSEC_DISABLED	發現項目說明：Cloud DNS 區域已停用 DNSSEC。 定價級別：進階 支援的資產 dns.googleapis.com/ManagedZone 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 3.3 CIS GCP Foundation 1.1: 3.3 CIS GCP Foundation 1.2: 3.3 CIS GCP Foundation 1.3: 3.3 CIS GCP Foundation 2.0: 3.3 CIS GCP Foundation 3.0: 3.3 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2013: A.8.2.3 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	檢查 dnssecConfig 屬性的 state 欄位是否設為 off。 不納入掃描範圍的資產：非公開的 Cloud DNS 區域 即時掃描：是
RSASHA1 for signing API 中的類別名稱：RSASHA1_FOR_SIGNING	發現項目說明：RSASHA1 用於 Cloud DNS 區域的金鑰簽署。 定價級別：進階 支援的資產 dns.googleapis.com/ManagedZone 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 3.4, 3.5 CIS GCP Foundation 1.1: 3.4, 3.5 CIS GCP Foundation 1.2: 3.4, 3.5 CIS GCP Foundation 1.3: 3.4, 3.5 CIS GCP Foundation 2.0: 3.4, 3.5 CIS GCP Foundation 3.0: 3.4, 3.5 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	檢查 dnssecConfig 屬性的 defaultKeySpecs.algorithm 物件是否設為 rsasha1。 即時掃描：是

防火牆安全漏洞發現項目

這類偵測工具的漏洞都與防火牆設定有關，且屬於 FIREWALL_SCANNER 偵測工具類型。

偵測工具	摘要	資產掃描設定
Egress deny rule not set API 中的類別名稱：EGRESS_DENY_RULE_NOT_SET	發現項目說明： 防火牆未設定輸出拒絕規則。應設定輸出拒絕規則，封鎖不必要的傳出流量。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： PCI-DSS v3.2.1: 7.2	檢查防火牆中的 destinationRanges 屬性是否設為 0.0.0.0/0，以及 denied 屬性是否包含鍵/值組合 "IPProtocol": "all"。 其他輸入內容：從儲存空間讀取專案的輸出防火牆 即時掃描：是，但僅限專案變更，不包括防火牆規則變更
Firewall rule logging disabled API 中的類別名稱：FIREWALL_RULE_LOGGING_DISABLED	發現項目說明：防火牆規則記錄功能已停用。應啟用防火牆規則記錄功能，以便稽核網路存取情形。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SI-4 PCI-DSS v3.2.1: 10.1, 10.2 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 logConfig 屬性，確認該屬性是否為空白，或包含鍵/值組合 "enable": false。 不列入掃描範圍的資產：GKE 執行個體、GKE 建立的防火牆規則、無伺服器 VPC 存取 即時掃描：是
Open Cassandra port API 中的類別名稱：OPEN_CASSANDRA_PORT	發現項目說明：防火牆設為開放 Cassandra 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:7000-7001, 7199, 8888, 9042, 9160, 61620-61621。 即時掃描：是
Open ciscosecure websm port API 中的類別名稱：OPEN_CISCOSECURE_WEBSM_PORT	發現項目說明：防火牆已設為開放 CISCOSECURE_WEBSM 通訊埠，允許一般存取。 定價級別：進階或標準 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:9090。 即時掃描：是
Open directory services port API 中的類別名稱：OPEN_DIRECTORY_SERVICES_PORT	發現項目說明：防火牆設有開放的 DIRECTORY_SERVICES 通訊埠，允許一般存取。 定價級別：進階或標準 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:445 和 UDP:445。 即時掃描：是
Open DNS port API 中的類別名稱：OPEN_DNS_PORT	發現項目說明：防火牆設有開放的 DNS 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:53 和 UDP:53。 即時掃描：是
Open elasticsearch port API 中的類別名稱：OPEN_ELASTICSEARCH_PORT	發現項目說明：防火牆設有開放的 ELASTICSEARCH 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:9200, 9300。 即時掃描：是
Open firewall API 中的類別名稱：OPEN_FIREWALL	發現項目說明：防火牆已設為開放公開存取。 定價級別：進階或標準 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： PCI-DSS v3.2.1: 1.2.1	檢查 sourceRanges 和 allowed 屬性，確認是否符合下列其中一種設定： sourceRanges 屬性包含 0.0.0.0/0，allowed 屬性則包含規則組合，其中含有任何 protocol 或 protocol:port，但下列項目除外： icmp tcp:22 tcp:443 tcp:3389 udp:3389 sctp:22 sourceRanges 屬性包含 IP 範圍組合，其中包含任何非私人 IP 位址，而 allowed 屬性包含允許所有 TCP 通訊埠或所有 UDP 通訊埠的規則組合。 不列入掃描範圍的資產：GKE 建立的防火牆規則、 Google Cloud負載平衡器的保留私人 IP 範圍 即時掃描：是
Open FTP port API 中的類別名稱：OPEN_FTP_PORT	發現項目說明：防火牆設有開放的 FTP 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:21。 即時掃描：是
Open HTTP port API 中的類別名稱：OPEN_HTTP_PORT	發現項目說明：防火牆設有開放的 HTTP 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:80。 即時掃描：是
Open LDAP port API 中的類別名稱：OPEN_LDAP_PORT	發現項目說明：防火牆設有開放的 LDAP 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:389, 636 和 UDP:389。 即時掃描：是
Open Memcached port API 中的類別名稱：OPEN_MEMCACHED_PORT	發現項目說明：防火牆設有開放的 MEMCACHED 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:11211, 11214-11215 和 UDP:11211, 11214-11215。 即時掃描：是
Open MongoDB port API 中的類別名稱：OPEN_MONGODB_PORT	發現項目說明：防火牆設為開啟 MONGODB 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:27017-27019。 即時掃描：是
Open MySQL port API 中的類別名稱：OPEN_MYSQL_PORT	發現項目說明：防火牆設有開放的 MYSQL 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:3306。 即時掃描：是
Open NetBIOS port API 中的類別名稱：OPEN_NETBIOS_PORT	發現項目說明：防火牆設有開放的 NETBIOS 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:137-139 和 UDP:137-139。 即時掃描：是
Open OracleDB port API 中的類別名稱：OPEN_ORACLEDB_PORT	發現項目說明： 防火牆設有開放的 ORACLEDB 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:1521, 2483-2484 和 UDP:2483-2484。 即時掃描：是
Open pop3 port API 中的類別名稱：OPEN_POP3_PORT	發現項目說明：防火牆設有開放的 POP3 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:110。 即時掃描：是
Open PostgreSQL port API 中的類別名稱：OPEN_POSTGRESQL_PORT	發現項目說明：防火牆設為開放 PostgreSQL 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:5432 和 UDP:5432。 即時掃描：是
Open RDP port API 中的類別名稱：OPEN_RDP_PORT	發現項目說明：防火牆已設為開放 RDP 通訊埠，允許一般存取。 定價級別：進階或標準 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 3.7 CIS GCP Foundation 1.1: 3.7 CIS GCP Foundation 1.2: 3.7 CIS GCP Foundation 1.3: 3.7 CIS GCP Foundation 2.0: 3.7 CIS GCP Foundation 3.0: 3.7 NIST 800-53 R4: SC-7 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.2.1, 1.4.1 ISO-27001 v2013: A.13.1.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	檢查防火牆中繼資料中的 allowed 屬性，確認是否包含下列通訊協定和通訊埠：TCP:3389 和 UDP:3389。 即時掃描：是
Open Redis port API 中的類別名稱：OPEN_REDIS_PORT	發現項目說明：防火牆設有開放的 REDIS 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性是否包含下列通訊協定和通訊埠：TCP:6379。 即時掃描：是
Open SMTP port API 中的類別名稱：OPEN_SMTP_PORT	發現項目說明：防火牆設有開放的 SMTP 通訊埠，允許一般存取。 定價級別：進階 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性是否包含下列通訊協定和通訊埠：TCP:25。 即時掃描：是
Open SSH port API 中的類別名稱：OPEN_SSH_PORT	發現項目說明：防火牆已設為開放 SSH 通訊埠，允許一般存取。 定價級別：進階或標準 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 3.6 CIS GCP Foundation 1.1: 3.6 CIS GCP Foundation 1.2: 3.6 CIS GCP Foundation 1.3: 3.6 CIS GCP Foundation 2.0: 3.6 CIS GCP Foundation 3.0: 3.6 NIST 800-53 R4: SC-7 NIST 800-53 R5: CA-9, SC-7 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.2.1, 1.4.1 ISO-27001 v2013: A.13.1.1 SOC2 v2017: CC6.6.1, CC6.6.4 CIS Controls 8.0: 4.4, 4.5	檢查防火牆中繼資料中的 allowed 屬性是否包含下列通訊協定和通訊埠：TCP:22 和 SCTP:22。 即時掃描：是
Open Telnet port API 中的類別名稱：OPEN_TELNET_PORT	發現項目說明：防火牆設有開放的 TELNET 通訊埠，允許一般存取。 定價級別：進階或標準 支援的資產 compute.googleapis.com/Firewall 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 1.2.1 ISO-27001 v2013: A.13.1.1	檢查防火牆中繼資料中的 allowed 屬性是否包含下列通訊協定和通訊埠：TCP:23。 即時掃描：是

IAM 安全漏洞發現項目

這類偵測工具的安全漏洞都與 Identity and Access Management (IAM) 設定有關，且屬於 IAM_SCANNER 偵測工具類型。

偵測工具	摘要	資產掃描設定
Access Transparency disabled API 中的類別名稱：ACCESS_TRANSPARENCY_DISABLED	發現項目說明： Google Cloud 貴組織已停用資料存取透明化控管機制。當 Google Cloud 員工存取貴組織的專案以提供支援時，資料存取透明化控管機制會記錄相關資訊。啟用資料存取透明化控管機制，記錄 Google Cloud 中存取您資訊的人員、時間和原因。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Organization 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.3: 2.14 CIS GCP Foundation 2.0: 2.14 CIS GCP Foundation 3.0: 2.14	檢查貴組織是否已啟用資料存取透明化控管機制。 即時掃描：否
Admin service account API 中的類別名稱：ADMIN_SERVICE_ACCOUNT	發現項目說明：服務帳戶具備管理員、擁有者或編輯者權限。請勿將這些角色指派給使用者建立的服務帳戶。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.4 CIS GCP Foundation 1.1: 1.5 CIS GCP Foundation 1.2: 1.5 CIS GCP Foundation 1.3: 1.5 CIS GCP Foundation 2.0: 1.5 CIS GCP Foundation 3.0: 1.5 NIST 800-53 R5: AC-6 ISO-27001 v2022: A.5.15, A.8.2 Cloud Controls Matrix 4: IAM-09 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.7, CC6.1.8, CC6.3.1, CC6.3.2, CC6.3.3 CIS Controls 8.0: 5.4	檢查資源中繼資料中的 IAM 允許政策，找出獲派 roles/Owner 或 roles/Editor，或角色 ID 包含 admin 的任何使用者建立服務帳戶 (前置字串為 iam.gserviceaccount.com)。 不列入掃描範圍的資產：Container Registry 服務帳戶 (containerregistry.iam.gserviceaccount.com)和 Security Command Center 服務帳戶 (security-center-api.iam.gserviceaccount.com) 即時掃描：是，除非 IAM 更新是在資料夾上完成
Essential Contacts Not Configured API 中的類別名稱：ESSENTIAL_CONTACTS_NOT_CONFIGURED	發現項目說明：貴組織尚未指定人員或群組接收 Google Cloud 通知，瞭解貴組織 Google Cloud 內的重要事件，例如攻擊、安全漏洞和資料事件。建議您指定貴企業組織中的一或多位人員或群組為重要聯絡人。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Organization 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.3: 1.16 CIS GCP Foundation 2.0: 1.16 CIS GCP Foundation 3.0: 1.16 NIST 800-53 R5: IR-6 ISO-27001 v2022: A.5.20, A.5.24, A.5.5, A.5.6 Cloud Controls Matrix 4: SEF-08 NIST Cybersecurity Framework 1.0: RS-CO-1 SOC2 v2017: CC2.3.1 CIS Controls 8.0: 17.2	檢查是否已為下列重要聯絡人類別指定聯絡人： 法律 安全性 停權 技術 即時掃描：否
KMS role separation API 中的類別名稱：KMS_ROLE_SEPARATION	發現項目說明： 未強制執行權責劃分，且有使用者同時具備 Cloud KMS 管理員角色和下列任一 Cloud Key Management Service (Cloud KMS) 角色： CryptoKey 加密者/解密者、加密者、解密者、公開金鑰檢視者、簽署者或簽署者/驗證者。 這項發現項目不適用於專案層級啟用。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.9 CIS GCP Foundation 1.1: 1.11 CIS GCP Foundation 2.0: 1.11 NIST 800-53 R4: AC-5 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.10.1.2, A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查資源中繼資料中的 IAM 允許政策，並擷取同時獲派下列任一角色的主體：roles/cloudkms.cryptoKeyEncrypterDecrypter、roles/cloudkms.cryptoKeyEncrypter 和 roles/cloudkms.cryptoKeyDecrypter、roles/cloudkms.signer、roles/cloudkms.signerVerifier、roles/cloudkms.publicKeyViewer。 即時掃描：是
Non org IAM member API 中的類別名稱：NON_ORG_IAM_MEMBER	發現項目說明：有使用者未使用組織憑證。根據 CIS GCP Foundations 1.0，目前只有使用 @gmail.com 電子郵件地址的身分會觸發這項偵測工具。 定價級別：進階或標準 支援的資產 cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.1 CIS GCP Foundation 1.1: 1.1 CIS GCP Foundation 1.2: 1.1 CIS GCP Foundation 1.3: 1.1 CIS GCP Foundation 2.0: 1.1 CIS GCP Foundation 3.0: 1.1 NIST 800-53 R4: AC-3 PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	將 IAM 許可政策中繼資料 user 欄位中的 @gmail.com 電子郵件地址，與貴組織核准的身分清單進行比較。 即時掃描：是
Open group IAM member API 中的類別名稱：OPEN_GROUP_IAM_MEMBER	發現項目說明： Google 網路論壇帳戶不必經過核准即可加入，並做為 IAM 允許政策主體。 定價級別：進階或標準 支援的資產 cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查資源中繼資料中的 IAM 政策，確認是否有任何繫結包含前置字串為 group 的成員 (主體)。如果群組是公開群組，安全狀態分析 就會產生這項發現項目。 其他輸入內容：讀取 Google 群組中繼資料，檢查識別出的群組是否為公開群組。 即時掃描：否
Over privileged service account user API 中的類別名稱：OVER_PRIVILEGED_SERVICE_ACCOUNT_USER	發現項目說明：使用者在專案層級具備「服務帳戶使用者」或「服務帳戶權杖建立者」角色，而非特定服務帳戶。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.5 CIS GCP Foundation 1.1: 1.6 CIS GCP Foundation 1.2: 1.6 CIS GCP Foundation 1.3: 1.6 CIS GCP Foundation 2.0: 1.6 CIS GCP Foundation 3.0: 1.6 NIST 800-53 R4: AC-6 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 7.1.2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查資源中繼資料中的 IAM 允許政策，確認是否有任何主體在專案層級獲派 roles/iam.serviceAccountUser 或 roles/iam.serviceAccountTokenCreator。 不納入掃描的資產：Cloud Build 服務帳戶 即時掃描：否
Primitive roles used API 中的類別名稱：PRIMITIVE_ROLES_USED	發現項目說明：使用者具備下列其中一項基本角色： 擁有者 (roles/owner) 編輯者 (roles/editor) 檢視者 (roles/viewer) 這些角色的權限過於寬鬆，不應使用。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: AC-6 PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	檢查資源中繼資料中的 IAM 允許政策，找出獲派 roles/owner、roles/editor 或 roles/viewer 角色的主體。 即時掃描：是
Redis role used on org API 中的類別名稱：REDIS_ROLE_USED_ON_ORG	發現項目說明：在組織或資料夾層級指派 Redis IAM 角色。 這項發現項目不適用於專案層級啟用。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Organization 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： PCI-DSS v3.2.1: 7.1.2 ISO-27001 v2013: A.9.2.3	檢查資源中繼資料中的 IAM 允許政策，找出在組織或資料夾層級獲派 roles/redis.admin、roles/redis.editor、roles/redis.viewer 的主體。 即時掃描：是
Service account role separation API 中的類別名稱：SERVICE_ACCOUNT_ROLE_SEPARATION	發現項目說明：使用者已獲派「服務帳戶管理員」和「服務帳戶使用者」角色。這違反了「分散權責」原則。 這項發現項目不適用於專案層級啟用。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.7 CIS GCP Foundation 1.1: 1.8 CIS GCP Foundation 1.2: 1.8 CIS GCP Foundation 1.3: 1.8 CIS GCP Foundation 2.0: 1.8 CIS GCP Foundation 3.0: 1.8 NIST 800-53 R4: AC-5 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查資源中繼資料中的 IAM 允許政策，確認是否有任何主體同時獲派 roles/iam.serviceAccountUser 和 roles/iam.serviceAccountAdmin。 即時掃描：是
Service account key not rotated API 中的類別名稱：SERVICE_ACCOUNT_KEY_NOT_ROTATED	發現項目說明：服務帳戶金鑰超過 90 天未輪替。 定價級別：進階 支援的資產 iam.googleapis.com/ServiceAccountKey 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.6 CIS GCP Foundation 1.1: 1.7 CIS GCP Foundation 1.2: 1.7 CIS GCP Foundation 1.3: 1.7 CIS GCP Foundation 2.0: 1.7 CIS GCP Foundation 3.0: 1.7	評估服務帳戶金鑰中繼資料 validAfterTime 屬性中擷取的金鑰建立時間戳記。 不列入掃描範圍的資產：過期的服務帳戶金鑰和非使用者管理的金鑰 即時掃描：是
User managed service account key API 中的類別名稱：USER_MANAGED_SERVICE_ACCOUNT_KEY	發現項目說明：使用者管理服務帳戶金鑰。 定價級別：進階 支援的資產 iam.googleapis.com/ServiceAccountKey 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.3 CIS GCP Foundation 1.1: 1.4 CIS GCP Foundation 1.2: 1.4 CIS GCP Foundation 1.3: 1.4 CIS GCP Foundation 2.0: 1.4 CIS GCP Foundation 3.0: 1.4	檢查服務帳戶金鑰中繼資料中的 keyType 屬性是否設為 User_Managed。 即時掃描：是

KMS 安全漏洞發現項目

這類偵測工具的安全漏洞都與 Cloud KMS 設定有關，且屬於 KMS_SCANNER 偵測工具類型。

偵測工具	摘要	資產掃描設定
KMS key not rotated API 中的類別名稱：KMS_KEY_NOT_ROTATED	發現項目說明：Cloud KMS 加密金鑰未設定輪替。金鑰應在 90 天內輪替。 定價級別：進階 支援的資產 cloudkms.googleapis.com/CryptoKey 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.8 CIS GCP Foundation 1.1: 1.10 CIS GCP Foundation 1.2: 1.10 CIS GCP Foundation 1.3: 1.10 CIS GCP Foundation 2.0: 1.10 NIST 800-53 R4: SC-12 NIST 800-53 R5: IA-5, SC-28 PCI-DSS v3.2.1: 3.5 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2013: A.10.1.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	檢查資源中繼資料是否存在 rotationPeriod 或 nextRotationTime 屬性。 不列入掃描的資產：非對稱金鑰，以及主要版本已停用或刪除的金鑰 即時掃描：是
KMS project has owner API 中的類別名稱：KMS_PROJECT_HAS_OWNER	發現項目說明：使用者對含有加密編譯金鑰的專案具備擁有者權限。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 1.11 CIS GCP Foundation 1.2: 1.11 CIS GCP Foundation 1.3: 1.11 CIS GCP Foundation 2.0: 1.11 NIST 800-53 R4: AC-6, SC-12 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 3.5 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.10.1.2, A.9.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查專案中繼資料中的 IAM 允許政策，確認指派 roles/Owner 的主體。 其他輸入內容：從儲存空間讀取專案的加密編譯金鑰，僅針對含有加密編譯金鑰的專案提交發現項目 即時掃描：是，但僅限 IAM 許可政策變更，不包括 KMS 金鑰變更
KMS public key API 中的類別名稱：KMS_PUBLIC_KEY	發現項目說明：Cloud KMS 加密編譯金鑰可公開存取。 定價級別：進階 支援的資產 cloudkms.googleapis.com/CryptoKey cloudkms.googleapis.com/KeyRing 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 1.9 CIS GCP Foundation 1.2: 1.9 CIS GCP Foundation 1.3: 1.9 CIS GCP Foundation 2.0: 1.9 CIS GCP Foundation 3.0: 1.9 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查資源中繼資料中的 IAM 允許政策，確認是否包含授予公開存取權的主體 allUsers 或 allAuthenticatedUsers。 即時掃描：是
Too many KMS users API 中的類別名稱：TOO_MANY_KMS_USERS	發現項目說明：加密編譯金鑰的使用者超過三位。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 cloudkms.googleapis.com/CryptoKey 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： PCI-DSS v3.2.1: 3.5.2 ISO-27001 v2013: A.9.2.3	檢查金鑰環、專案和組織的 IAM 允許政策，並擷取具備下列角色的主體，這些角色允許主體使用 Cloud KMS 金鑰加密、解密或簽署資料：roles/owner、roles/cloudkms.cryptoKeyEncrypterDecrypter、roles/cloudkms.cryptoKeyEncrypter、roles/cloudkms.cryptoKeyDecrypter、roles/cloudkms.signer 和 roles/cloudkms.signerVerifier。 其他輸入內容：從儲存空間讀取加密編譯金鑰的加密編譯金鑰版本，僅針對具有有效版本的金鑰提交發現項目。偵測工具也會從儲存空間讀取金鑰環、專案和組織 IAM 允許政策 即時掃描：是

記錄安全漏洞發現項目

這類偵測工具的漏洞都與記錄設定有關，且屬於 LOGGING_SCANNER 偵測工具類型。

偵測工具	摘要	資產掃描設定
Audit logging disabled API 中的類別名稱：AUDIT_LOGGING_DISABLED	發現項目說明：這項資源已停用稽核記錄功能。 這項發現項目不適用於專案層級啟用。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Organization cloudresourcemanager.googleapis.com/Folder cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 2.1 CIS GCP Foundation 1.1: 2.1 CIS GCP Foundation 1.2: 2.1 CIS GCP Foundation 1.3: 2.1 CIS GCP Foundation 2.0: 2.1 CIS GCP Foundation 3.0: 2.1 NIST 800-53 R4: AC-2, AU-2 NIST 800-53 R5: AU-6, AU-7 PCI-DSS v3.2.1: 10.1, 10.2 PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3 ISO-27001 v2013: A.12.4.1, A.16.1.7 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1 SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5 HIPAA: 164.308(a)(1)(ii), 164.312(b) CIS Controls 8.0: 8.11, 8.2	檢查資源中繼資料中的 IAM 允許政策，確認是否存在 auditLogConfigs 物件。 即時掃描：是
Bucket logging disabled API 中的類別名稱：BUCKET_LOGGING_DISABLED	發現項目說明：有儲存空間 bucket 未啟用記錄功能。 定價級別：進階 支援的資產 storage.googleapis.com/Bucket 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 5.3	檢查 bucket 的 logging 屬性中，logBucket 欄位是否空白。 即時掃描：是
Locked retention policy not set API 中的類別名稱：LOCKED_RETENTION_POLICY_NOT_SET	發現項目說明：未設定鎖定的記錄保留政策。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 storage.googleapis.com/Bucket 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 2.3 CIS GCP Foundation 1.2: 2.3 CIS GCP Foundation 1.3: 2.3 CIS GCP Foundation 2.0: 2.3 CIS GCP Foundation 3.0: 2.3 NIST 800-53 R4: AU-11 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 10.5 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.12.4.2, A.18.1.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查 bucket 的 retentionPolicy 屬性中，isLocked 欄位是否設為 true。 其他輸入內容：讀取 bucket 的記錄檔接收器 (記錄檔篩選器和記錄檔目的地)，判斷是否為記錄檔 bucket 即時掃描：是
Log not exported API 中的類別名稱：LOG_NOT_EXPORTED	發現項目說明：有資源未設定適當的記錄檔接收器。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 2.2 CIS GCP Foundation 1.1: 2.2 CIS GCP Foundation 1.2: 2.2 CIS GCP Foundation 1.3: 2.2 CIS GCP Foundation 2.0: 2.2 CIS GCP Foundation 3.0: 2.2 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2013: A.18.1.3 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.3	擷取專案中的 logSink 物件，檢查 includeChildren 欄位是否設為 true、destination 欄位是否包含要寫入記錄檔的位置，以及 filter 欄位是否已填入。 其他輸入內容：讀取 bucket 的記錄檔接收器 (記錄檔篩選器和記錄檔目的地)，判斷是否為記錄檔 bucket 即時掃描：是，但僅限專案變更，如果記錄檔匯出作業是在資料夾或組織上設定，則不適用
Object versioning disabled API 中的類別名稱：OBJECT_VERSIONING_DISABLED	發現項目說明：已設定接收器的儲存空間 bucket 未啟用物件版本管理功能。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 storage.googleapis.com/Bucket 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 2.3 NIST 800-53 R4: AU-11 PCI-DSS v3.2.1: 10.5 ISO-27001 v2013: A.12.4.2, A.18.1.3	檢查 bucket 的 versioning 屬性中，enabled 欄位是否設為 true。 不列入掃描範圍的資產：設有鎖定資料保留政策的 Cloud Storage bucket 其他輸入內容：讀取 bucket 的記錄檔接收器 (記錄檔篩選器和記錄檔目的地)，判斷是否為記錄檔 bucket 即時掃描：是，但僅限物件版本管理功能變更時，建立記錄檔 bucket 時則否

監控安全漏洞發現項目

這類偵測工具的漏洞都與監控設定有關，且屬於 MONITORING_SCANNER 類型。所有 Monitoring 偵測工具發現項目屬性都包含：

• 建立記錄指標時要使用的 RecommendedLogFilter。
• 涵蓋建議記錄篩選器中所列條件的 QualifiedLogMetricNames。
• AlertPolicyFailureReasons，指出專案是否未針對任何合格的記錄指標建立警告政策，或現有警告政策是否未採用建議設定。

偵測工具	摘要	資產掃描設定
Audit config not monitored API 中的類別名稱：AUDIT_CONFIG_NOT_MONITORED	發現項目說明：未設定記錄指標和警告來監控稽核設定變更。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 2.5 CIS GCP Foundation 1.1: 2.5 CIS GCP Foundation 1.2: 2.5 CIS GCP Foundation 1.3: 2.5 CIS GCP Foundation 2.0: 2.5 CIS GCP Foundation 3.0: 2.5 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	檢查專案 LogsMetric 資源的 filter 屬性是否設為 protoPayload.methodName="SetIamPolicy" AND protoPayload.serviceData.policyDelta.auditConfigDeltas:*，以及是否指定 resource.type，且值為 global。偵測工具也會搜尋對應的 alertPolicy 資源，確認 conditions 和 notificationChannels 屬性設定正確。 其他 IAM 權限： roles/monitoring.alertPolicyViewer 其他輸入內容：從儲存空間讀取專案的記錄指標。從 Google Cloud Observability 讀取 Google Cloud Observability 帳戶資訊，僅針對具有有效帳戶的專案提交發現項目 即時掃描：否
Bucket IAM not monitored API 中的類別名稱：BUCKET_IAM_NOT_MONITORED	發現項目說明：未設定記錄指標和警告，無法監控 Cloud Storage IAM 權限變更。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 2.10 CIS GCP Foundation 1.1: 2.10 CIS GCP Foundation 1.2: 2.10 CIS GCP Foundation 1.3: 2.10 CIS GCP Foundation 2.0: 2.10 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	檢查專案 LogsMetric 資源的 filter 屬性是否設為 resource.type=gcs_bucket AND protoPayload.methodName="storage.setIamPermissions"。偵測工具也會搜尋對應的 alertPolicy 資源，確認 conditions 和 notificationChannels 屬性設定正確。 其他 IAM 權限： roles/monitoring.alertPolicyViewer 其他輸入內容：從儲存空間讀取專案的記錄指標。從 Google Cloud Observability 讀取 Google Cloud Observability 帳戶資訊，僅針對具有有效帳戶的專案提交發現項目 即時掃描：否
Custom role not monitored API 中的類別名稱：CUSTOM_ROLE_NOT_MONITORED	發現項目說明：未設定記錄指標和警告，無法監控自訂角色變更。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 2.6 CIS GCP Foundation 1.1: 2.6 CIS GCP Foundation 1.2: 2.6 CIS GCP Foundation 1.3: 2.6 CIS GCP Foundation 2.0: 2.6 CIS GCP Foundation 3.0: 2.6 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	檢查專案 LogsMetric 資源的 filter 屬性是否設為 resource.type="iam_role" AND (protoPayload.methodName="google.iam.admin.v1.CreateRole" OR protoPayload.methodName="google.iam.admin.v1.DeleteRole" OR protoPayload.methodName="google.iam.admin.v1.UpdateRole")。偵測工具也會搜尋對應的 alertPolicy 資源，確認 conditions 和 notificationChannels 屬性設定正確。 其他 IAM 權限： roles/monitoring.alertPolicyViewer 其他輸入內容：從儲存空間讀取專案的記錄指標。從 Google Cloud Observability 讀取 Google Cloud Observability 帳戶資訊，僅針對具有有效帳戶的專案提交發現項目 即時掃描：否
Firewall not monitored API 中的類別名稱：FIREWALL_NOT_MONITORED	發現項目說明：未設定記錄指標和警告，無法監控虛擬私有雲 (VPC) 網路防火牆規則變更。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 2.7 CIS GCP Foundation 1.1: 2.7 CIS GCP Foundation 1.2: 2.7 CIS GCP Foundation 1.3: 2.7 CIS GCP Foundation 2.0: 2.7 CIS GCP Foundation 3.0: 2.7 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	檢查專案 LogsMetric 資源的 filter 屬性是否設為 resource.type="gce_firewall_rule" AND (protoPayload.methodName:"compute.firewalls.insert" OR protoPayload.methodName:"compute.firewalls.patch" OR protoPayload.methodName:"compute.firewalls.delete")。偵測工具也會搜尋對應的 alertPolicy 資源，確認 conditions 和 notificationChannels 屬性設定正確。 其他 IAM 權限： roles/monitoring.alertPolicyViewer 其他輸入內容：從儲存空間讀取專案的記錄指標。從 Google Cloud Observability 讀取 Google Cloud Observability 帳戶資訊，僅針對具有有效帳戶的專案提交發現項目 即時掃描：否
Network not monitored API 中的類別名稱：NETWORK_NOT_MONITORED	發現項目說明：未設定記錄指標和警告，無法監控虛擬私有雲網路變更。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 2.9 CIS GCP Foundation 1.1: 2.9 CIS GCP Foundation 1.2: 2.9 CIS GCP Foundation 1.3: 2.9 CIS GCP Foundation 2.0: 2.9 CIS GCP Foundation 3.0: 2.9 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	檢查專案 LogsMetric 資源的 filter 屬性是否設為 resource.type="gce_network" AND (protoPayload.methodName:"compute.networks.insert" OR protoPayload.methodName:"compute.networks.patch" OR protoPayload.methodName:"compute.networks.delete" OR protoPayload.methodName:"compute.networks.removePeering" OR protoPayload.methodName:"compute.networks.addPeering")。偵測工具也會搜尋對應的 alertPolicy 資源，確認 conditions 和 notificationChannels 屬性設定正確。 其他 IAM 權限： roles/monitoring.alertPolicyViewer 其他輸入內容：從儲存空間讀取專案的記錄指標。從 Google Cloud Observability 讀取 Google Cloud Observability 帳戶資訊，僅針對具有有效帳戶的專案提交發現項目 即時掃描：否
Owner not monitored API 中的類別名稱：OWNER_NOT_MONITORED	發現項目說明：未設定記錄指標和警告，無法監控專案擁有者指派或變更。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 2.4 CIS GCP Foundation 1.1: 2.4 CIS GCP Foundation 1.2: 2.4 CIS GCP Foundation 1.3: 2.4 CIS GCP Foundation 2.0: 2.4 CIS GCP Foundation 3.0: 2.4 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2	檢查專案 LogsMetric 資源的 filter 屬性是否設為 (protoPayload.serviceName="cloudresourcemanager.googleapis.com") AND ( (ProjectOwnership OR projectOwnerInvitee) OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") )，以及是否指定 resource.type，且值為 global。偵測工具也會搜尋對應的 alertPolicy 資源，確認 conditions 和 notificationChannels 屬性設定正確。 其他 IAM 權限： roles/monitoring.alertPolicyViewer 其他輸入內容：從儲存空間讀取專案的記錄指標。從 Google Cloud Observability 讀取 Google Cloud Observability 帳戶資訊，僅針對具有有效帳戶的專案提交發現項目 即時掃描：否
Route not monitored API 中的類別名稱：ROUTE_NOT_MONITORED	發現項目說明：未設定記錄指標和警告，無法監控虛擬私有雲網路路由變更。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 2.8 CIS GCP Foundation 1.1: 2.8 CIS GCP Foundation 1.2: 2.8 CIS GCP Foundation 1.3: 2.8 CIS GCP Foundation 2.0: 2.8 CIS GCP Foundation 3.0: 2.8 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	檢查專案 LogsMetric 資源的 filter 屬性是否設為 resource.type="gce_route" AND (protoPayload.methodName:"compute.routes.delete" OR protoPayload.methodName:"compute.routes.insert")。偵測工具也會搜尋對應的 alertPolicy 資源，確認 conditions 和 notificationChannels 屬性設定正確。 其他 IAM 權限： roles/monitoring.alertPolicyViewer 其他輸入內容：從儲存空間讀取專案的記錄指標。從 Google Cloud Observability 讀取 Google Cloud Observability 帳戶資訊，僅針對具有有效帳戶的專案提交發現項目 即時掃描：否
SQL instance not monitored SQL_INSTANCE_NOT_MONITORED	發現項目說明：未設定記錄指標和警告，無法監控 Cloud SQL 執行個體設定變更。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 cloudresourcemanager.googleapis.com/Project 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 2.8 CIS GCP Foundation 1.1: 2.8 CIS GCP Foundation 1.2: 2.8 CIS GCP Foundation 1.3: 2.8 CIS GCP Foundation 2.0: 2.8 CIS GCP Foundation 3.0: 2.8 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2, 8.5	檢查專案 LogsMetric 資源的 filter 屬性是否設為 protoPayload.methodName="cloudsql.instances.update" OR protoPayload.methodName="cloudsql.instances.create" OR protoPayload.methodName="cloudsql.instances.delete"，以及是否指定 resource.type，且值為 global。偵測工具也會搜尋對應的 alertPolicy 資源，確認 conditions 和 notificationChannels 屬性設定正確。 其他 IAM 權限： roles/monitoring.alertPolicyViewer 其他輸入內容：從儲存空間讀取專案的記錄指標。從 Google Cloud Observability 讀取 Google Cloud Observability 帳戶資訊，僅針對具有有效帳戶的專案提交發現項目 即時掃描：否

多重驗證發現項目

MFA_SCANNER 偵測工具會找出與使用者多重驗證相關的安全漏洞。

偵測工具	摘要	資產掃描設定
MFA not enforced API 中的類別名稱：MFA_NOT_ENFORCED	有使用者未啟用兩步驟驗證。如果您採取步驟修復這項發現項目，安全狀態分析掃描作業最多可能需要 24 小時才能完成，並更新發現項目。 Google Workspace 可讓您為新使用者指定註冊寬限期，要求他們在期限內註冊兩步驟驗證。這項偵測工具會為處於註冊寬限期的使用者建立發現項目。 如果組織的使用者人數眾多 (通常為 450,000 人以上)，即使所有使用者都強制執行兩步驟驗證，這項偵測工具仍可能產生發現項目。如果您認為發現項目是誤判，請與 Cloud Customer Care 團隊聯絡，要求停用該發現項目。 這個偵測工具舊稱為 2SV_NOT_ENFORCED。 這項發現項目不適用於專案層級啟用。 定價級別：進階或標準 支援的資產 cloudresourcemanager.googleapis.com/Organization 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 1.2 CIS GCP Foundation 1.1: 1.2 CIS GCP Foundation 1.2: 1.2 CIS GCP Foundation 1.3: 1.2 CIS GCP Foundation 2.0: 1.2 CIS GCP Foundation 3.0: 1.2 NIST 800-53 R4: IA-2 PCI-DSS v3.2.1: 8.3 ISO-27001 v2013: A.9.4.2 ISO-27001 v2022: A.8.5	評估組織中的身分管理政策，以及 Cloud Identity 中受管理帳戶的使用者設定。 不納入掃描範圍的資產：獲准排除在政策外的組織單位 其他輸入內容：從 Google Workspace 讀取資料 即時掃描：否

網路安全漏洞發現項目

這類偵測工具的漏洞都與組織的網路設定有關，且屬於NETWORK_SCANNER類型。

偵測工具	摘要	資產掃描設定
Default network API 中的類別名稱：DEFAULT_NETWORK	發現項目說明：專案中存在預設網路。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 compute.googleapis.com/Network 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 3.1 CIS GCP Foundation 1.1: 3.1 CIS GCP Foundation 1.2: 3.1 CIS GCP Foundation 1.3: 3.1 CIS GCP Foundation 2.0: 3.1 CIS GCP Foundation 3.0: 3.1 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	檢查網路中繼資料中的 name 屬性是否設為 default 未納入掃描範圍的資產：已停用 Compute Engine API 且 Compute Engine 資源處於凍結狀態的專案 即時掃描：是
DNS logging disabled API 中的類別名稱：DNS_LOGGING_DISABLED	發現項目說明：虛擬私有雲網路未啟用 DNS 記錄功能。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 compute.googleapis.com/Network dns.googleapis.com/Policy 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 2.12 CIS GCP Foundation 1.3: 2.12 CIS GCP Foundation 2.0: 2.12 CIS GCP Foundation 3.0: 2.12 NIST 800-53 R5: AU-6, AU-7 PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1 SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5 HIPAA: 164.308(a)(1)(ii), 164.312(b) CIS Controls 8.0: 8.11, 8.2, 8.6	檢查所有透過 networks[].networkUrl 欄位與虛擬私有雲網路相關聯的 policies，並尋找至少一項將 enableLogging 設為 true 的政策。 未納入掃描範圍的資產：已停用 Compute Engine API 且 Compute Engine 資源處於凍結狀態的專案 即時掃描：是
Legacy network API 中的類別名稱：LEGACY_NETWORK	發現項目說明：專案中存在舊版網路。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 compute.googleapis.com/Network 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 3.2 CIS GCP Foundation 1.1: 3.2 CIS GCP Foundation 1.2: 3.2 CIS GCP Foundation 1.3: 3.2 CIS GCP Foundation 2.0: 3.2 CIS GCP Foundation 3.0: 3.2 NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.9 Cloud Controls Matrix 4: IVS-04 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC5.2.2 CIS Controls 8.0: 4.2	檢查網路中繼資料是否存在 IPv4Range 屬性。 未納入掃描範圍的資產：已停用 Compute Engine API 且 Compute Engine 資源處於凍結狀態的專案 即時掃描：是
Load balancer logging disabled API 中的類別名稱：LOAD_BALANCER_LOGGING_DISABLED	發現項目說明：負載平衡器的記錄功能已停用。 定價級別：進階 支援的資產 compute.googleapis.com/BackendServices 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 2.0: 2.16 CIS GCP Foundation 3.0: 2.16 NIST 800-53 R5: AU-12, AU-2, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2 ISO-27001 v2022: A.8.15, A.8.20 Cloud Controls Matrix 4: LOG-08 NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1 HIPAA: 164.312(b) CIS Controls 8.0: 8.2	檢查負載平衡器上後端服務的 enableLogging 屬性是否設為 true。 即時掃描：是

組織政策安全漏洞發現項目

這類偵測工具的安全漏洞都與組織政策限制的設定有關，且屬於 ORG_POLICY 類型。

偵測工具	摘要	資產掃描設定
Org policy Confidential VM policy API 中的類別名稱：ORG_POLICY_CONFIDENTIAL_VM_POLICY	發現項目說明：Compute Engine 資源不符合 constraints/compute.restrictNonConfidentialComputing 組織政策。如要進一步瞭解這項組織政策限制，請參閱「在 Confidential VM 中強制執行組織政策限制」。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 compute.googleapis.com/Instance 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查 Compute Engine 執行個體的 enableConfidentialCompute 屬性是否設為 true。 不列入掃描的資產：GKE 執行個體 其他 IAM 權限： permissions/orgpolicy.policy.get 其他輸入內容：從組織政策服務讀取有效的組織政策 即時掃描：否
Org policy location restriction API 中的類別名稱：ORG_POLICY_LOCATION_RESTRICTION	發現項目說明：Compute Engine 資源不符合 constraints/gcp.resourceLocations 限制。如要進一步瞭解這項組織政策限制，請參閱「強制執行組織政策限制」。 如果在專案層級啟用 Security Command Center Premium 方案，則上層組織必須啟用 Standard-legacy 方案，才能查看這項發現項目。 定價級別：進階 支援的資產 請參閱下一列的「ORG_POLICY_LOCATION_RESTRICTION 支援的資產」 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查支援資源中繼資料中的 listPolicy 屬性，查看允許或拒絕的位置清單。 其他 IAM 權限： permissions/orgpolicy.policy.get 其他輸入內容：從組織政策服務讀取有效的組織政策 即時掃描：否
ORG_POLICY_LOCATION_RESTRICTION 支援的資產 Compute Engine compute.googleapis.com/Autoscaler compute.googleapis.com/Address compute.googleapis.com/Commitment compute.googleapis.com/Disk compute.googleapis.com/ForwardingRule compute.googleapis.com/HealthCheck compute.googleapis.com/Image compute.googleapis.com/Instance compute.googleapis.com/InstanceGroup compute.googleapis.com/InstanceGroupManager compute.googleapis.com/InterconnectAttachment compute.googleapis.com/NetworkEndpointGroup compute.googleapis.com/NodeGroup compute.googleapis.com/NodeTemplate compute.googleapis.com/PacketMirroring compute.googleapis.com/RegionBackendService compute.googleapis.com/RegionDisk compute.googleapis.com/ResourcePolicy compute.googleapis.com/Reservation compute.googleapis.com/Router compute.googleapis.com/Snapshot compute.googleapis.com/SslCertificate compute.googleapis.com/Subnetwork compute.googleapis.com/TargetHttpProxy compute.google.apis.com/TargetHttpsProxy compute.googleapis.com/TargetInstance compute.googleapis.com/TargetPool compute.googleapis.com/TargetVpnGateway compute.googleapis.com/UrlMap compute.googleapis.com/VpnGateway compute.googleapis.com/VpnTunnel GKE container.googleapis.com/Cluster container.googleapis.com/NodePool Cloud Storage storage.googleapis.com/Bucket Cloud KMS cloudkms.googleapis.com/CryptoKey^1 cloudkms.googleapis.com/CryptoKeyVersion^1 cloudkms.googleapis.com/ImportJob^2 cloudkms.googleapis.com/KeyRing^1 Managed Service for Apache Spark dataproc.googleapis.com/Cluster BigQuery bigquery.googleapis.com/Dataset Dataflow dataflow.googleapis.com/Job^3 Cloud SQL sqladmin.googleapis.com/Instance Managed Airflow composer.googleapis.com/Environment Logging logging.googleapis.com/LogBucket Pub/Sub pubsub.googleapis.com/Topic Agent Platform aiplatform.googleapis.com/BatchPredictionJob aiplatform.googleapis.com/CustomJob aiplatform.googleapis.com/Dataset aiplatform.googleapis.com/Endpoint aiplatform.googleapis.com/HyperparameterTuningJob aiplatform.googleapis.com/Model aiplatform.googleapis.com/SpecialistPool aiplatform.googleapis.com/TrainingPipeline Artifact Registry artifactregistry.googleapis.com/Repository ^1 由於 Cloud KMS 資產無法刪除，因此如果資產的資料已刪除，系統就不會將資產視為位於區域外。 ^2 由於 Cloud KMS 匯入工作的生命週期受到控管，且無法提前終止，因此如果工作已過期且無法再用於匯入金鑰，則 ImportJob 不會視為超出區域。 ^3 由於 Dataflow 工作的生命週期無法管理，因此工作達到終端狀態 (停止或耗盡) 後，就不會視為超出區域，無法再用於處理資料。

Pub/Sub 安全漏洞發現項目

這類偵測工具的漏洞都與 Pub/Sub 設定有關，且屬於 PUBSUB_SCANNER 類型。

偵測工具	摘要	資產掃描設定
Pubsub CMEK disabled API 中的類別名稱：PUBSUB_CMEK_DISABLED	發現項目說明：Pub/Sub 主題未使用客戶自行管理的加密金鑰 (CMEK) 加密。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的資產 pubsub.googleapis.com/Topic 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查 kmsKeyName 欄位，確認 CMEK 的資源名稱。 即時掃描：是

SQL 安全漏洞發現項目

下列各節說明 AlloyDB for PostgreSQL 和 Cloud SQL 的安全漏洞發現項目。

AlloyDB for PostgreSQL 安全漏洞發現項目

這類偵測工具的漏洞都與 AlloyDB for PostgreSQL 設定有關，且屬於 SQL_SCANNER 類型。

偵測工具	摘要	資產掃描設定
AlloyDB auto backup disabled API 中的類別名稱：ALLOYDB_AUTO_BACKUP_DISABLED	發現項目說明：AlloyDB for PostgreSQL 叢集未啟用自動備份功能。 定價級別：進階 支援的資產 alloydb.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: CP-9 NIST 800-53 R5: CP-10, CP-9 ISO-27001 v2013: A.12.3.1 ISO-27001 v2022: A.8.13 NIST Cybersecurity Framework 1.0: PR-IP-4 HIPAA: 164.308(a)(7)(ii)	檢查 AlloyDB for PostgreSQL 叢集中繼資料的 automated_backup_policy.enabled 屬性是否設為 true。 不列入掃描範圍的資產：AlloyDB for PostgreSQL 次要叢集 即時掃描：是
AlloyDB backups disabled API 中的類別名稱：ALLOYDB_BACKUPS_DISABLED	發現項目說明： AlloyDB for PostgreSQL 叢集未啟用備份功能。 定價級別：進階 支援的資產 alloydb.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: CP-9 NIST 800-53 R5: CP-10, CP-9 ISO-27001 v2013: A.12.3.1 ISO-27001 v2022: A.8.13 NIST Cybersecurity Framework 1.0: PR-IP-4 HIPAA: 164.308(a)(7)(ii)	檢查 AlloyDB for PostgreSQL 叢集中繼資料的 automated_backup_policy.enabled 或 continuous_backup_policy.enabled 屬性是否設為 true。 不列入掃描範圍的資產：AlloyDB for PostgreSQL 次要叢集 即時掃描：是
AlloyDB CMEK disabled API 中的類別名稱：ALLOYDB_CMEK_DISABLED	發現項目說明：AlloyDB 叢集未使用客戶自行管理的加密金鑰 (CMEK) 加密。 定價級別：進階 支援的資產 alloydb.googleapis.com/Cluster 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS Controls 8.0: 3.11	檢查叢集中繼資料中的 encryption_type 欄位，判斷是否已啟用 CMEK。 即時掃描：是
AlloyDB log min error statement severity API 中的類別名稱：ALLOYDB_LOG_MIN_ERROR_STATEMENT_SEVERITY	發現項目說明：AlloyDB for PostgreSQL 執行個體的 log_min_error_statement 資料庫旗標未設為 error 或其他建議值。 定價級別：進階 支援的資產 alloydb.googleapis.com/Instances 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	為確保記錄中的訊息類型涵蓋範圍足夠，如果 databaseFlags 屬性的 log_min_error_statement 欄位未設為下列任一值，系統就會產生發現項目：debug5、debug4、debug3、debug2、debug1、info、notice、warning 或預設值 error。 即時掃描：是
AlloyDB log min messages API 中的類別名稱：ALLOYDB_LOG_MIN_MESSAGES	發現項目說明：AlloyDB for PostgreSQL 執行個體的 log_min_messages 資料庫旗標未設為 warning 或其他建議值。 定價級別：進階 支援的資產 alloydb.googleapis.com/Instances 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	為確保記錄中的訊息類型涵蓋範圍足夠，如果 databaseFlags 屬性的 log_min_messages 欄位未設為下列任一值，系統就會產生發現項目：debug5、debug4、debug3、debug2、debug1、info、notice 或預設值 warning。 即時掃描：是
AlloyDB log error verbosity API 中的類別名稱：ALLOYDB_LOG_ERROR_VERBOSITY	發現項目說明：AlloyDB for PostgreSQL 執行個體的 log_error_verbosity 資料庫旗標未設為 default 或其他建議值。 定價級別：進階 支援的資產 alloydb.googleapis.com/Instances 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3	為確保記錄中的訊息類型涵蓋範圍充足，如果 databaseFlags 屬性的 log_error_verbosity 欄位未設為下列其中一個值，系統就會產生發現項目：verbose或預設值 default。 即時掃描：是
AlloyDB public IP API 中的類別名稱：ALLOYDB_PUBLIC_IP	發現項目說明：AlloyDB for PostgreSQL 資料庫執行個體具有公開 IP 位址。 定價級別：進階 支援的資產 alloydb.googleapis.com/Instances 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3, 4.6	檢查 instanceNetworkConfig 屬性 enablePublicIp 欄位是否設為允許公開 IP 位址。 即時掃描：是
AlloyDB SSL not enforced API 中的類別名稱：ALLOYDB_SSL_NOT_ENFORCED	發現項目說明：PostgreSQL 適用的 AlloyDB 資料庫執行個體未要求所有連入連線使用 SSL。 定價級別：進階 支援的資產 alloydb.googleapis.com/Instances 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 4.1 ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3	檢查 AlloyDB for PostgreSQL 執行個體的 sslMode 屬性是否設為 ENCRYPTED_ONLY。 即時掃描：是

Cloud SQL 安全漏洞發現項目

這類偵測工具的安全漏洞都與 Cloud SQL 設定有關，且屬於 SQL_SCANNER 類型。

偵測工具	摘要	資產掃描設定
Auto backup disabled API 中的類別名稱：AUTO_BACKUP_DISABLED	發現項目說明：Cloud SQL 資料庫未啟用自動備份功能。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.7 CIS GCP Foundation 1.2: 6.7 CIS GCP Foundation 1.3: 6.7 CIS GCP Foundation 2.0: 6.7 CIS GCP Foundation 3.0: 6.7 NIST 800-53 R4: CP-9 NIST 800-53 R5: CP-10, CP-9 ISO-27001 v2013: A.12.3.1 ISO-27001 v2022: A.8.13 NIST Cybersecurity Framework 1.0: PR-IP-4 HIPAA: 164.308(a)(7)(ii) CIS Controls 8.0: 11.2	檢查 Cloud SQL 資料的 backupConfiguration.enabled 屬性是否設為 true。 不納入掃描範圍的資產：Cloud SQL 副本 其他輸入內容：從安全狀態分析資產儲存空間讀取祖系的身分與存取權管理允許政策 即時掃描：是
Public SQL instance API 中的類別名稱：PUBLIC_SQL_INSTANCE	發現項目說明：Cloud SQL 資料庫執行個體接受來自所有 IP 位址的連線。 定價級別：進階或標準 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 6.2 CIS GCP Foundation 1.1: 6.5 CIS GCP Foundation 1.2: 6.5 CIS GCP Foundation 1.3: 6.5 CIS GCP Foundation 2.0: 6.5 CIS GCP Foundation 3.0: 6.5 NIST 800-53 R4: CA-3, SC-7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 1.2.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2013: A.13.1.3, A.14.1.3, A.8.2.3 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查 Cloud SQL 執行個體的 authorizedNetworks 屬性是否設為單一 IP 位址或 IP 位址範圍。 即時掃描：是
SSL not enforced API 中的類別名稱：SSL_NOT_ENFORCED	發現項目說明：Cloud SQL 資料庫執行個體未要求所有傳入連線都必須使用 SSL。 定價級別：進階或標準 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 2.0: 6.4 NIST 800-53 R4: SC-7 PCI-DSS v3.2.1: 4.1 ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3	檢查 Cloud SQL 執行個體的 sslMode 屬性是否設為核准的 SSL 模式，即 ENCRYPTED_ONLY 或 TRUSTED_CLIENT_CERTIFICATE_REQUIRED。 即時掃描：是
SQL CMEK disabled API 中的類別名稱：SQL_CMEK_DISABLED	發現項目說明：SQL 資料庫執行個體未使用客戶自行管理的加密金鑰 (CMEK) 加密。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查執行個體中繼資料中 diskEncryptionKey 物件的 kmsKeyName 欄位，確認 CMEK 的資源名稱。 即時掃描：是
SQL contained database authentication API 中的類別名稱：SQL_CONTAINED_DATABASE_AUTHENTICATION	發現項目說明：SQL Server 適用的 Cloud SQL 執行個體 contained database authentication 資料庫旗標未設為 off。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.3.2 CIS GCP Foundation 1.2: 6.3.7 CIS GCP Foundation 1.3: 6.3.7 CIS GCP Foundation 2.0: 6.3.7 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查執行個體中繼資料的 databaseFlags 屬性，確認鍵/值組合是否為 "name": "contained database authentication"、"value": "on"，或是否預設為啟用。 即時掃描：是
SQL cross DB ownership chaining API 中的類別名稱：SQL_CROSS_DB_OWNERSHIP_CHAINING	發現項目說明：SQL Server 適用的 Cloud SQL 執行個體的 cross_db_ownership_chaining 資料庫旗標未設為 off。 定價級別：進階 支援的素材資源 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.3.1 CIS GCP Foundation 1.2: 6.3.2 CIS GCP Foundation 1.3: 6.3.2 CIS GCP Foundation 2.0: 6.3.2 CIS GCP Foundation 3.0: 6.3.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："cross_db_ownership_chaining"、"value": "on"。 即時掃描：是
SQL external scripts enabled API 中的類別名稱：SQL_EXTERNAL_SCRIPTS_ENABLED	發現項目說明：SQL Server 適用的 Cloud SQL 執行個體的 external scripts enabled 資料庫旗標未設為 off。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.3.1 CIS GCP Foundation 1.3: 6.3.1 CIS GCP Foundation 2.0: 6.3.1 CIS GCP Foundation 3.0: 6.3.1 NIST 800-53 R5: CM-7, SI-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.3 NIST Cybersecurity Framework 1.0: PR-IP-1, PR-PT-3 SOC2 v2017: CC5.2.1, CC5.2.2, CC5.2.3, CC5.2.4 CIS Controls 8.0: 2.7	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："external scripts enabled"、"value": "off"。 即時掃描：是
SQL local infile API 中的類別名稱：SQL_LOCAL_INFILE	發現項目說明：MySQL 適用的 Cloud SQL 執行個體已啟用 local_infile 資料庫旗標。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.1.2 CIS GCP Foundation 1.2: 6.1.3 CIS GCP Foundation 1.3: 6.1.3 CIS GCP Foundation 2.0: 6.1.3 CIS GCP Foundation 3.0: 6.1.3 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 2.2.1 ISO-27001 v2022: A.8.8 NIST Cybersecurity Framework 1.0: PR-IP-1 CIS Controls 8.0: 16.7	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："local_infile"、"value": "on"。 即時掃描：是
SQL log checkpoints disabled API 中的類別名稱：SQL_LOG_CHECKPOINTS_DISABLED	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_checkpoints 資料庫旗標未設為 on。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.2.1 CIS GCP Foundation 1.2: 6.2.1	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："log_checkpoints"、"value": "on"。 即時掃描：是
SQL log connections disabled API 中的類別名稱：SQL_LOG_CONNECTIONS_DISABLED	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_connections 資料庫旗標未設為 on。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.2.2 CIS GCP Foundation 1.2: 6.2.3 CIS GCP Foundation 1.3: 6.2.2 CIS GCP Foundation 2.0: 6.2.2 CIS GCP Foundation 3.0: 6.2.2 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："log_connections"、"value": "on"。 即時掃描：是
SQL log disconnections disabled API 中的類別名稱：SQL_LOG_DISCONNECTIONS_DISABLED	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_disconnections 資料庫旗標未設為 on。 定價級別：進階 支援的素材資源 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.2.3 CIS GCP Foundation 1.2: 6.2.4 CIS GCP Foundation 1.3: 6.2.3 CIS GCP Foundation 2.0: 6.2.3 CIS GCP Foundation 3.0: 6.2.3 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："log_disconnections"、"value": "on"。 即時掃描：是
SQL log duration disabled API 中的類別名稱：SQL_LOG_DURATION_DISABLED	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_duration 資料庫旗標未設為 on。 定價級別：進階 支援的素材資源 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.2.5	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："log_duration"、"value": "on"。 即時掃描：是
SQL log error verbosity API 中的類別名稱：SQL_LOG_ERROR_VERBOSITY	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_error_verbosity 資料庫旗標未設為 default 或 verbose。 定價級別：進階 支援的素材資源 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.2.2 CIS GCP Foundation 1.3: 6.2.1 CIS GCP Foundation 2.0: 6.2.1 CIS GCP Foundation 3.0: 6.2.1 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	檢查 log_error_verbosity 欄位的執行個體中繼資料 databaseFlags 屬性是否設為 default 或 verbose。 即時掃描：是
SQL log lock waits disabled API 中的類別名稱：SQL_LOG_LOCK_WAITS_DISABLED	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_lock_waits 資料庫旗標未設為 on。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.2.4 CIS GCP Foundation 1.2: 6.2.6	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："log_lock_waits"、"value": "on"。 即時掃描：是
SQL log min duration statement enabled API 中的類別名稱：SQL_LOG_MIN_DURATION_STATEMENT_ENABLED	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_min_duration_statement 資料庫旗標未設為「-1」。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.2.7 CIS GCP Foundation 1.2: 6.2.16 CIS GCP Foundation 1.3: 6.2.8 CIS GCP Foundation 2.0: 6.2.7 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："log_min_duration_statement"、"value": "-1"。 即時掃描：是
SQL log min error statement API 中的類別名稱：SQL_LOG_MIN_ERROR_STATEMENT	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體 log_min_error_statement 資料庫旗標設定不當。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.2.5	檢查 databaseFlags 屬性的 log_min_error_statement 欄位是否設為下列其中一個值：debug5、debug4、debug3、debug2、debug1、info、notice、warning 或預設值 error。 即時掃描：是
SQL log min error statement severity API 中的類別名稱：SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體 log_min_error_statement 資料庫旗標未設為適當的嚴重性等級。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.2.14 CIS GCP Foundation 1.3: 6.2.7 CIS GCP Foundation 2.0: 6.2.6 CIS GCP Foundation 3.0: 6.2.6 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	檢查 databaseFlags 屬性的 log_min_error_statement 欄位是否設為下列其中一個值：error、log、fatal 或 panic。 即時掃描：是
SQL log min messages API 中的類別名稱：SQL_LOG_MIN_MESSAGES	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體 log_min_messages 資料庫旗標未設為 warning 或其他建議值。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.2.13 CIS GCP Foundation 1.3: 6.2.6 CIS GCP Foundation 2.0: 6.2.5 CIS GCP Foundation 3.0: 6.2.5 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	為確保記錄中的訊息類型涵蓋範圍足夠，如果 databaseFlags 屬性的 log_min_messages 欄位未設為下列任一值，系統就會產生發現項目：debug5、debug4、debug3、debug2、debug1、info、notice 或預設值 warning。 即時掃描：是
SQL log executor stats enabled API 中的類別名稱：SQL_LOG_EXECUTOR_STATS_ENABLED	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_executor_stats 資料庫旗標未設為 off。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.2.11	檢查 log_executor_stats 欄位的執行個體中繼資料 databaseFlags 屬性是否設為 on。 即時掃描：是
SQL log hostname enabled API 中的類別名稱：SQL_LOG_HOSTNAME_ENABLED	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_hostname 資料庫旗標未設為 off。 定價級別：進階 支援的素材資源 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.2.8	檢查 log_hostname 欄位的執行個體中繼資料 databaseFlags 屬性是否設為 on。 即時掃描：是
SQL log parser stats enabled API 中的類別名稱：SQL_LOG_PARSER_STATS_ENABLED	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_parser_stats 資料庫旗標未設為 off。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.2.9	檢查 log_parser_stats 欄位的執行個體中繼資料 databaseFlags 屬性是否設為 on。 即時掃描：是
SQL log planner stats enabled API 中的類別名稱：SQL_LOG_PLANNER_STATS_ENABLED	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_planner_stats 資料庫旗標未設為 off。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.2.10	檢查 log_planner_stats 欄位的執行個體中繼資料 databaseFlags 屬性是否設為 on。 即時掃描：是
SQL log statement API 中的類別名稱：SQL_LOG_STATEMENT	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_statement 資料庫旗標未設為 ddl (所有資料定義陳述式)。 定價級別：進階 支援的素材資源 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.2.7 CIS GCP Foundation 1.3: 6.2.4 CIS GCP Foundation 2.0: 6.2.4 CIS GCP Foundation 3.0: 6.2.4 NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS Controls 8.0: 8.5	檢查 log_statement 欄位的執行個體中繼資料 databaseFlags 屬性是否設為 ddl。 即時掃描：是
SQL log statement stats enabled API 中的類別名稱：SQL_LOG_STATEMENT_STATS_ENABLED	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_statement_stats 資料庫旗標未設為 off。 定價級別：進階 支援的素材資源 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.2.12	檢查 log_statement_stats 欄位的執行個體中繼資料 databaseFlags 屬性是否設為 on。 即時掃描：是
SQL log temp files API 中的類別名稱：SQL_LOG_TEMP_FILES	發現項目說明：PostgreSQL 適用的 Cloud SQL 執行個體的 log_temp_files 資料庫旗標未設為「0」。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.2.6 CIS GCP Foundation 1.2: 6.2.15	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："log_temp_files"、"value": "0"。 即時掃描：是
SQL no root password API 中的類別名稱：SQL_NO_ROOT_PASSWORD	發現項目說明：具有公開 IP 位址的 Cloud SQL 資料庫未設定根帳戶密碼。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的素材資源 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 6.3 CIS GCP Foundation 1.1: 6.1.1 CIS GCP Foundation 1.2: 6.1.1 CIS GCP Foundation 1.3: 6.1.1 CIS GCP Foundation 2.0: 6.1.1 CIS GCP Foundation 3.0: 6.1.1 NIST 800-53 R4: AC-3 PCI-DSS v3.2.1: 2.1 ISO-27001 v2013: A.8.2.3, A.9.4.2 ISO-27001 v2022: A.8.5	檢查根帳戶的 rootPassword 屬性是否空白。 其他 IAM 權限： roles/cloudsql.client 其他輸入內容：查詢即時執行個體 即時掃描：否
SQL public IP API 中的類別名稱：SQL_PUBLIC_IP	發現項目說明：Cloud SQL 資料庫有公開 IP 位址。 定價級別：進階 支援的素材資源 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.1: 6.6 CIS GCP Foundation 1.2: 6.6 CIS GCP Foundation 1.3: 6.6 CIS GCP Foundation 2.0: 6.2.9, 6.6 CIS GCP Foundation 3.0: 6.2.9, 6.6 NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3, 4.6	檢查 Cloud SQL 資料庫的 IP 位址類型是否設為 Primary，表示為公開。 即時掃描：是
SQL remote access enabled API 中的類別名稱：SQL_REMOTE_ACCESS_ENABLED	發現項目說明：SQL Server 適用的 Cloud SQL 執行個體 remote access 資料庫旗標未設為 off。 定價級別：進階 支援的素材資源 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.3.5 CIS GCP Foundation 1.3: 6.3.5 CIS GCP Foundation 2.0: 6.3.5 CIS GCP Foundation 3.0: 6.3.5 NIST 800-53 R5: CM-6, CM-7 PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1 ISO-27001 v2022: A.8.9 SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4 CIS Controls 8.0: 4.8	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："remote access"、"value": "off"。 即時掃描：是
SQL skip show database disabled API 中的類別名稱：SQL_SKIP_SHOW_DATABASE_DISABLED	發現項目說明：MySQL 適用的 Cloud SQL 執行個體的 skip_show_database 資料庫旗標未設為 on。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.1.2 CIS GCP Foundation 1.3: 6.1.2 CIS GCP Foundation 2.0: 6.1.2 CIS GCP Foundation 3.0: 6.1.2 NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS Controls 8.0: 3.3	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："skip_show_database"、"value": "on"。 即時掃描：是
SQL trace flag 3625 API 中的類別名稱：SQL_TRACE_FLAG_3625	發現項目說明：SQL Server 適用的 Cloud SQL 執行個體 3625 (trace flag) 資料庫旗標未設為 on。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.3.6 CIS GCP Foundation 2.0: 6.3.6 CIS GCP Foundation 3.0: 6.3.6 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："3625 (trace flag)"、"value": "on"。 即時掃描：是
SQL user connections configured API 中的類別名稱：SQL_USER_CONNECTIONS_CONFIGURED	發現項目說明：已設定 SQL Server 適用的 Cloud SQL 執行個體 user connections 資料庫旗標。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.3.3 CIS GCP Foundation 1.3: 6.3.3 CIS GCP Foundation 2.0: 6.3.3 CIS GCP Foundation 3.0: 6.3.3 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："user connections"、"value": "0"。 即時掃描：是
SQL user options configured API 中的類別名稱：SQL_USER_OPTIONS_CONFIGURED	發現項目說明：已設定 SQL Server 適用的 Cloud SQL 執行個體 user options 資料庫旗標。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.2: 6.3.4 CIS GCP Foundation 1.3: 6.3.4 CIS GCP Foundation 2.0: 6.3.4 CIS GCP Foundation 3.0: 6.3.4 NIST 800-53 R5: CM-1, CM-2, CM-6, CM-7, CM-9, SA-10, SA-3, SA-8 PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.5.1, 2.1.1, 2.2.1 ISO-27001 v2022: A.8.1, A.8.9 Cloud Controls Matrix 4: CCC-01 NIST Cybersecurity Framework 1.0: PR-IP-1 SOC2 v2017: CC7.1.2, CC7.1.3, CC7.1.4, CC8.1.1, CC8.1.10, CC8.1.11, CC8.1.12, CC8.1.13, CC8.1.14, CC8.1.15, CC8.1.2, CC8.1.3, CC8.1.4, CC8.1.5, CC8.1.6, CC8.1.7, CC8.1.8, CC8.1.9 CIS Controls 8.0: 4.1	檢查執行個體中繼資料的 databaseFlags 屬性，確認是否有鍵/值組合 "name"："user options"、"value": "" (空白)。 即時掃描：是
SQL weak root password API 中的類別名稱：SQL_WEAK_ROOT_PASSWORD	發現項目說明：具有公開 IP 位址的 Cloud SQL 資料庫，其超級使用者帳戶也設有低強度密碼。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的資產 sqladmin.googleapis.com/Instance 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	將 Cloud SQL 資料庫根帳戶的密碼與常見密碼清單進行比較。 其他 IAM 權限： roles/cloudsql.client 其他輸入內容：查詢即時執行個體 即時掃描：否

子網路安全漏洞發現項目

這類偵測工具的漏洞都與組織的子網路設定有關，且屬於SUBNETWORK_SCANNER類型。

偵測工具	摘要	資產掃描設定
Flow logs disabled API 中的類別名稱：FLOW_LOGS_DISABLED	發現項目說明：某個虛擬私有雲子網路已停用流量記錄。 定價級別：進階 支援的資產 compute.googleapis.com/Subnetwork 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 3.9 CIS GCP Foundation 1.1: 3.8 CIS GCP Foundation 1.2: 3.8 NIST 800-53 R4: SI-4 PCI-DSS v3.2.1: 10.1, 10.2 ISO-27001 v2013: A.13.1.1	檢查 Compute Engine 子網路的 enableFlowLogs 屬性是否遺失或設為 false。 不列入掃描的資產：無伺服器 VPC 存取、負載平衡器子網路 即時掃描：是
Flow logs settings not recommended API 中的類別名稱：VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED	發現項目說明： 虛擬私有雲子網路的虛擬私有雲流量記錄功能為停用狀態，或未按照 CIS 基準 1.3 建議設定。這項偵測工具需要額外設定才能啟用。如需操作說明，請參閱「啟用及停用偵測工具」。 定價級別：進階 支援的資產 compute.googleapis.com/Subnetwork 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.3: 3.8 CIS GCP Foundation 2.0: 3.8 CIS GCP Foundation 3.0: 3.8 NIST 800-53 R5: SI-4 ISO-27001 v2022: A.8.15, A.8.16 Cloud Controls Matrix 4: IVS-03 NIST Cybersecurity Framework 1.0: DE-CM-1 SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4 CIS Controls 8.0: 13.6, 8.2	檢查虛擬私有雲子網路的 enableFlowLogs 屬性是否遺失或設為 false。如果已啟用虛擬私有雲流量記錄，請檢查 Aggregation Interval 屬性是否設為 5 SEC、Include metadata 是否設為 true，以及 Sample rate 是否設為 100%。 不列入掃描的資產：無伺服器 VPC 存取、負載平衡器子網路 即時掃描：是
Private Google access disabled API 中的類別名稱：PRIVATE_GOOGLE_ACCESS_DISABLED	發現項目說明：有私人子網路無法存取 Google 公開 API。 定價級別：進階 支援的資產 storage.googleapis.com/Bucket compute.googleapis.com/Subnetwork 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS GCP Foundation 1.0: 3.8	檢查 Compute Engine 子網路的 privateIpGoogleAccess 屬性是否設為 false。 即時掃描：是

AWS 發現項目

偵測工具	摘要	資產掃描設定
AWS Cloud Shell Full Access Restricted API 中的類別名稱：ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED	發現項目的說明： AWS CloudShell 可讓您輕鬆對 AWS 服務執行 CLI 指令；受管理的 IAM 政策 (「AWSCloudShellFullAccess」) 提供 CloudShell 的完整存取權，允許使用者在本機系統和 CloudShell 環境之間上傳及下載檔案。在 Cloud Shell 環境中，使用者具備 sudo 權限，且可存取網際網路。因此，您可以安裝檔案傳輸軟體 (例如)，並將資料從 CloudShell 移至外部網際網路伺服器。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS AWS Foundation 2.0.0: 1.22 CIS AWS Foundation 3.0.0: 1.22	確保 AWSCloudShellFullAccess 存取權受到限制 即時掃描：否
Access Keys Rotated Every 90 Days or Less API 中的類別名稱：ACCESS_KEYS_ROTATED_90_DAYS_LESS	發現項目的說明： 存取金鑰包含存取金鑰 ID 和私密存取金鑰，用於簽署您向 AWS 提出的程式輔助要求。AWS 使用者需要自己的存取金鑰，才能透過 AWS 命令列介面 (AWS CLI)、Tools for Windows PowerShell、AWS SDK，或使用個別 AWS 服務的 API 直接發出 HTTP 呼叫，對 AWS 進行程式化呼叫。建議您定期輪替所有存取金鑰。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-3(15) PCI-DSS v3.2.1: 8.2.4 CIS AWS Foundation 2.0.0: 1.14 CIS AWS Foundation 3.0.0: 1.14 CIS Controls 8.0: 5	確保存取金鑰最多每 90 天輪替一次 即時掃描：否
All Expired Ssl Tls Certificates Stored Aws Iam Removed API 中的類別名稱：ALL_EXPIRED_SSL_TLS_CERTIFICATES_STORED_AWS_IAM_REMOVED	發現項目的說明： 如要啟用 AWS 網站或應用程式的 HTTPS 連線，您需要 SSL/TLS 伺服器憑證。您可以使用 ACM 或 IAM 儲存及部署伺服器憑證。 只有在 ACM 不支援的區域中，必須支援 HTTPS 連線時，才應使用 IAM 做為 Certificate Manager。IAM 會安全地加密私密金鑰，並將加密版本儲存在 IAM SSL 憑證儲存空間。IAM 支援在所有區域部署伺服器憑證，但您必須向外部供應商取得憑證，才能與 AWS 搭配使用。您無法將 ACM 憑證上傳至 IAM。此外，您無法透過 IAM 控制台管理憑證。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AU-11, CM-12, SI-12 PCI-DSS v4.0: 9.4.2 ISO-27001 v2022: A.5.10, A.5.9, A.8.1 Cloud Controls Matrix 4: DSP-01 NIST Cybersecurity Framework 1.0: PR-IP-6 CIS AWS Foundation 2.0.0: 1.19 CIS AWS Foundation 3.0.0: 1.19 CIS Controls 8.0: 3.1	確保儲存於 AWS IAM 的所有過期 SSL/TLS 憑證已移除 即時掃描：否
Autoscaling Group Elb Healthcheck Required API 中的類別名稱：AUTOSCALING_GROUP_ELB_HEALTHCHECK_REQUIRED	發現項目的說明： 這項檢查會確認與負載平衡器相關聯的 Auto Scaling 群組，是否使用 Elastic Load Balancing 健康狀態檢查。 這樣一來，群組就能根據負載平衡器提供的額外測試，判斷執行個體的健康狀態。使用 Elastic Load Balancing 負載平衡健康狀態檢查，有助於確保使用 EC2 Auto Scaling 群組的應用程式可用性。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-2	檢查與負載平衡器相關聯的所有自動調度資源群組，確認是否使用健康狀態檢查 即時掃描：否
Auto Minor Version Upgrade Feature Enabled Rds Instances API 中的類別名稱：AUTO_MINOR_VERSION_UPGRADE_FEATURE_ENABLED_RDS_INSTANCES	發現項目的說明： 確保 RDS 資料庫執行個體已啟用「自動升級子版本」旗標，以便在指定維護期間自動升級子版本引擎。因此，RDS 執行個體可以取得資料庫引擎的新功能、錯誤修正和安全性修補程式。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: RA-5, RA-7, SI-2 ISO-27001 v2022: A.8.8 Cloud Controls Matrix 4: UEM-03 NIST Cybersecurity Framework 1.0: ID-RA-1 SOC2 v2017: CC7.1.1, CC7.1.2, CC7.1.3, CC7.1.4, CC7.1.5 CIS AWS Foundation 2.0.0: 2.3.2 CIS AWS Foundation 3.0.0: 2.3.2 CIS Controls 8.0: 7.4	確保 RDS 執行個體已啟用子版本自動升級功能 即時掃描：否
Aws Config Enabled All Regions API 中的類別名稱：AWS_CONFIG_ENABLED_ALL_REGIONS	發現項目的說明： AWS Config 是一項網路服務，可對帳戶中支援的 AWS 資源執行設定管理，並將記錄檔傳送給您。記錄的資訊包括設定項目 (AWS 資源)、設定項目 (AWS 資源) 之間的關係，以及資源之間的任何設定變更。建議在所有區域啟用 AWS Config。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: CM-8, PM-5 PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1 ISO-27001 v2022: A.5.9, A.8.8 Cloud Controls Matrix 4: UEM-04 NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3 SOC2 v2017: CC3.2.6, CC6.1.1 HIPAA: 164.310(d)(2)(iii) CIS AWS Foundation 2.0.0: 3.5 CIS AWS Foundation 3.0.0: 3.5 CIS Controls 8.0: 1.1	確保所有區域都已啟用 AWS Config 即時掃描：否
Aws Security Hub Enabled API 中的類別名稱：AWS_SECURITY_HUB_ENABLED	發現項目的說明： Security Hub 會從 AWS 帳戶、服務和支援的第三方合作夥伴產品收集安全性資料，協助您分析安全性趨勢，並找出最需優先處理的安全性問題。啟用 Security Hub 後，這項服務就會開始擷取、匯總、整理及優先處理已啟用 AWS 服務 (例如 Amazon GuardDuty、Amazon Inspector 和 Amazon Macie) 的發現項目。您也可以啟用與 AWS 合作夥伴安全性產品的整合。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: CA-7 PCI-DSS v3.2.1: 11.5 CIS AWS Foundation 2.0.0: 4.16 CIS AWS Foundation 3.0.0: 4.16	確保已啟用 AWS Security Hub 即時掃描：否
Cloudtrail Logs Encrypted Rest Using Kms Cmks API 中的類別名稱：CLOUDTRAIL_LOGS_ENCRYPTED_REST_USING_KMS_CMKS	發現項目的說明： AWS CloudTrail 是一項網路服務，可記錄帳戶的 AWS API 呼叫，並根據 IAM 政策將這些記錄提供給使用者和資源。AWS 金鑰管理服務 (KMS) 是一項代管服務，可協助建立及控管用於加密帳戶資料的加密金鑰，並使用硬體安全性模組 (HSM) 保護加密金鑰。您可以設定 CloudTrail 記錄，利用伺服器端加密 (SSE) 和 KMS 客戶建立的主金鑰 (CMK)，進一步保護 CloudTrail 記錄。建議將 CloudTrail 設為使用 SSE-KMS。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: IA-5, SC-28, SI-7(6) PCI-DSS v3.2.1: 10.5.2 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 3.7 CIS AWS Foundation 3.0.0: 3.5 CIS Controls 8.0: 3.11	確保 CloudTrail 記錄檔使用 KMS CMK 進行靜態資料加密 即時掃描：否
Cloudtrail Log File Validation Enabled API 中的類別名稱：CLOUDTRAIL_LOG_FILE_VALIDATION_ENABLED	發現項目的說明： CloudTrail 記錄檔驗證功能會建立數位簽章摘要檔案，其中包含 CloudTrail 寫入 S3 的每筆記錄雜湊。這些摘要檔案可用來判斷 CloudTrail 傳送記錄後，記錄檔是否遭到變更、刪除或未變更。建議您為所有 CloudTrail 啟用檔案驗證功能。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AU-6, AU-7, SI-7(7) PCI-DSS v3.2.1: 11.5 PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3 ISO-27001 v2022: A.5.25 Cloud Controls Matrix 4: LOG-05 NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1 SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5 HIPAA: 164.308(a)(1)(ii), 164.312(b) CIS AWS Foundation 2.0.0: 3.2 CIS AWS Foundation 3.0.0: 3.2 CIS Controls 8.0: 8.11	確保 CloudTrail 記錄檔驗證功能已啟用 即時掃描：否
Cloudtrail Trails Integrated Cloudwatch Logs API 中的類別名稱：CLOUDTRAIL_TRAILS_INTEGRATED_CLOUDWATCH_LOGS	發現項目的說明： AWS CloudTrail 是一項網路服務，可記錄特定 AWS 帳戶中發出的 AWS API 呼叫。記錄的資訊包括 API 呼叫者的身分、API 呼叫時間、API 呼叫者的來源 IP 位址、要求參數，以及 AWS 服務傳回的回應元素。CloudTrail 使用 Amazon S3 儲存及傳送記錄檔，因此記錄檔會永久儲存。除了將 CloudTrail 記錄擷取至指定的 S3 bucket 進行長期分析，您也可以設定 CloudTrail 將記錄傳送至 CloudWatch Logs，以便進行即時分析。如果追蹤記錄在帳戶的所有區域中啟用，CloudTrail 會將所有這些區域的記錄檔傳送至 CloudWatch Logs 記錄群組。建議將 CloudTrail 記錄傳送至 CloudWatch Logs。 注意：這項建議旨在確保 AWS 帳戶活動受到擷取、監控，並在適當時機發出警示。CloudWatch Logs 是使用 AWS 服務達成此目的的原生方式，但並不排除使用替代解決方案。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AU-12, AU-3, AU-7 PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5 ISO-27001 v2022: A.5.28, A.8.15 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1 SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3 CIS AWS Foundation 2.0.0: 3.4 CIS Controls 8.0: 8.5, 8.9	確保 CloudTrail 追蹤已與 CloudWatch 日誌整合 即時掃描：否
Cloudwatch Alarm Action Check API 中的類別名稱：CLOUDWATCH_ALARM_ACTION_CHECK	發現項目的說明： 這項檢查會確認 Amazon Cloudwatch 是否已定義動作，以便在警示狀態於「OK」、「ALARM」和「INSUFFICIENT_DATA」之間轉換時執行。 在 Amazon CloudWatch 警示中，為 ALARM 狀態設定動作非常重要，這樣一來，當監控的指標超出門檻時，就能立即觸發回應。 這項功能可確保快速解決問題、減少停機時間，並啟用自動修復功能，維持系統健康狀態並防止服務中斷。 警示至少有一項動作。 警示從任何其他狀態轉換為「INSUFFICIENT_DATA」狀態時，至少會有一項動作。 (選用) 警示從任何其他狀態轉換為「OK」狀態時，至少會執行一項動作。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-20	檢查 CloudWatch 警示，確認是否至少啟用了一項 ALRAM 動作、一項 INSUFFICIENT_DATA 動作，或是一項 OK 動作。 即時掃描：否
Cloudwatch Log Group Encrypted API 中的類別名稱：CLOUDWATCH_LOG_GROUP_ENCRYPTED	發現項目的說明： 這項檢查可確保 CloudWatch 記錄檔已設定 KMS。 CloudWatch Logs 中的記錄群組資料一律會加密。根據預設，CloudWatch Logs 會對靜態記錄資料使用伺服器端加密。或者，您也可以使用 AWS 金鑰管理服務 進行加密。如果啟用，系統會使用 AWS KMS 金鑰加密。在建立記錄群組時或建立後，將 KMS 金鑰與記錄群組建立關聯，即可在記錄群組層級啟用 AWS KMS 加密功能。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： PCI-DSS v3.2.1: 3.4	請確認已使用 KMS 為 Amazon CloudWatch Logs 中所有記錄檔群組加密 即時掃描：否
CloudTrail CloudWatch Logs Enabled API 中的類別名稱：CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED	發現項目的說明： 這項控制項會檢查 CloudTrail 追蹤是否設為將記錄傳送至 CloudWatch Logs。如果追蹤記錄的 CloudWatchLogsLogGroupArn 屬性空白，則控管機制失敗。 CloudTrail 會記錄在特定帳戶中發出的 AWS API 呼叫。記錄的資訊包括： API 呼叫端的身分 API 呼叫時間 API 呼叫端的來源 IP 位址 要求參數 AWS 服務傳回的回應元素 CloudTrail 使用 Amazon S3 儲存及傳送記錄檔。您可以將 CloudTrail 記錄擷取到指定的 S3 bucket，以便長期分析。如要執行即時分析，您可以設定 CloudTrail，將記錄傳送至 CloudWatch Logs。 如果帳戶中所有區域都啟用追蹤，CloudTrail 會將這些區域的記錄檔傳送至 CloudWatch Logs 記錄群組。 安全中心建議您將 CloudTrail 記錄傳送至 CloudWatch Logs。請注意，這項建議旨在確保系統能擷取、監控帳戶活動，並在適當時機發出警報。您可以使用 CloudWatch Logs，為 AWS 服務設定這項功能。這項建議不排除使用其他解決方案。 將 CloudTrail 記錄檔傳送至 CloudWatch Logs，可根據使用者、API、資源和 IP 位址，即時記錄活動及保留記錄。您可以運用這個方法，針對異常或敏感的帳戶活動設定警示和通知。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-20 PCI-DSS v3.2.1: 10.5.3	確認所有 CloudTrail 追蹤都設為將日誌傳送至 AWS CloudWatch 即時掃描：否
No AWS Credentials in CodeBuild Project Environment Variables API 中的類別名稱：CODEBUILD_PROJECT_ENVVAR_AWSCRED_CHECK	發現項目的說明： 這項檢查會確認專案是否包含環境變數 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY。 驗證憑證 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY 絕不能以明文形式儲存，否則可能導致資料意外外洩和未經授權存取。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: IA-5, SA-3	確認所有專案中的環境變數 AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY 都不是明文 即時掃描：否
Codebuild Project Source Repo Url Check API 中的類別名稱：CODEBUILD_PROJECT_SOURCE_REPO_URL_CHECK	發現項目的說明： 這項檢查會確認 AWS CodeBuild 專案 Bitbucket 來源存放區網址是否包含個人存取權杖，或使用者名稱和密碼。如果 Bitbucket 來源存放區網址包含個人存取權杖，或使用者名稱和密碼，則控管機制會失敗。 登入憑證不應以明文形式儲存或傳輸，也不應出現在來源存放區網址中。請在 CodeBuild 中存取來源供應商，並將來源存放區網址變更為僅包含 Bitbucket 存放區位置的路徑，而非個人存取權杖或登入憑證。使用個人存取權杖或登入憑證，可能會導致資料意外外洩或未經授權存取。 定價方案：Enterprise 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	確認使用 GitHub 或 Bitbucket 做為來源的所有專案都使用 OAuth 即時掃描：否
Credentials Unused 45 Days Greater Disabled API 中的類別名稱：CREDENTIALS_UNUSED_45_DAYS_GREATER_DISABLED	發現項目的說明： AWS IAM 使用者可以使用不同類型的憑證 (例如密碼或存取金鑰) 存取 AWS 資源。建議您停用或移除所有 45 天以上未使用的憑證。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-2 PCI-DSS v4.0: 8.3.7 NIST Cybersecurity Framework 1.0: PR-AC-1 CIS AWS Foundation 2.0.0: 1.12 CIS AWS Foundation 3.0.0: 1.12 CIS Controls 8.0: 5.3	確保 45 天以上未使用的憑證已停用 即時掃描：否
Default Security Group Vpc Restricts All Traffic API 中的類別名稱：DEFAULT_SECURITY_GROUP_VPC_RESTRICTS_ALL_TRAFFIC	發現項目的說明： 虛擬私有雲隨附預設安全性群組，初始設定會拒絕所有傳入流量、允許所有傳出流量，以及允許指派給安全性群組的執行個體之間的所有流量。如果您在啟動執行個體時未指定安全性群組，系統會自動將執行個體指派給這個預設安全性群組。安全性群組會對 AWS 資源的輸入/輸出網路流量進行有狀態篩選。建議您讓預設安全性群組限制所有流量。 每個區域的預設虛擬私有雲都應更新預設安全性群組，以符合規範。任何新建立的虛擬私有雲都會自動包含預設安全性群組，您必須採取補救措施，才能符合這項建議。 注意：實施這項建議時，虛擬私有雲流量記錄功能可記錄目前安全性群組下發生的所有封包接受和拒絕事件，因此在判斷系統正常運作所需的最小權限通訊埠存取權時，這項功能非常實用。這大幅降低了最小權限工程的主要障礙，也就是找出環境中系統所需的最小通訊埠。即使這項基準中的虛擬私有雲流量記錄建議未做為永久安全措施，在探索和工程期間，仍應採用這項建議，確保安全群組符合最小權限原則。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 5.4 CIS AWS Foundation 3.0.0: 5.4 CIS Controls 8.0: 3.3	確保各個虛擬私有雲的預設安全性群組會限制所有流量 即時掃描：否
Dms Replication Not Public API 中的類別名稱：DMS_REPLICATION_NOT_PUBLIC	發現項目的說明： 檢查 AWS DMS 複製執行個體是否為公開資源。為此，系統會檢查 PubliclyAccessible 欄位的值。 私人複製執行個體具有私人 IP 位址，您無法從複製網路外部存取。如果來源和目標資料庫位於相同網路，複製執行個體應具備私人 IP 位址。此外，網路必須使用 VPN、AWS Direct Connect 或虛擬私有雲對接，連線至複製執行個體的虛擬私有雲。如要進一步瞭解公開和私人複製執行個體，請參閱 AWS 資料庫遷移服務 使用手冊中的「公開和私人複製執行個體」一節。 此外，請確保只有授權使用者可以存取 AWS DMS 執行個體設定。如要這麼做，請限制使用者的 IAM 權限，讓他們無法修改 AWS DMS 設定和資源。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	檢查 AWS Database Migration Service 的複製執行個體是否為公開資源 即時掃描：否
Do Setup Access Keys During Initial User Setup All Iam Users Console API 中的類別名稱：DO_SETUP_ACCESS_KEYS_DURING_INITIAL_USER_SETUP_ALL_IAM_USERS_CONSOLE	發現項目的說明： 建立新的 IAM 使用者時，AWS 控制台預設不會勾選任何核取方塊。建立 IAM 使用者憑證時，您必須決定他們需要的存取權類型。 程式輔助存取：IAM 使用者可能需要呼叫 API、使用 AWS CLI，或使用 Tools for Windows PowerShell。在這種情況下，請為該使用者建立存取金鑰 (存取金鑰 ID 和私密存取金鑰)。 AWS 管理主控台存取權：如果使用者需要存取 AWS 管理主控台，請為使用者建立密碼。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 1.11 CIS AWS Foundation 3.0.0: 1.11 CIS Controls 8.0: 3.3, 5.4	執行初始使用者設定步驟時，不要為擁有控制台密碼的任何 IAM 使用者設定存取金鑰 即時掃描：否
Dynamodb Autoscaling Enabled API 中的類別名稱：DYNAMODB_AUTOSCALING_ENABLED	發現項目的說明： 這項檢查會確認 Amazon DynamoDB 資料表能否視需要調整讀取和寫入容量。如果資料表使用隨選容量模式，或已設定自動調度資源的佈建模式，則這項控管機制會通過。根據需求調度資源容量，可避免節流例外狀況，有助於維持應用程式的可用性。 採用隨選容量模式的 DynamoDB 資料表，僅受限於 DynamoDB 處理量預設資料表配額。如要提高這些配額，您可以透過 AWS 支援提交支援單。 DynamoDB 資料表在佈建模式下，會自動調整資源配置，根據流量模式動態調整佈建的輸送量。如要進一步瞭解 DynamoDB 要求節流，請參閱 Amazon DynamoDB 開發人員指南中的「要求節流和高載容量」。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-13(5)	應將 DynamoDB 資料表設為視需求自動調整容量配置 即時掃描：否
Dynamodb In Backup Plan API 中的類別名稱：DYNAMODB_IN_BACKUP_PLAN	發現項目的說明： 這項控管機制會評估 DynamoDB 資料表是否在備份方案的涵蓋範圍內。如果 DynamoDB 資料表未列入備份方案的涵蓋範圍，則控管機制失敗。這項控制項只會評估處於 ACTIVE 狀態的 DynamoDB 資料表。 備份可協助您在發生資安事件後更快復原。此外，還能強化系統韌性。將 DynamoDB 資料表納入備份方案，有助於防止資料意外遺失或刪除。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-13(5)	DynamoDB 資料表應在備份方案的涵蓋範圍內 即時掃描：否
Dynamodb Pitr Enabled API 中的類別名稱：DYNAMODB_PITR_ENABLED	發現項目的說明： 時間點復原 (PITR) 是備份 DynamoDB 資料表的機制之一。 時間點備份會保留 35 天。如需更長的保留期限，請參閱 AWS 說明文件中的「使用 AWS Backup 設定 Amazon DynamoDB 的排程備份」。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-13(5)	檢查所有 AWS DynamoDB 資料表，確認是否已啟用時間點復原 (PITR) 功能 即時掃描：否
Dynamodb Table Encrypted Kms API 中的類別名稱：DYNAMODB_TABLE_ENCRYPTED_KMS	發現項目的說明： 檢查所有 DynamoDB 資料表是否以客戶管理的 KMS 金鑰 (非預設) 加密。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(6)	檢查所有 DynamoDB 資料表，確認是否已透過 AWS Key Management Service (KMS) 加密 即時掃描：否
Ebs Optimized Instance API 中的類別名稱：EBS_OPTIMIZED_INSTANCE	發現項目的說明： 檢查可進行 EBS 最佳化的 EC2 執行個體是否已啟用 EBS 最佳化功能 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-5(2)	檢查支援 EBS 最佳化的所有執行個體是否已啟用 EBS 最佳化功能 即時掃描：否
Ebs Snapshot Public Restorable Check API 中的類別名稱：EBS_SNAPSHOT_PUBLIC_RESTORABLE_CHECK	發現項目的說明： 檢查 Amazon Elastic Block Store 快照是否未公開。如果任何人都能還原 Amazon EBS 快照，則控管機制失敗。 EBS 快照用於在特定時間點將 EBS 磁碟區上的資料備份到 Amazon S3。您可以使用快照還原 EBS 磁碟區的先前狀態。一般來說，不建議公開共用快照。公開分享快照通常是誤判，或是在不完全瞭解後果的情況下做出的決定。這項檢查可確保所有這類共用行為都經過完整規劃且符合預期。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	Amazon EBS 快照不應設為可公開還原 即時掃描：否
Ebs Volume Encryption Enabled All Regions API 中的類別名稱：EBS_VOLUME_ENCRYPTION_ENABLED_ALL_REGIONS	發現項目的說明： 使用 Elastic Block Store (EBS) 服務時，Elastic Compute Cloud (EC2) 支援靜態資料加密。雖然預設為停用，但支援在建立 EBS 磁碟區時強制加密。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: IA-5, SC-28, SI-7(6) PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.2.1 CIS AWS Foundation 3.0.0: 2.2.1 CIS Controls 8.0: 3.11	確保所有區域都已啟用 EBS 磁碟區加密功能 即時掃描：否
Ec2 Instances In Vpc API 中的類別名稱：EC2_INSTANCES_IN_VPC	發現項目的說明： Amazon VPC 提供比 EC2 Classic 更多的安全性功能。建議所有節點都屬於 Amazon VPC。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7	確保所有執行個體都在虛擬私有雲中 即時掃描：否
Ec2 Instance No Public Ip API 中的類別名稱：EC2_INSTANCE_NO_PUBLIC_IP	發現項目的說明： 具有公開 IP 位址的 EC2 執行個體，遭入侵的風險較高。建議不要為 EC2 執行個體設定公開 IP 位址。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	確保所有執行個體都沒有公開 IP 即時掃描：否
Ec2 Managedinstance Association Compliance Status Check API 中的類別名稱：EC2_MANAGEDINSTANCE_ASSOCIATION_COMPLIANCE_STATUS_CHECK	發現項目的說明： State Manager 關聯是指指派給受管理執行個體的設定。設定會定義您要在執行個體上維護的狀態。舉例來說，關聯可以指定必須在執行個體上安裝並執行防毒軟體，或必須關閉特定通訊埠。與 AWS Systems Manager 建立關聯的 EC2 執行個體會由 Systems Manager 管理，因此更容易套用修補程式、修正錯誤設定，以及因應安全性事件。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： PCI-DSS v3.2.1: 6.2	確認 Amazon Systems Manager 的關聯建立狀態 即時掃描：否
Ec2 Managedinstance Patch Compliance Status Check API 中的類別名稱：EC2_MANAGEDINSTANCE_PATCH_COMPLIANCE_STATUS_CHECK	發現項目的說明： 這項控制項會檢查在執行個體上執行關聯後，AWS Systems Manager 關聯的法規遵循狀態是否為 COMPLIANT 或 NON_COMPLIANT。如果關聯法規遵循狀態為 NON_COMPLIANT，則控管失敗。 State Manager 關聯是指指派給受管理執行個體的設定。設定會定義您要在執行個體上維護的狀態。舉例來說，關聯可以指定必須在執行個體上安裝並執行防毒軟體，或必須關閉特定通訊埠。 建立一或多個 State Manager 關聯後，您就能立即查看法規遵循狀態資訊。您可以在控制台查看法規遵循狀態，或透過 AWS CLI 指令或對應的 Systems Manager API 動作查看。如果是關聯，設定法規遵循會顯示法規遵循狀態 (符合或不符合)。以及指派給關聯的嚴重性等級，例如「重大」或「中」。 如要進一步瞭解 State Manager 關聯法規遵循，請參閱 AWS Systems Manager 使用手冊中的「關於 State Manager 關聯法規遵循」一節。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-2 PCI-DSS v3.2.1: 6.2	檢查 AWS Systems Manager 修補程式的安裝狀態 即時掃描：否
Ec2 Metadata Service Allows Imdsv2 API 中的類別名稱：EC2_METADATA_SERVICE_ALLOWS_IMDSV2	發現項目的說明： 在 AWS EC2 執行個體上啟用中繼資料服務時，使用者可以選擇使用執行個體中繼資料服務第 1 版 (IMDSv1；要求/回應方法) 或執行個體中繼資料服務第 2 版 (IMDSv2；工作階段導向方法)。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-6 CIS AWS Foundation 2.0.0: 5.6 CIS AWS Foundation 3.0.0: 5.6	確保 EC2 中繼資料服務僅允許 IMDSv2 即時掃描：否
Ec2 Volume Inuse Check API 中的類別名稱：EC2_VOLUME_INUSE_CHECK	發現項目的說明： 找出並移除 AWS 帳戶中未連接 (未使用) 的 Elastic Block Store (EBS) 磁碟區，降低 AWS 每月帳單費用。刪除未使用的 EBS 磁碟區，也能降低機密/私密資料外洩的風險。此外，這項控制項也會檢查 EC2 執行個體是否已設定為在終止時刪除磁碟區。 根據預設，EC2 執行個體會刪除與執行個體相關聯的任何 EBS 磁碟區中的資料，並刪除執行個體的根 EBS 磁碟區。不過，在啟動或執行期間，連接至執行個體的任何非根 EBS 磁碟區，預設會在終止後保留。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: CM-2	檢查 EBS 磁碟區是否已連接至 EC2 執行個體，並設定執行個體終止時的刪除功能 即時掃描：否
Efs Encrypted Check API 中的類別名稱：EFS_ENCRYPTED_CHECK	發現項目的說明： Amazon EFS 支援兩種檔案系統加密方式：傳輸中的資料加密和靜態資料加密。這項檢查會確認帳戶中所有已啟用區域的 EFS 檔案系統，都已設定靜態資料加密。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	檢查 EFS 是否已設為使用 KMS 將檔案資料加密 即時掃描：否
Efs In Backup Plan API 中的類別名稱：EFS_IN_BACKUP_PLAN	發現項目的說明： Amazon 最佳做法建議為 Elastic File System (EFS) 設定備份。這項檢查會查看 AWS 帳戶中每個已啟用區域的所有 EFS，確認是否已啟用備份功能。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-13(5)	檢查 EFS 檔案系統是否已納入 AWS 備份方案 即時掃描：否
Elb Acm Certificate Required API 中的類別名稱：ELB_ACM_CERTIFICATE_REQUIRED	發現項目的說明： 檢查傳統版負載平衡器是否使用 AWS Certificate Manager (ACM) 提供的 HTTPS/SSL 憑證。如果設定 HTTPS/SSL 事件監聽器的傳統版負載平衡器未使用 ACM 提供的憑證，則控管機制會失敗。 如要建立憑證，您可以使用 ACM 或支援 SSL 和 TLS 通訊協定的工具，例如 OpenSSL。安全中心建議您使用 ACM，為負載平衡器建立或匯入憑證。 ACM 與傳統版負載平衡器整合，因此您可以在負載平衡器上部署憑證。此外，您也應該自動更新這些憑證。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-17, AC-4, IA-5, SC-12, SC-13, SC-23, SC-7, SC-8, SI-7, SI-7(6)	檢查所有傳統版負載平衡器，確認是否使用 AWS Certificate Manager 提供的 SSL 憑證 即時掃描：否
Elb Deletion Protection Enabled API 中的類別名稱：ELB_DELETION_PROTECTION_ENABLED	發現項目的說明： 檢查應用程式負載平衡器是否已啟用防刪除功能。如果未設定防刪除功能，則控管機制失敗。 啟用防刪除功能，防止應用程式負載平衡器遭到刪除。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-5(2)	應啟用應用程式負載平衡器防刪除功能 即時掃描：否
Elb Logging Enabled API 中的類別名稱：ELB_LOGGING_ENABLED	發現項目的說明： 這項檢查會確認應用程式負載平衡器和傳統版負載平衡器是否已啟用記錄功能。如果 access_logs.s3.enabled 為 false，則控管機制失敗。 Elastic Load Balancing 提供存取記錄，可擷取傳送至負載平衡器的要求詳細資訊。每筆記錄都包含收到要求的時間、用戶端 IP 位址、延遲時間、要求路徑和伺服器回應等資訊。您可以使用這些存取記錄分析流量模式及排解問題。 詳情請參閱傳統版負載平衡器使用手冊中的「傳統版負載平衡器的存取記錄」。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	檢查傳統版負載平衡器和應用程式負載平衡器，確認是否已啟用記錄功能 即時掃描：否
Elb Tls Https Listeners Only API 中的類別名稱：ELB_TLS_HTTPS_LISTENERS_ONLY	發現項目的說明： 這項檢查可確保所有傳統版負載平衡器都設為使用安全通訊。 監聽器是檢查連線要求的程序。設定時，您需要指定前端 (用戶端到負載平衡器) 連線的通訊協定和通訊埠，以及後端 (負載平衡器到執行個體) 連線的通訊協定和通訊埠。如要瞭解 Elastic Load Balancing 支援的通訊埠、通訊協定和監聽器設定，請參閱「傳統負載平衡器的監聽器」。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(6)	檢查是否所有傳統版負載平衡器都已設定 SSL 或 HTTPS 事件監聽器 即時掃描：否
Encrypted Volumes API 中的類別名稱：ENCRYPTED_VOLUMES	發現項目的說明： 檢查已連接的 EBS 磁碟區是否加密。如要通過這項檢查，EBS 磁碟區必須處於使用中狀態，且已加密。如果未連接 EBS 磁碟區，則不適用這項檢查。 為進一步保護 EBS 磁碟區中的機密資料，建議您啟用 EBS 靜態資料加密功能。Amazon EBS 加密功能為 EBS 資源提供簡單的加密解決方案，您不必建構、維護及保護自己的金鑰管理基礎架構。建立加密磁碟區和快照時，會使用 KMS 金鑰。 如要進一步瞭解 Amazon EBS 加密，請參閱 Amazon EC2 Linux 執行個體使用手冊中的 Amazon EBS 加密。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	應為連接的 Amazon EBS 磁碟區設定靜態資料加密機制 即時掃描：否
Encryption At Rest Enabled Rds Instances API 中的類別名稱：ENCRYPTION_AT_REST_ENABLED_RDS_INSTANCES	發現項目的說明： Amazon RDS 加密資料庫執行個體會使用業界標準 AES-256 加密演算法，在託管 Amazon RDS 資料庫執行個體的伺服器上加密資料。資料加密後，Amazon RDS 會以透明的方式處理資料存取驗證和解密作業，對效能的影響微乎其微。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: IA-5, SC-28, SI-7(6) PCI-DSS v3.2.1: 8.2.1 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.3.1 CIS AWS Foundation 3.0.0: 2.3.1 CIS Controls 8.0: 3.11	確保 RDS 執行個體已啟用靜態資料加密機制 即時掃描：否
Encryption Enabled Efs File Systems API 中的類別名稱：ENCRYPTION_ENABLED_EFS_FILE_SYSTEMS	發現項目的說明： EFS 靜態資料應使用 AWS KMS (金鑰管理服務) 加密。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.4.1 CIS AWS Foundation 3.0.0: 2.4.1 CIS Controls 8.0: 3.11	確保 EFS 檔案系統已啟用加密機制 即時掃描：否
Iam Password Policy API 中的類別名稱：IAM_PASSWORD_POLICY	發現項目的說明： AWS 允許在 AWS 帳戶上設定自訂密碼政策，指定 IAM 使用者密碼的複雜度要求和強制輪替週期。如果未設定自訂密碼政策，IAM 使用者密碼必須符合預設 AWS 密碼政策。AWS 安全性最佳做法建議採用下列密碼複雜度規定： 密碼至少須包含一個大寫字元。 密碼至少須包含一個小寫字元。 密碼至少須包含一個符號。 密碼必須至少包含一個數字。 規定密碼長度至少為 14 個字元。 至少要使用 24 個密碼，才能重複使用。 密碼到期前至少須有 90 天 這項控管機制會檢查所有指定的密碼政策規定。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: IA-5(1) PCI-DSS v3.2.1: 8.2.5	檢查 IAM 使用者的帳戶密碼政策是否符合指定規定 即時掃描：否
Iam Password Policy Prevents Password Reuse API 中的類別名稱：IAM_PASSWORD_POLICY_PREVENTS_PASSWORD_REUSE	發現項目的說明： IAM 密碼政策可防止同一位使用者重複使用特定密碼。建議密碼政策禁止重複使用密碼。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: IA-5 PCI-DSS v4.0: 2.2.2, 8.3.5, 8.3.6, 8.6.3 ISO-27001 v2022: A.5.17 Cloud Controls Matrix 4: IAM-02 SOC2 v2017: CC6.1.3, CC6.1.8, CC6.1.9 CIS AWS Foundation 2.0.0: 1.9 CIS AWS Foundation 3.0.0: 1.9 CIS Controls 8.0: 5.2	確保 IAM 密碼政策禁止重複使用密碼 即時掃描：否
Iam Password Policy Requires Minimum Length 14 Greater API 中的類別名稱：IAM_PASSWORD_POLICY_REQUIRES_MINIMUM_LENGTH_14_GREATER	發現項目的說明： 密碼政策的部分用途是強制執行密碼複雜度規定。IAM 密碼政策可用來確保密碼至少達到指定長度。建議密碼政策規定密碼長度下限為 14。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS AWS Foundation 2.0.0: 1.8 CIS AWS Foundation 3.0.0: 1.8 CIS Controls 8.0: 5, 5.2	確保 IAM 密碼政策規定的長度下限為 14 個字元以上 即時掃描：否
Iam Policies Allow Full Administrative Privileges Attached API 中的類別名稱：IAM_POLICIES_ALLOW_FULL_ADMINISTRATIVE_PRIVILEGES_ATTACHED	發現項目的說明： IAM 政策是將權限授予使用者、群組或角色的方式。建議您授予最小權限，也就是僅授予執行工作所需的權限，這也是標準安全性建議。請先判斷使用者需要執行的工作，然後為他們制定政策，讓使用者「只能」執行這些工作，而不是授予完整的管理員權限。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 1.16 CIS AWS Foundation 3.0.0: 1.16 CIS Controls 8.0: 3.3	確保未附加允許完整「*:*」管理員權限的 IAM 政策 即時掃描：否
Iam Users Receive Permissions Groups API 中的類別名稱：IAM_USERS_RECEIVE_PERMISSIONS_GROUPS	發現項目的說明： IAM 使用者可透過 IAM 政策取得服務、函式和資料的存取權。定義使用者政策的方法有四種：1) 直接編輯使用者政策，也就是內嵌或使用者政策；2) 直接將政策附加至使用者；3) 將使用者新增至已附加政策的 IAM 群組；4) 將使用者新增至具有內嵌政策的 IAM 群組。 建議只採用第三種導入方式。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-2, AC-5, AC-6, AU-9 PCI-DSS v4.0: 10.3.1, 7.1.1, 7.2.1, 7.2.2, 7.2.4, 7.2.6, 7.3.1, 7.3.2 ISO-27001 v2022: A.5.15, A.5.3, A.8.2, A.8.3 Cloud Controls Matrix 4: IAM-04 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.3.1, CC6.3.2, CC6.3.3 HIPAA: 164.308(a)(3)(ii), 164.308(a)(4)(i), 164.308(a)(4)(ii) CIS AWS Foundation 2.0.0: 1.15 CIS AWS Foundation 3.0.0: 1.15 CIS Controls 8.0: 6.8	確保 IAM 使用者僅透過群組接收權限 即時掃描：否
Iam User Group Membership Check API 中的類別名稱：IAM_USER_GROUP_MEMBERSHIP_CHECK	發現項目的說明： IAM 使用者應一律加入 IAM 群組，以遵循 IAM 安全性最佳做法。 將使用者加入群組，即可在不同類型的使用者之間共用政策。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-6	檢查 IAM 使用者是否至少加入一個 IAM 群組 即時掃描：否
Iam User Mfa Enabled API 中的類別名稱：IAM_USER_MFA_ENABLED	發現項目的說明： 多重驗證 (MFA) 是最佳做法，可在使用者名稱和密碼之外增添一層保護。啟用多重驗證後，使用者登入 AWS 管理主控台時，必須提供由已註冊虛擬或實體裝置產生的限時驗證碼。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： PCI-DSS v3.2.1: 8.3.2	檢查 AWS IAM 使用者是否已啟用多重驗證 (MFA) 即時掃描：否
Iam User Unused Credentials Check API 中的類別名稱：IAM_USER_UNUSED_CREDENTIALS_CHECK	發現項目的說明： 這項檢查會找出過去 90 天內未使用的 IAM 密碼或有效存取金鑰。 最佳做法建議您移除、停用或輪替所有 90 天以上未使用的憑證。這樣一來，與遭盜用或棄用帳戶相關聯的憑證，就比較不容易遭到利用。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-6 PCI-DSS v3.2.1: 8.1.4	檢查所有 AWS IAM 使用者，確認是否擁有密碼或有效的存取金鑰，而且過去 maxCredentialUsageAge 天 (預設為 90 天) 內均未使用這類存取金鑰 即時掃描：否
Kms Cmk Not Scheduled For Deletion API 中的類別名稱：KMS_CMK_NOT_SCHEDULED_FOR_DELETION	發現項目的說明： 這項控制項會檢查 KMS 金鑰是否已排定刪除。如果 KMS 金鑰已排定刪除，則控制項失敗。 KMS 金鑰刪除後即無法復原。如果刪除 KMS 金鑰，以該金鑰加密的資料也將永久無法復原。如果重要資料是以排定刪除的 KMS 金鑰加密，請考慮解密資料，或使用新的 KMS 金鑰重新加密資料，除非您有意執行加密清除作業。 排定刪除 KMS 金鑰後，系統會強制執行等待期，讓您有時間撤銷誤排的刪除作業。預設等待期為 30 天，但排定刪除 KMS 金鑰時，最短可縮短至 7 天。在等待期間，您可以取消排定的刪除作業，這樣 KMS 金鑰就不會刪除。 如要進一步瞭解如何刪除 KMS 金鑰，請參閱 AWS Key Management Service 開發人員指南中的「刪除 KMS 金鑰」一節。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-12	確認沒有安排刪除任何 CMK 即時掃描：否
Lambda Concurrency Check API 中的類別名稱：LAMBDA_CONCURRENCY_CHECK	發現項目的說明： 檢查 Lambda 函式是否設有函式層級的並行執行限制。如果 Lambda 函式未設有函式層級的並行執行限制，則規則為 NON_COMPLIANT。 定價方案：Enterprise 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查 Lambda 函式是否設有函式層級的並行執行限制 即時掃描：否
Lambda Dlq Check API 中的類別名稱：LAMBDA_DLQ_CHECK	發現項目的說明： 檢查 Lambda 函式是否已設為使用無效信件佇列。如果 Lambda 函式未設定無效信件佇列，則規則為 NON_COMPLIANT。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-2	檢查 Lambda 函式是否已設為使用無效信件佇列 即時掃描：否
Lambda Function Public Access Prohibited API 中的類別名稱：LAMBDA_FUNCTION_PUBLIC_ACCESS_PROHIBITED	發現項目的說明： AWS 最佳做法建議不要公開 Lambda 函式。這項政策會檢查帳戶中所有已啟用區域部署的 Lambda 函式，如果函式設為允許公開存取，則會失敗。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	檢查附加至 Lambda 函式的政策是否禁止公開存取 即時掃描：否
Lambda Inside Vpc API 中的類別名稱：LAMBDA_INSIDE_VPC	發現項目的說明： 檢查 Lambda 函式是否位於虛擬私有雲中。Lambda@Edge 資源可能會顯示失敗的發現項目。 不會評估虛擬私有雲子網路路由設定，來判斷公開可連性。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	檢查 Lambda 函式是否存在於虛擬私有雲中 即時掃描：否
Mfa Delete Enabled S3 Buckets API 中的類別名稱：MFA_DELETE_ENABLED_S3_BUCKETS	發現項目的說明： 在機密和分類 S3 儲存貯體啟用 MFA Delete 後，使用者必須提供兩種驗證方式。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 2.1.2 CIS AWS Foundation 3.0.0: 2.1.2 CIS Controls 8.0: 3.3, 6.5	確保 S3 值區已啟用 MFA Delete 即時掃描：否
Mfa Enabled Root User Account API 中的類別名稱：MFA_ENABLED_ROOT_USER_ACCOUNT	發現項目的說明： 「root」使用者帳戶是 AWS 帳戶中權限最高的使用者。多重驗證 (MFA) 可在使用者名稱和密碼之外，多加一層保護。啟用多重驗證後，使用者登入 AWS 網站時，系統會提示他們輸入使用者名稱和密碼，以及 AWS 多重驗證裝置提供的驗證碼。 注意：如果將虛擬 MFA 用於「root」帳戶，建議不要使用個人裝置，而是使用專用行動裝置 (平板電腦或手機)，並確保裝置保持充電狀態和安全，不受任何個人裝置影響。(「非個人虛擬 MFA」)。這樣一來，即使裝置遺失、換購，或裝置擁有者離職，也不會失去 MFA 存取權。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: IA-2, IA-2(8) PCI-DSS v3.2.1: 8.3.2 PCI-DSS v4.0: 2.2.7, 8.4.1 ISO-27001 v2022: A.8.2 Cloud Controls Matrix 4: IAM-10 NIST Cybersecurity Framework 1.0: PR-AC-7 SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8 CIS AWS Foundation 2.0.0: 1.5 CIS AWS Foundation 3.0.0: 1.5 CIS Controls 8.0: 6.5	確保「超級」使用者帳戶已啟用 MFA 即時掃描：否
Multi Factor Authentication Mfa Enabled All Iam Users Console API 中的類別名稱：MULTI_FACTOR_AUTHENTICATION_MFA_ENABLED_ALL_IAM_USERS_CONSOLE	發現項目的說明： 多重驗證 (MFA) 除了傳統憑證外，還多了一層驗證保障。啟用 MFA 後，使用者登入 AWS 控制台時，系統會提示他們輸入使用者名稱和密碼，以及實體或虛擬 MFA 權杖的驗證碼。建議為所有擁有控制台密碼的帳戶啟用 MFA。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: IA-2, IA-2(8) PCI-DSS v3.2.1: 8.3.2 PCI-DSS v4.0: 2.2.7, 8.4.1 ISO-27001 v2022: A.8.2 Cloud Controls Matrix 4: IAM-10 NIST Cybersecurity Framework 1.0: PR-AC-7 SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.6, CC6.1.7, CC6.1.8 CIS AWS Foundation 2.0.0: 1.10 CIS Controls 8.0: 6.5	確保擁有控制台密碼的所有 IAM 使用者均已啟用多重驗證 (MFA) 即時掃描：否
No Network Acls Allow Ingress 0 0 0 0 Remote Server Administration API 中的類別名稱：NO_NETWORK_ACLS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION	發現項目的說明： 網路存取控管清單 (NACL) 函式可對 AWS 資源的輸入和輸出網路流量進行無狀態篩選。建議不要讓任何 NACL 允許不受限制的輸入流量存取遠端伺服器管理通訊埠，例如透過 TDP (6)、UDP (17) 或 ALL (-1) 通訊協定，使用 SSH 存取通訊埠 22，以及使用 RDP 存取通訊埠 3389 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS AWS Foundation 2.0.0: 5.1 CIS AWS Foundation 3.0.0: 5.1	確保沒有任何網路 ACL 允許流量從 0.0.0.0/0 輸入至遠端伺服器管理通訊埠 即時掃描：否
No Root User Account Access Key Exists API 中的類別名稱：NO_ROOT_USER_ACCOUNT_ACCESS_KEY_EXISTS	發現項目的說明： 「root」使用者帳戶是 AWS 帳戶中權限最高的使用者。AWS 存取金鑰可提供特定 AWS 帳戶的程式輔助存取權。建議刪除與「超級」使用者帳戶相關聯的所有存取金鑰。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2 PCI-DSS v3.2.1: 8.1.1 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 1.4 CIS AWS Foundation 3.0.0: 1.4 CIS Controls 8.0: 3.3, 5.4	確保沒有「超級」使用者帳戶存取金鑰 即時掃描：否
No Security Groups Allow Ingress 0 0 0 0 Remote Server Administration API 中的類別名稱：NO_SECURITY_GROUPS_ALLOW_INGRESS_0_0_0_0_REMOTE_SERVER_ADMINISTRATION	發現項目的說明： 安全性群組會對 AWS 資源的輸入和輸出網路流量，進行有狀態篩選。建議不要讓任何安全性群組允許不受限制的輸入流量，透過 TDP (6)、UDP (17) 或 ALL (-1) 通訊協定，存取遠端伺服器管理通訊埠，例如 SSH 到通訊埠 22 和 RDP 到通訊埠 3389 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS AWS Foundation 2.0.0: 5.2 CIS AWS Foundation 3.0.0: 5.2	確保沒有任何安全性群組允許流量從 0.0.0.0/0 輸入至遠端伺服器管理通訊埠 即時掃描：否
No Security Groups Allow Ingress 0 Remote Server Administration API 中的類別名稱：NO_SECURITY_GROUPS_ALLOW_INGRESS_0_REMOTE_SERVER_ADMINISTRATION	發現項目的說明： 安全性群組會對 AWS 資源的輸入和輸出網路流量，進行有狀態篩選。建議不要讓任何安全性群組允許不受限制的輸入流量，存取遠端伺服器管理通訊埠，例如 SSH 到通訊埠 22 和 RDP 到通訊埠 3389。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS AWS Foundation 2.0.0: 5.3 CIS AWS Foundation 3.0.0: 5.3	確保沒有任何安全性群組允許流量從 ::/0 輸入至遠端伺服器管理通訊埠 即時掃描：否
One Active Access Key Available Any Single Iam User API 中的類別名稱：ONE_ACTIVE_ACCESS_KEY_AVAILABLE_ANY_SINGLE_IAM_USER	發現項目的說明： 存取金鑰是 IAM 使用者或 AWS 帳戶「root」使用者的長期憑證。您可以使用存取金鑰，簽署對 AWS CLI 或 AWS API 的程式輔助要求 (直接或使用 AWS SDK) 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： CIS AWS Foundation 2.0.0: 1.13 CIS AWS Foundation 3.0.0: 1.13 CIS Controls 8.0: 5	確保任一 IAM 使用者都只能取得一組有效的存取金鑰 即時掃描：否
Public Access Given Rds Instance API 中的類別名稱：PUBLIC_ACCESS_GIVEN_RDS_INSTANCE	發現項目的說明： 請確認並驗證 AWS 帳戶中佈建的 RDS 資料庫執行個體確實限制未經授權的存取，盡可能降低安全風險。如要限制公開存取 RDS 資料庫執行個體，請停用資料庫的「Publicly Accessible」旗標，並更新與執行個體相關聯的虛擬私有雲安全性群組。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7 PCI-DSS v3.2.1: 2.2.2 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 2.3.3 CIS AWS Foundation 3.0.0: 2.3.3 CIS Controls 8.0: 3.3	確保未將公開存取權授予 RDS 執行個體 即時掃描：否
Rds Enhanced Monitoring Enabled API 中的類別名稱：RDS_ENHANCED_MONITORING_ENABLED	發現項目的說明： 強化版監控功能會透過安裝在執行個體中的代理程式，提供 RDS 執行個體所用作業系統的即時指標。 詳情請參閱「使用增強型監控功能監控 OS 指標」。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-2	檢查所有 RDS 資料庫執行個體是否已啟用強化版監控功能 即時掃描：否
Rds Instance Deletion Protection Enabled API 中的類別名稱：RDS_INSTANCE_DELETION_PROTECTION_ENABLED	發現項目的說明： 啟用執行個體防刪除功能，可多添一層保護，防止資料庫遭到意外刪除或未經授權的實體刪除。 啟用防刪除功能後，就無法刪除 RDS 資料庫執行個體。必須先停用防刪除功能，才能成功刪除。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-13(5)	檢查所有 RDS 執行個體是否已啟用防刪除功能 即時掃描：否
Rds In Backup Plan API 中的類別名稱：RDS_IN_BACKUP_PLAN	發現項目的說明： 這項檢查會評估 Amazon RDS 資料庫執行個體是否在備份方案的涵蓋範圍內。如果 RDS 資料庫執行個體不在備份方案的涵蓋範圍內，這項控制項就會失敗。 AWS Backup 是全代管備份服務，可集中管理及自動備份 AWS 服務中的資料。您可以使用 AWS Backup 建立備份政策 (稱為備份方案)，定義備份需求，例如資料備份頻率和備份保留時間。將 RDS 資料庫執行個體納入備份方案，有助於防止資料意外遺失或刪除。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-13(5)	RDS 資料庫執行個體應在備份方案的涵蓋範圍內 即時掃描：否
Rds Logging Enabled API 中的類別名稱：RDS_LOGGING_ENABLED	發現項目的說明： 這項檢查會確認下列 Amazon RDS 記錄是否已啟用並傳送至 CloudWatch。 RDS 資料庫應啟用相關記錄。資料庫記錄會詳細登錄對 RDS 發出的要求。資料庫記錄可協助進行安全性和存取權稽核，以及診斷可用性問題。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(8)	檢查所有 RDS 資料庫執行個體是否已啟用匯出的記錄檔 即時掃描：否
Rds Multi Az Support API 中的類別名稱：RDS_MULTI_AZ_SUPPORT	發現項目的說明： RDS 資料庫執行個體應設有多個可用區。這能確保儲存的資料可用。如果可用區可用性發生問題，或是在定期 RDS 維護期間，多可用區部署可自動容錯移轉。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-13(5)	檢查所有 RDS 資料庫執行個體是否已啟用高可用性設定 即時掃描：否
Redshift Cluster Configuration Check API 中的類別名稱：REDSHIFT_CLUSTER_CONFIGURATION_CHECK	發現項目的說明： 這項檢查會確認 Redshift 叢集是否具備靜態資料加密機制、記錄功能和節點類型等基本元素。 這些設定項目對於維護安全且可觀測的 Redshift 叢集至關重要。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	確認所有 Redshift 叢集是否已有靜態資料加密機制、記錄功能和節點類型。 即時掃描：否
Redshift Cluster Maintenancesettings Check API 中的類別名稱：REDSHIFT_CLUSTER_MAINTENANCESETTINGS_CHECK	發現項目的說明： 主要版本會依據維護期間自動升級 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-2	確認所有 Redshift 叢集是否已啟用 allowVersionUpgrade，並設定了 preferredMaintenanceWindow 和 automatedSnapshotRetentionPeriod 即時掃描：否
Redshift Cluster Public Access Check API 中的類別名稱：REDSHIFT_CLUSTER_PUBLIC_ACCESS_CHECK	發現項目的說明： Amazon Redshift 叢集設定的 PubliclyAccessible 屬性，會指出叢集是否可公開存取。如果叢集的 PubliclyAccessible 設為 true，則為網際網路對向執行個體，具有可公開解析的 DNS 名稱，可解析為公開 IP 位址。 如果叢集不開放公開存取，則為內部執行個體，其 DNS 名稱會解析為私人 IP 位址。除非您希望叢集可供公開存取，否則不應將叢集的 PubliclyAccessible 設為 true。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	檢查 Redshift 叢集是否開放公開存取 即時掃描：否
Restricted Common Ports API 中的類別名稱：RESTRICTED_COMMON_PORTS	發現項目的說明： 這項檢查會確認安全性群組的傳入流量是否不受限制，可存取風險最高的指定通訊埠。如果安全性群組中的任何規則允許從「0.0.0.0/0」或「::/0」輸入流量至這些通訊埠，則這項控制項會失敗。 不受限制的存取權 (0.0.0.0/0) 會增加惡意活動的機會，例如駭客攻擊、阻斷服務攻擊和資料遺失。 安全性群組會對 AWS 資源的輸入和輸出網路流量，進行有狀態篩選。任何安全性群組都不應允許不受限制地輸入存取下列通訊埠： 20、21 (FTP) 22 (SSH) 23 (Telnet) 25 (SMTP) 110 (POP3) 135 (RPC) 143 (IMAP) 445 (CIFS) 1433、1434 (MSSQL) 3000 (Go、Node.js 和 Ruby 網頁開發架構) 3306 (mySQL) 3389 (RDP) 4333 (ahsp) 5000 (Python 網頁開發框架) 5432 (postgresql) 5500 (fcp-addr-srvr1) 5601 (OpenSearch Dashboards) 8080 (Proxy) 8088 (舊版 HTTP 通訊埠) 8888 (替代 HTTP 通訊埠) 9200 或 9300 (OpenSearch) 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	不應讓安全性群組未設定任何限制，即允許存取高風險的通訊埠 即時掃描：否
Restricted Ssh API 中的類別名稱：RESTRICTED_SSH	發現項目的說明： 安全性群組會對 AWS 資源的輸入和輸出網路流量，提供有狀態篩選。 CIS 建議不要讓任何安全性群組允許不受限制的通訊埠 22 輸入流量。移除遠端控制台服務 (例如 SSH) 的不受限連線，可降低伺服器面臨的風險。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	不建議讓安全性群組允許流量從 0.0.0.0/0 輸入至通訊埠 22 即時掃描：否
Rotation Customer Created Cmks Enabled API 中的類別名稱：ROTATION_CUSTOMER_CREATED_CMKS_ENABLED	發現項目的說明： 檢查每組金鑰是否已啟用自動金鑰輪替功能，並與客戶建立的 AWS KMS 金鑰 ID 相符。如果資源的 AWS Config 記錄器角色沒有 kms:DescribeKey 權限，則規則為 NON_COMPLIANT。 定價方案：Enterprise 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	確保已為客戶建立的 CMK 啟用輪替功能 即時掃描：否
Rotation Customer Created Symmetric Cmks Enabled API 中的類別名稱：ROTATION_CUSTOMER_CREATED_SYMMETRIC_CMKS_ENABLED	發現項目的說明： AWS 金鑰管理服務 (KMS) 允許客戶輪換備份金鑰，該金鑰是儲存在 KMS 內的金鑰資料，與客戶建立的客戶主金鑰 (CMK) 的金鑰 ID 綁定。這是用於執行加密和解密等加密編譯作業的備份金鑰。自動金鑰輪替功能目前會保留所有先前的備份金鑰，以便透明地解密加密資料。建議為對稱金鑰啟用 CMK 金鑰輪替功能。無法為任何非對稱式 CMK 啟用金鑰輪替功能。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: IA-5, SC-28 PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2 ISO-27001 v2022: A.5.33 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-1 SOC2 v2017: CC6.1.10, CC6.1.3 HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 3.8 CIS AWS Foundation 3.0.0: 3.6 CIS Controls 8.0: 3.11	確保已為客戶建立的對稱式 CMK 啟用輪替功能 即時掃描：否
Routing Tables Vpc Peering Are Least Access API 中的類別名稱：ROUTING_TABLES_VPC_PEERING_ARE_LEAST_ACCESS	發現項目的說明： 檢查虛擬私有雲對等互連的路由表是否依據最小權限原則設定。 定價方案：Enterprise 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	確保虛擬私有雲對接的轉送表格已設為「最低存取權」 即時掃描：否
S3 Account Level Public Access Blocks API 中的類別名稱：S3_ACCOUNT_LEVEL_PUBLIC_ACCESS_BLOCKS	發現項目的說明： Amazon S3 封鎖公開存取功能提供存取點、儲存貯體和帳戶設定，協助您管理 Amazon S3 資源的公開存取權。根據預設，新的 bucket、存取點和物件不允許公開存取。 定價方案：Enterprise 修正這項發現項目 這個發現項目類別未對應至任何法規遵循標準。	檢查是否已在帳戶層級設置所需的 S3 公開存取封鎖設定 即時掃描：否
S3 Buckets Configured Block Public Access Bucket And Account Settings API 中的類別名稱：S3_BUCKETS_CONFIGURED_BLOCK_PUBLIC_ACCESS_BUCKET_AND_ACCOUNT_SETTINGS	發現項目的說明： Amazon S3 提供 Block public access (bucket settings) 和 Block public access (account settings)，協助您管理 Amazon S3 資源的公開存取權。根據預設，建立 S3 值區和物件時，公開存取權會停用。不過，具備足夠 S3 權限的 AWS IAM 主體，可以在 bucket 或物件層級啟用公開存取權。啟用後，Block public access (bucket settings) 會防止個別 bucket 及其包含的物件變成可公開存取。同樣地，Block public access (account settings) 會防止整個帳戶中的所有 bucket 和內含物件變成可公開存取。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2, SC-7 PCI-DSS v4.0: 1.3.1 ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4 Cloud Controls Matrix 4: DSP-17 NIST Cybersecurity Framework 1.0: PR-AC-4 SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7 HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1) CIS AWS Foundation 2.0.0: 2.1.4 CIS Controls 8.0: 3.3	確認 S3 bucket 已設定 Block public access (bucket settings)。 即時掃描：否
S3 Bucket Access Logging Enabled Cloudtrail S3 Bucket API 中的類別名稱：S3_BUCKET_ACCESS_LOGGING_ENABLED_CLOUDTRAIL_S3_BUCKET	發現項目的說明： S3 儲存貯體存取記錄功能會產生記錄，其中包含對 S3 儲存貯體提出的每項要求存取記錄。存取記錄包含要求的詳細資料，例如要求類型、要求中指定的資源，以及要求處理的時間和日期。建議您為 CloudTrail S3 值區啟用值區存取記錄功能。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-6, AU-12, AU-2 PCI-DSS v4.0: 10.2.1, 10.2.1.1 ISO-27001 v2022: A.8.15 Cloud Controls Matrix 4: DSP-17 SOC2 v2017: CC6.1.1, CC6.1.10, CC6.1.11, CC6.1.12, CC6.1.13, CC6.1.2, CC6.1.3, CC6.1.4, CC6.1.5, CC6.1.6, CC6.1.7, CC6.1.8, CC6.1.9 HIPAA: 164.312(b), 164.312(c)(1), 164.312(c)(2) CIS AWS Foundation 2.0.0: 3.6 CIS AWS Foundation 3.0.0: 3.4 CIS Controls 8.0: 3.14, 8.2	確保 CloudTrail S3 儲存貯體已啟用 S3 儲存貯體存取記錄功能 即時掃描：否
S3 Bucket Logging Enabled API 中的類別名稱：S3_BUCKET_LOGGING_ENABLED	發現項目的說明： AWS S3 伺服器存取記錄功能會記錄儲存貯體的存取要求，有助於進行安全性稽核。根據預設，S3 bucket 不會啟用伺服器存取記錄功能。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(8) PCI-DSS v3.2.1: 10.3.1	確認所有 S3 值區均已啟用記錄功能 即時掃描：否
S3 Bucket Policy Set Deny Http Requests API 中的類別名稱：S3_BUCKET_POLICY_SET_DENY_HTTP_REQUESTS	發現項目的說明： 在 Amazon S3 bucket 層級，您可以透過 bucket 政策設定權限，讓物件只能透過 HTTPS 存取。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-17, IA-5, SC-8 PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2 ISO-27001 v2022: A.5.14 Cloud Controls Matrix 4: CEK-03 NIST Cybersecurity Framework 1.0: PR-DS-2 SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2 HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii) CIS AWS Foundation 2.0.0: 2.1.1 CIS AWS Foundation 3.0.0: 2.1.1 CIS Controls 8.0: 3.10	確認 S3 值區政策已設為拒絕 HTTP 要求 即時掃描：否
S3 Bucket Replication Enabled API 中的類別名稱：S3_BUCKET_REPLICATION_ENABLED	發現項目的說明： 這項控制項會檢查 Amazon S3 值區是否已啟用跨區域複製功能。如果 bucket 未啟用跨區域複製功能，或同時啟用同區域複製功能，則控管機制會失敗。 複製功能會自動以非同步方式，在相同或不同 AWS 區域的 bucket 之間複製物件。複製作業會將新建立的物件和物件更新，從來源 bucket 複製到一或多個目的地 bucket。AWS 最佳做法建議，來源和目的地 bucket 應由同一個 AWS 帳戶擁有，並進行複製。除了可用性，您也應考量其他系統強化設定。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-13(5)	確認 S3 值區已啟用跨區域複製功能 即時掃描：否
S3 Bucket Server Side Encryption Enabled API 中的類別名稱：S3_BUCKET_SERVER_SIDE_ENCRYPTION_ENABLED	發現項目的說明： 這項檢查會確認 S3 值區是否已啟用 Amazon S3 預設加密功能，或 S3 值區政策是否明確拒絕未經伺服器端加密的 put-object 要求。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 10.5.2	確認所有 S3 值區都採用靜態資料加密機制 即時掃描：否
S3 Bucket Versioning Enabled API 中的類別名稱：S3_BUCKET_VERSIONING_ENABLED	發現項目的說明： Amazon S3 可將物件的多個版本保存在同一個 bucket 中，有助於您更輕鬆地從非預期的使用者動作和應用程式故障中復原。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-13(5) PCI-DSS v3.2.1: 10.5.5	確認所有 S3 值區均已啟用版本管理功能 即時掃描：否
S3 Default Encryption Kms API 中的類別名稱：S3_DEFAULT_ENCRYPTION_KMS	發現項目的說明： 檢查 Amazon S3 bucket 是否已透過 AWS 金鑰管理服務 (AWS KMS) 加密 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(6)	確認所有值區都是以 KMS 加密 即時掃描：否
Sagemaker Notebook Instance Kms Key Configured API 中的類別名稱：SAGEMAKER_NOTEBOOK_INSTANCE_KMS_KEY_CONFIGURED	發現項目的說明： 檢查 Amazon SageMaker 筆記本執行個體是否已設定 AWS Key Management Service (AWS KMS) 金鑰。如果未指定 SageMaker 筆記本執行個體的「KmsKeyId」，則規則為 NON_COMPLIANT。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(6) PCI-DSS v3.2.1: 8.2.1	確認所有 SageMaker 筆記本執行個體均設為使用 KMS 即時掃描：否
Sagemaker Notebook No Direct Internet Access API 中的類別名稱：SAGEMAKER_NOTEBOOK_NO_DIRECT_INTERNET_ACCESS	發現項目的說明： 檢查 SageMaker 筆記本執行個體，確認是否已停用直接網路連線能力。方法是檢查筆記本執行個體的 DirectInternetAccess 欄位是否已停用。 如果您在設定 SageMaker 執行個體時未指定虛擬私有雲，系統預設會為執行個體啟用直接網路連線能力。請為執行個體設定虛擬私有雲，並將預設設定變更為「停用 - 透過虛擬私有雲存取網際網路」。 如要透過筆記本訓練或託管模型，必須具備網路連線能力。如要啟用網際網路存取權，請確認虛擬私有雲具備網路位址轉譯 (NAT) 閘道，且安全性群組允許傳出連線。如要進一步瞭解如何將筆記本執行個體連線至 VPC 中的資源，請參閱 Amazon SageMaker 開發人員指南中的「Connect a notebook instance to resources in a VPC」(將筆記本執行個體連線至 VPC 中的資源)。 此外，請確保只有授權使用者可以存取 SageMaker 設定。限制使用者的 IAM 權限，防止他們修改 SageMaker 設定和資源。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	檢查所有 Amazon SageMaker 筆記本執行個體，確認是否已停用直接網路連線能力 即時掃描：否
Secretsmanager Rotation Enabled Check API 中的類別名稱：SECRETSMANAGER_ROTATION_ENABLED_CHECK	發現項目的說明： 檢查儲存在 AWS Secrets Manager 的密鑰是否已設定自動輪替。如果 Secret 未設定自動輪換，則控管機制會失敗。如果您為 maximumAllowedRotationFrequency 參數提供自訂值，則只有在密鑰於指定時間範圍內自動輪替時，控管機制才會通過。 Secrets Manager 可協助您強化組織的資安態勢。Secret 包括資料庫憑證、密碼和第三方 API 金鑰。您可以使用 Secrets Manager 集中儲存密鑰、自動加密密鑰、控管密鑰存取權，以及安全地自動輪替密鑰。 Secrets Manager 可輪替密鑰。您可以使用輪替功能，將長期密鑰替換為短期密鑰。輪替密鑰可限制未經授權的使用者使用遭入侵密鑰的時間。因此，您應經常輪替密鑰。如要進一步瞭解輪替，請參閱 AWS Secrets Manager 使用手冊中的「Rotating your AWS Secrets Manager secrets」(輪替 AWS Secrets Manager 密鑰)。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: AC-3(15) PCI-DSS v3.2.1: 8.2.4	檢查是否所有 AWS Secrets Manager 密鑰均已啟用輪替功能 即時掃描：否
Sns Encrypted Kms API 中的類別名稱：SNS_ENCRYPTED_KMS	發現項目的說明： 檢查 SNS 主題是否使用 AWS KMS 進行靜態資料加密。如果 SNS 主題未使用 KMS 金鑰進行伺服器端加密 (SSE)，則控管機制會失敗。 將靜態資料加密，可降低未經 AWS 驗證的使用者存取磁碟資料的風險。此外，這項功能也會新增另一組存取控管機制，限制未經授權的使用者存取資料。舉例來說，必須具備 API 權限才能解密資料，然後讀取資料。應為 SNS 主題設定靜態資料加密機制，多添一層安全保障。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-7(6)	檢查是否所有 SNS 主題均以 KMS 加密 即時掃描：否
Vpc Default Security Group Closed API 中的類別名稱：VPC_DEFAULT_SECURITY_GROUP_CLOSED	發現項目的說明： 這項控制項會檢查虛擬私有雲的預設安全性群組是否允許傳入或傳出流量。如果安全性群組允許傳入或傳出流量，則控管機制失敗。 預設安全性群組的規則允許來自網路介面 (及其相關聯執行個體) 的所有傳出和傳入流量，這些介面和執行個體會指派給同一個安全性群組。建議您不要使用預設安全性群組。由於預設安全性群組無法刪除，因此您應變更預設安全性群組規則設定，限制傳入和傳出流量。如果意外為 EC2 執行個體等資源設定預設安全性群組，這項措施可防止非預期的流量。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2 CIS AWS Foundation 3.0.0: 4.14	確保各個虛擬私有雲的預設安全性群組會限制所有流量 即時掃描：否
Vpc Flow Logging Enabled All Vpcs API 中的類別名稱：VPC_FLOW_LOGGING_ENABLED_ALL_VPCS	發現項目的說明： 虛擬私有雲流量記錄功能可擷取 IP 流量資訊，呈現虛擬私有雲網路介面往來流量的概況。建立流程記錄後，您可以在 Amazon CloudWatch Logs 中查看及擷取資料。建議您為虛擬私有雲啟用虛擬私有雲流量記錄，記錄「拒絕」的封包。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-4, SI-7(8) PCI-DSS v3.2.1: 10.3.1 ISO-27001 v2022: A.8.15, A.8.16 Cloud Controls Matrix 4: IVS-03 NIST Cybersecurity Framework 1.0: DE-CM-1 SOC2 v2017: CC7.2.1, CC7.2.2, CC7.2.3, CC7.2.4 CIS AWS Foundation 2.0.0: 3.9 CIS AWS Foundation 3.0.0: 3.7 CIS Controls 8.0: 13.6, 8.2	確保所有虛擬私有雲已啟用虛擬私有雲流量記錄功能 即時掃描：否
Vpc Sg Open Only To Authorized Ports API 中的類別名稱：VPC_SG_OPEN_ONLY_TO_AUTHORIZED_PORTS	發現項目的說明： 這項控制項會檢查 Amazon EC2 安全性群組是否允許未經授權的通訊埠傳入流量，控管機制狀態的判定方式如下： 如果使用 authorizedTcpPorts 的預設值，且安全性群組允許來自通訊埠 80 和 443 以外任何通訊埠的不受限傳入流量，則控管機制會失敗。 如果您為 authorizedTcpPorts 或 authorizedUdpPorts 提供自訂值，且安全性群組允許來自任何未列出通訊埠的不受限傳入流量，則控管機制會失敗。 如未指定參數，則任何具有不受限傳入流量規則的安全群組，都無法通過控管機制。 安全性群組會對 AWS 的輸入和輸出網路流量進行有狀態篩選。安全性群組規則應遵循最小權限存取原則。如果存取權不受限制 (IP 位址後置字串為 /0)，駭客攻擊、阻斷服務攻擊和資料遺失等惡意活動的發生機率就會增加。除非明確允許，否則通訊埠應拒絕不受限制的存取。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SC-7 PCI-DSS v3.2.1: 2.2.2	檢查所有虛擬私有雲中有 0.0.0.0/0 的安全性群組，確認是否僅允許特定的傳入 TCP/UDP 流量 即時掃描：否
Both VPC VPN Tunnels Up API 中的類別名稱：VPC_VPN_2_TUNNELS_UP	發現項目的說明： VPN 通道是已加密連結，資料可透過 AWS 站對站 VPN 連線，從客戶網路傳輸至 AWS，或從 AWS 傳輸至客戶網路。每個 VPN 連線都包含兩個 VPN 通道，可同時使用以確保高可用性。確保 VPN 連線的兩個 VPN 通道都正常運作，對於確認 AWS 虛擬私有雲與遠端網路之間的安全且高可用性連線至關重要。 這項控管機制會確認 AWS 站對站 VPN 提供的兩個 VPN 通道都處於運作中狀態。如果一或兩個通道處於「DOWN」狀態，則控管機制失敗。 定價方案：Enterprise 修正這項發現項目 Security Command Center 會將這項偵測工具對應至下列法規遵循標準： NIST 800-53 R5: SI-13(5)	確認 AWS Site-to-Site 提供的兩個 AWS VPN 通道都處於運作中狀態 即時掃描：否

AI Protection 中的 AI Discovery 服務發現項目

Standard、Premium 和 Enterprise (已淘汰) 服務級別

AI Discovery 服務是 AI Protection 中的偵測服務，可找出 Google Cloud 環境中與 AI 應用程式相關的元件和風險。

發現項目	摘要
Gemini model detected API 中的類別名稱：GEMINI_MODEL_DETECTED 先前的名稱：VERTEX_AI_MODEL_DETECTED 發現項目類別：觀察項目	發現項目說明：在 Gemini Enterprise Agent Platform 偵測到基礎模型，且該模型受 Model Armor 保護。 定價級別：Premium
Gemini model not protected by Model Armor API 中的類別名稱：GEMINI_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR 先前的名稱：VERTEX_AI_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR 發現項目類別：安全漏洞	發現項目說明：在 Gemini Enterprise Agent Platform 偵測到的 Gemini 基礎模型未受 Model Armor 保護。 定價級別：Premium 修正這個發現項目： 如要修正這項發現項目，請為偵測到的模型設定 Model Armor。詳情請參閱「建立及管理範本」。
Tuned model detected API 中的類別名稱：TUNED_MODEL_DETECTED 先前的名稱：VERTEX_1P_TUNED_MODEL_DETECTED 發現項目類別：觀察項目	發現項目說明：在 Gemini Enterprise Agent Platform 偵測到經過調整的基礎模型，且該模型受 Model Armor 保護。 定價級別：Premium
Tuned model not protected by Model Armor API 中的類別名稱：TUNED_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR 先前的名稱：VERTEX_1P_TUNED_MODEL_NOT_PROTECTED_BY_MODEL_ARMOR 發現項目類別：安全漏洞	發現項目說明：在 Gemini Enterprise Agent Platform 偵測到的調整模型未受 Model Armor 保護。 定價級別：Premium 修正這個發現項目： 如要修正這項發現項目，請為偵測到的模型設定 Model Armor。詳情請參閱「建立及管理範本」。

在 Google Cloud 控制台中查看發現項目

1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

   前往「發現項目」

2. 選取 Google Cloud 專案或組織。
3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「AI Discovery Service」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

Web Security Scanner 發現項目

Standard-legacy、Premium 和 Enterprise (已淘汰) 服務級別

Web Security Scanner 的自訂和代管掃描會找出下列發現項目類型。

Web Security Scanner 自訂和代管掃描作業會找出下列發現項目類型。在 Standard-legacy 級別中，如果已部署的應用程式使用不受防火牆保護的公開網址和 IP，Web Security Scanner 即可在這類應用程式中執行自訂掃描。

類別	發現項目的說明	發現項目類別	OWASP 2017 前 10 大安全漏洞	OWASP 2021 前 10 大安全漏洞
Accessible Git repository API 中的類別名稱：ACCESSIBLE_GIT_REPOSITORY	Git 存放區對外公開。如要解決這項發現項目，請移除 Git 存放區的非預期公開存取權。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A5	A01
Accessible SVN repository API 中的類別名稱：ACCESSIBLE_SVN_REPOSITORY	SVN 存放區對外公開。如要解決這項發現項目，請移除 SVN 存放區的非預期公開存取權。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A5	A01
Accessible ENV File API 中的類別名稱：ACCESSIBLE_ENV_FILE	ENV 檔案已公開。如要解決這項發現項目，請移除 ENV 檔案的公開非預期存取權。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A5	A01
Cacheable password input API 中的類別名稱：CACHEABLE_PASSWORD_INPUT	在網頁應用程式中輸入的密碼可能會快取在一般瀏覽器快取中，而非安全的密碼儲存空間。 定價級別：Premium 修正這項發現項目	安全漏洞	A3	A04
Clear text password API 中的類別名稱：CLEAR_TEXT_PASSWORD	密碼是以純文字格式傳輸，可能會遭到攔截。如要解決這項發現項目，請將透過網路傳輸的密碼加密。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A3	A02
Insecure allow origin ends with validation API 中的類別名稱：INSECURE_ALLOW_ORIGIN_ENDS_WITH_VALIDATION	跨網站 HTTP 或 HTTPS 端點只會驗證 Origin 要求標頭的後置字串，然後將其反映在 Access-Control-Allow-Origin 回應標頭中。如要解決這項發現項目，請先驗證預期的根網域是否為 Origin 標頭值的一部分，再將其反映在 Access-Control-Allow-Origin 回應標頭中。如果是子網域萬用字元，請在根網域前面加上點號，例如 .endsWith(".google.com")。 定價級別：Premium 修正這項發現項目	安全漏洞	A5	A01
Insecure allow origin starts with validation API 中的類別名稱：INSECURE_ALLOW_ORIGIN_STARTS_WITH_VALIDATION	跨網站 HTTP 或 HTTPS 端點只會驗證 Origin 要求標頭的前置字元，然後將其反映在 Access-Control-Allow-Origin 回應標頭中。如要解決這項發現項目，請先驗證預期網域與 Origin 標頭值完全相符，再將其反映在 Access-Control-Allow-Origin 回應標頭中，例如 .equals(".google.com")。 定價級別：Premium 修正這項發現項目	安全漏洞	A5	A01
Invalid content type API 中的類別名稱：INVALID_CONTENT_TYPE	載入的資源與回應的 Content-Type HTTP 標頭不符。如要解決這項發現項目，請以正確的值設定 X-Content-Type-Options HTTP 標頭。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A6	A05
Invalid header API 中的類別名稱：INVALID_HEADER	安全性標頭有語法錯誤，瀏覽器會忽略。如要解決這項發現項目，請正確設定 HTTP 安全性標頭。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A6	A05
Mismatching security header values API 中的類別名稱：MISMATCHING_SECURITY_HEADER_VALUES	安全性標頭含有重複且不相符的值，導致未定義的行為。 如要解決這項發現項目，請正確設定 HTTP 安全性標頭。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A6	A05
Misspelled security header name API 中的類別名稱：MISSPELLED_SECURITY_HEADER_NAME	安全性標頭拼字有誤，因此遭到忽略。如要解決這項發現項目，請正確設定 HTTP 安全性標頭。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A6	A05
Mixed content API 中的類別名稱：MIXED_CONTENT	HTTPS 網頁上的資源是透過 HTTP 提供。如要解決這項發現項目，請確認所有資源都是透過 HTTPS 提供。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A6	A05
Outdated library API 中的類別名稱：OUTDATED_LIBRARY	偵測到含有已知安全漏洞的程式庫。如要解決這項發現項目，請將程式庫升級至較新版本。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A9	A06
Server side request forgery API 中的類別名稱：SERVER_SIDE_REQUEST_FORGERY	偵測到伺服器端偽造要求 (SSRF) 安全漏洞。如要解決這項發現項目，請使用許可清單，限制網頁應用程式可向哪些網域和 IP 位址提出要求。 定價級別：進階或標準 修正這項發現項目	安全漏洞	不適用	A10
Session ID leak API 中的類別名稱：SESSION_ID_LEAK	提出跨網域要求時，網頁應用程式會在 Referer 要求標頭中加入使用者的工作階段 ID。這項安全漏洞會讓接收網域存取工作階段 ID，進而冒用或明確識別使用者。 定價級別：Premium 修正這項發現項目	安全漏洞	A2	A07
SQL injection API 中的類別名稱：SQL_INJECTION	偵測到潛在的 SQL 注入安全漏洞。如要解決這項發現項目，請使用參數化查詢，避免使用者輸入內容影響 SQL 查詢的結構。 定價級別：Premium 修正這項發現項目	安全漏洞	A1	A03
Struts insecure deserialization API 中的類別名稱：STRUTS_INSECURE_DESERIALIZATION	偵測到使用容易遭受攻擊的 Apache Struts 版本。如要解決這項發現項目，請將 Apache Struts 升級至最新版本。 定價級別：Premium 修正這項發現項目	安全漏洞	A8	A08
XSS API 中的類別名稱：XSS	這個網頁應用程式中的某個欄位容易受到跨網站指令碼攻擊 (XSS)。如要解決這項發現項目，請驗證及排除不受信任使用者提供的資料。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A7	A03
XSS angular callback API 中的類別名稱：XSS_ANGULAR_CALLBACK	使用者提供的字串未逸出，AngularJS 可以插補該字串。如要解決這項發現項目，請驗證及排除不受信任使用者提供並以 Angular 架構處理的資料。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A7	A03
XSS error API 中的類別名稱：XSS_ERROR	這個網頁應用程式中的某個欄位容易遭受跨網站指令碼攻擊。如要解決這項發現項目，請驗證及排除不受信任使用者提供的資料。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A7	A03
XXE reflected file leakage API 中的類別名稱：XXE_REFLECTED_FILE_LEAKAGE	偵測到 XML 外部實體 (XXE) 安全漏洞。這項安全漏洞可能會導致網頁應用程式洩漏主機上的檔案。如要解決這項發現項目，請將 XML 剖析器設為不允許外部實體。 定價級別：Premium 修正這項發現項目	安全漏洞	A4	A05
Prototype pollution API 中的類別名稱：PROTOTYPE_POLLUTION	應用程式容易遭受原型污染攻擊。如果 Object.prototype 物件的屬性可指派攻擊者控制的值，就會出現這個安全漏洞。系統一律會假定植入這些原型的值會轉化為跨網站指令碼攻擊，或是類似的用戶端安全漏洞和邏輯錯誤。 定價級別：進階或標準 修正這項發現項目	安全漏洞	A1	A03
Hsts Misconfiguration API 中的類別名稱：HSTS_MISCONFIGURATION	偵測到 HTTP 嚴格傳輸安全性 (HSTS) 標頭設定錯誤。如要大幅降低 HTTP 連線降級和竊聽攻擊的風險，請解決 HSTS 標頭設定錯誤的問題。HSTS 標頭會強制連線透過加密通道 (TLS) 進行，因此純文字 HTTP 連線會失敗。進一步瞭解 HSTS 標頭 定價級別：Premium 修正這項發現項目	設定錯誤	不適用	不適用
Content Security Policy Header Missing API 中的類別名稱：CSP_MISSING	偵測到缺少內容安全政策 (CSP) HTTP 回應標頭。CSP 標頭會防止載入不受信任的指令碼或外掛程式，藉此降低常見網頁安全漏洞遭利用的風險，尤其是跨網站指令碼攻擊 (XSS)。建議使用嚴格的 CSP 標頭。進一步瞭解 CSP 標頭 定價級別：Premium 修正這項發現項目	設定錯誤	不適用	不適用
Content Security Policy Header Misconfigured API 中的類別名稱：CSP_MISCONFIGURATION	偵測到內容安全政策 (CSP) HTTP 回應標頭設定錯誤。CSP 標頭可防止載入不受信任的指令碼或外掛程式，降低常見網路安全漏洞 (尤其是跨網站指令碼 XSS) 遭到利用的風險。建議使用嚴格的 CSP 標頭。進一步瞭解 CSP 標頭 定價級別：Premium 修正這項發現項目	設定錯誤	不適用	不適用
Cross-Origin-Opener-Policy Header Missing API 中的類別名稱：COOP_MISSING	偵測到缺少跨來源開啟者政策 (COOP) HTTP 標頭。COOP 是一種網路安全機制，可限制在新視窗中開啟的網頁存取原始網頁的屬性。COOP 可提供強大的防護機制，防範常見的網路攻擊。 定價級別：Premium 修正這項發現項目	設定錯誤	不適用	不適用
Clickjacking Protection Missing API 中的類別名稱：CLICKJACKING_PROTECTION_MISSING	偵測到缺少回應標頭。如要防範點擊劫持，請導入 HTTP 回應標頭，例如 X-Frame-Option (XFO) 或 Content-Security-Policy (CSP)。點擊劫持 (又稱 UI 偽裝) 是一種網路攻擊，攻擊者會修改目標網站的介面，讓受害者在不知情的情況下採取重要動作。建議導入 HTTP 回應標頭：XFO 標頭容易使用，CSP 標頭則提供更多彈性。 - 進一步瞭解 XFO 標頭 - 進一步瞭解 CSP 標頭 定價級別：Premium 修正這項發現項目	設定錯誤	不適用	不適用

Notebook Security Scanner 發現項目

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

Premium 和 Enterprise (已淘汰) 服務級別

Notebook Security Scanner 會偵測 Colab Enterprise 筆記本中使用的 Python 套件相關安全漏洞，並發布至「Package vulnerability」(套件安全漏洞) 類別。

套件安全漏洞發現項目會顯示已知安全漏洞的套件版本詳細資料。特定版本的 Python 套件可能有多個套件安全漏洞發現項目，每個項目都對應到不同的已知安全漏洞。

如要解決套件安全漏洞發現項目，請按照發現項目「Next steps」(後續步驟) 專區的建議，使用其他版本的套件。

詳情請參閱「啟用及使用 Notebook Security Scanner」。

IAM 建議工具發現項目

Standard-legacy、Standard、Premium 和 Enterprise (已淘汰) 服務級別

下表列出 IAM 建議工具產生的 Security Command Center 發現項目。

每項 IAM 建議工具發現項目都包含特定建議，可移除或替換Google Cloud 環境中主體具備過多權限的角色。

IAM 建議工具產生的發現項目，會對應到受影響專案、資料夾或組織的 Google Cloud 控制台「IAM」頁面中顯示的建議。

如要進一步瞭解 IAM 建議工具與 Security Command Center 的整合，請參閱「安全性來源」。

偵測工具	摘要
IAM role has excessive permissions API 中的類別名稱：IAM_ROLE_HAS_EXCESSIVE_PERMISSIONS	發現項目說明：IAM 建議工具偵測到服務帳戶有一或多個 IAM 角色，對使用者帳戶授予過多權限。 定價級別：Premium 支援的素材資源： google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization 修正這項發現項目 ： 請按照下列步驟，使用 IAM 推薦工具套用這項發現項目的建議修正： 在 Google Cloud 控制台的發現項目詳細資料中，前往「後續步驟」部分，複製「IAM」頁面的網址，然後貼到瀏覽器網址列並按下 Enter 鍵。「IAM」頁面隨即載入。 在「IAM」頁面頂端右側附近，按一下「在表格中查看建議」。建議會顯示在表格中。 在「Security insights」(安全性深入分析資訊) 欄中，按一下與超額權限相關的任何建議。建議詳細資料面板隨即開啟。 查看最佳化建議，瞭解可採取哪些行動來解決問題。 按一下「套用」。 問題修正後，IAM 建議工具會在 10 天內將發現項目的狀態更新為「INACTIVE」。
Service agent role replaced with basic role API 中的類別名稱：SERVICE_AGENT_ROLE_REPLACED_WITH_BASIC_ROLE	發現項目說明：IAM 推薦工具偵測到，服務代理原始預設的 IAM 角色已替換為下列其中一個基本 IAM 角色：擁有者、編輯者或檢視者。基本角色是權限過於寬鬆的舊版角色，不應授予服務代理。 定價級別：Premium 支援的素材資源： google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization 修正這項發現項目 ： 請按照下列步驟，使用 IAM 推薦工具套用這項發現項目的建議修正： 在 Google Cloud 控制台的發現項目詳細資料中，前往「Next steps」(後續步驟) 部分，複製「IAM」頁面的網址並貼到瀏覽器網址列，然後按下 Enter 鍵。「IAM」頁面隨即載入。 在「IAM」頁面頂端右側附近，按一下「在表格中查看建議」。建議會顯示在表格中。 在「Security insights」(安全性深入分析) 欄中，按一下與超額權限相關的任何權限。建議詳細資料面板隨即開啟。 查看超額權限。 按一下「套用」。 問題修正後，IAM 建議工具會在 10 天內將發現項目的狀態更新為「INACTIVE」。
Service agent granted basic role API 中的類別名稱：SERVICE_AGENT_GRANTED_BASIC_ROLE	發現項目說明：IAM 推薦工具偵測到服務代理獲派下列其中一個基本 IAM 角色：擁有者、編輯者或檢視者。基本角色是權限過高的舊版角色，不應授予服務代理。 定價級別：Premium 支援的素材資源： google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization 修正這項發現項目 ： 請按照下列步驟，使用 IAM 推薦工具套用這項發現項目的建議修正： 在 Google Cloud 控制台的發現項目詳細資料中，前往「Next steps」(後續步驟) 部分，複製「IAM」頁面的網址並貼到瀏覽器網址列，然後按下 Enter 鍵。「IAM」頁面隨即載入。 在「IAM」頁面頂端右側附近，按一下「在表格中查看建議」。建議會顯示在表格中。 在「Security insights」(安全性深入分析) 欄中，按一下與超額權限相關的任何權限。建議詳細資料面板隨即開啟。 查看超額權限。 按一下「套用」。 問題修正後，IAM 建議工具會在 10 天內將發現項目的狀態更新為「INACTIVE」。
Unused IAM role API 中的類別名稱：UNUSED_IAM_ROLE	發現項目說明：IAM 建議工具偵測到使用者帳戶有過去 90 天內未使用的 IAM 角色。 定價級別：Premium 支援的素材資源： google.cloud.resourcemanager.Project google.cloud.resourcemanager.Folder google.cloud.resourcemanager.Organization 修正這項發現項目 ： 請按照下列步驟，使用 IAM 推薦工具套用這項發現項目的建議修正： 在 Google Cloud 控制台的發現項目詳細資料中，前往「Next steps」(後續步驟) 部分，複製「IAM」頁面的網址並貼到瀏覽器網址列，然後按下 Enter 鍵。「IAM」頁面隨即載入。 在「IAM」頁面頂端右側附近，按一下「在表格中查看建議」。建議會顯示在表格中。 在「Security insights」(安全性深入分析) 欄中，按一下與超額權限相關的任何權限。建議詳細資料面板隨即開啟。 查看超額權限。 按一下「套用」。 問題修正後，IAM 建議工具會在 10 天內將發現項目的狀態更新為「INACTIVE」。

CIEM 發現項目

Enterprise (已淘汰) 服務級別

下表列出 Cloud Infrastructure Entitlement Management (CIEM) 針對 AWS 和 Microsoft Azure 生成的 Security Command Center 身分和存取權發現項目。如要查看 Cloud Infrastructure Entitlement Management (CIEM) 為 Google Cloud產生的發現項目，請參閱「IAM 推薦工具發現項目」。

CIEM 發現項目包含具體建議，可移除或取代 AWS 和 Microsoft Azure 環境中，與假設身分、使用者或群組相關聯、權限過高的身分與存取權管理 (通常稱為 IAM) 政策。

如要進一步瞭解 CIEM，請參閱「Cloud Infrastructure Entitlement Management 總覽」。

偵測工具	摘要
Assumed identity has excessive permissions API 中的類別名稱：ASSUMED_IDENTITY_HAS_EXCESSIVE_PERMISSIONS	發現項目說明：在 AWS 或 Microsoft Azure 環境中，CIEM 偵測到假定的 IAM 角色具有高度寬鬆的政策，違反最小權限原則，並增加安全風險。這項發現是根據過去 83 到 90 天內的最新用量記錄。 定價方案：Enterprise 修正這項發現項目 ： 視發現項目而定，使用 AWS 或 Microsoft Azure 工具執行下列其中一項修復工作： 移除過於寬鬆的政策。 建立新政策，為使用者、群組或角色授予最低必要權限。 接著，將新政策附加至使用者、群組或角色，並移除權限過高的政策。 請參閱發現項目的詳細資料，瞭解具體修復步驟。
Group has excessive permissions API 中的類別名稱：GROUP_HAS_EXCESSIVE_PERMISSIONS	發現項目說明：CIEM 在您的 AWS 或 Microsoft Azure 環境中，偵測到一個群組具有一或多項高權限政策，違反最小權限原則，並增加安全風險。這項發現是根據過去 83 到 90 天內的最新用量記錄。 定價方案：Enterprise 修正這項發現項目 ： 視發現項目而定，使用 AWS 或 Microsoft Azure 工具執行下列其中一項修復工作： 移除過於寬鬆的政策。 建立新政策，為使用者、群組或角色授予最低必要權限。 接著，將新政策附加至使用者、群組或角色，並移除權限過高的政策。 請參閱發現項目的詳細資料，瞭解具體修復步驟。
User has excessive permissions API 中的類別名稱：USER_HAS_EXCESSIVE_PERMISSIONS	發現項目說明：在 AWS 或 Microsoft Azure 環境中，CIEM 偵測到使用者擁有一或多項權限過高的政策，違反最小權限原則，並增加安全風險。這項發現是根據過去 83 到 90 天內的最新使用記錄。 定價方案：Enterprise 修正這項發現項目 ： 視發現項目而定，使用 AWS 或 Microsoft Azure 工具執行下列其中一項修復工作： 移除過於寬鬆的政策。 建立新政策，為使用者、群組或角色授予最低必要權限。 接著，將新政策附加至使用者、群組或角色，並移除權限過高的政策。 請參閱發現項目的詳細資料，瞭解具體修復步驟。
User is inactive API 中的類別名稱：INACTIVE_USER	發現項目說明：在 AWS 或 Microsoft Azure 環境中，CIEM 偵測到閒置使用者具備一或多項權限。這違反了最小權限原則，並會增加安全性風險。這項發現是根據過去 83 到 90 天內的最新用量記錄。 定價方案：Enterprise 修正這項發現項目 ： 根據發現項目，執行下列其中一項修復工作： 使用 AWS 或 Microsoft Azure 工具，移除使用者擁有的權限。 如果您確定不再需要該身分，請刪除使用者。 請參閱發現項目的詳細資料，瞭解具體修復步驟。
Group is inactive API 中的類別名稱：INACTIVE_GROUP	發現項目說明：在 AWS 或 Microsoft Azure 環境中，CIEM 偵測到閒置群組擁有一或多項權限。這違反了最小權限原則，並會提高安全風險。這項發現是根據過去 83 到 90 天內的最新用量記錄。 定價方案：Enterprise 修正這項發現項目 ： 根據發現項目，執行下列其中一項修復工作： 使用 AWS 或 Microsoft Azure 工具，移除附加至群組的政策。 如果您確定不再需要這些身分，請刪除群組中的部分或所有使用者。 請參閱發現項目的詳細資料，瞭解具體修復步驟。
Assumed identity is inactive API 中的類別名稱：INACTIVE_ASSUMED_IDENTITY	發現項目說明：在 AWS 或 Microsoft Azure 環境中，CIEM 偵測到一個閒置且具備一或多項權限的假定 IAM 角色。這會違反最小權限原則，並增加安全風險。這項發現是根據過去 83 到 90 天內的最新使用記錄。 定價方案：Enterprise 修正這項發現項目 ： 根據發現項目，執行下列其中一項修復工作： 使用 AWS 或 Microsoft Azure 工具，移除附加至 IAM 角色的政策。 如果您確定不再需要該假定身分，請將其刪除。 請參閱發現項目的詳細資料，瞭解具體修復步驟。
Overly permissive trust policy enforced on assumed identity API 中的類別名稱：OVERLY_PERMISSIVE_TRUST_POLICY_ENFORCED_ON_ASSUMED_IDENTITY	發現項目說明：在 AWS 或 Microsoft Azure 環境中，CIEM 偵測到 IAM 角色強制執行的信任政策權限過高，違反最小權限原則，並增加安全風險。這項發現是根據過去 83 到 90 天內的最新用量記錄。 定價方案：Enterprise 修正這個發現項目 ： 使用 AWS 或 Microsoft Azure 工具，編輯角色強制執行的信任政策權限，以遵循最小權限原則。 請參閱發現項目的詳細資料，瞭解具體修復步驟。
Assumed identity has lateral movement risk API 中的類別名稱：ASSUMED_IDENTITY_HAS_LATERAL_MOVEMENT_RISK	發現項目說明：在 AWS 或 Microsoft Azure 環境中，CIEM 偵測到一或多個身分可透過模擬橫向移動。這項發現是根據過去 83 到 90 天內的最新用量記錄。 定價方案：Enterprise 修正這項發現項目 ： 使用 AWS 或 Microsoft Azure 工具，移除附加至允許橫向移動的身分的政策。 請參閱發現項目的詳細資料，瞭解具體修復步驟。

Data Security Posture Management 發現項目

Standard、Premium 和 Enterprise (已淘汰) 服務級別 (必須在組織層級啟用)

資料安全防護機制雲端控制項，是 Data Security Posture Management (DSPM) 在雲端控制項規則遭到違反時，產生的發現項目。如要瞭解雲端控管機制，請參閱「資料安全性雲端控管機制」。

對外洩露的發現項目

Premium 和 Enterprise (已淘汰) 服務級別

外部暴露會建立 EXTERNAL_EXPOSURE 類別的發現項目，找出可從公開網際網路連上的對外 IP 位址和公開服務。

如要進一步瞭解這些發現項目，請參閱「偵測公開資源」。

這些發現項目是根據下列精細風險和暴露類別產生：

• EXTERNALLY_EXPOSED_UI：識別可公開存取的管理面板、資訊主頁或管理控制台 (例如 Jupyter Notebooks 或 Kubernetes 資訊主頁)。
• EXTERNALLY_EXPOSED_API：識別公開、未經驗證的端點 API。
• EXTERNALLY_EXPOSED_WEAK_CREDENTIALS：找出公開的通訊埠或服務，這些通訊埠或服務可透過預設或容易猜測的弱式憑證存取。
• EXTERNALLY_EXPOSED_RCE_VULNERABILITY：找出具有遠端執行程式碼 (RCE) 安全漏洞，且漏洞已主動驗證的公開端點。
• EXTERNALLY_EXPOSED_ARBITRARY_DATA_READ：找出可讓攻擊者讀取系統中任意檔案或資料的漏洞。
• EXTERNALLY_EXPOSED_VM_INSTANCE：識別具有直接公開 IP 位址，允許主機 OS 存取的 Compute Engine 或 Google Kubernetes Engine (GKE) 資源。
• EXTERNALLY_EXPOSED_SERVERLESS_WORKLOAD：識別公開的 Cloud Run 工作負載。
• EXTERNALLY_EXPOSED_DATABASE：識別可直接存取的資料庫執行個體 (例如 Cloud SQL 或 AlloyDB for PostgreSQL)。
• EXTERNALLY_EXPOSED_SERVICE_VIA_LOAD_BALANCER：識別由外部負載平衡器、nginx-ingress 或 Istio 閘道前端的後端工作負載。
• EXTERNALLY_EXPOSED_STORAGE_VIA_LOAD_BALANCER：識別直接在 Cloud Load Balancing 後方公開的 Cloud Storage 後端 bucket，略過正常的 Identity and Access Management (IAM) 授權。

資安態勢服務發現項目

Premium 和 Enterprise (已淘汰) 服務級別 (必須在組織層級啟用)

本節列出資安態勢服務產生的 Security Command Center 發現項目。

資安態勢服務會產生下列發現項目類別：

• 與已部署的安全防護機制有落差
• 資源違反已部署的資安態勢

與已部署的資安態勢有落差

下表列出資安態勢發現項目，可找出與您定義的資安態勢不符的情況。

發現項目	摘要
SHA Canned Module Drifted API 中的類別名稱：SECURITY_POSTURE_DETECTOR_DRIFT	發現項目說明：資安態勢服務偵測到安全狀態分析偵測工具發生變更，但並非由資安態勢更新造成。 定價級別：Premium 修正這項發現項目 ： 如要解決這項發現項目，您必須接受或還原變更，讓安全防護機制和環境中的偵測工具設定保持一致。您可以透過兩種方式解決這個發現項目：更新安全狀態分析偵測工具，或更新資安態勢和資安態勢部署作業。 如要還原變更，請在 Google Cloud 控制台更新安全狀態分析偵測工具。如需操作說明，請參閱「啟用及停用偵測工具」。 如要接受變更，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
SHA Custom Module Drifted API 中的類別名稱：SECURITY_POSTURE_DETECTOR_DRIFT	發現項目說明：資安態勢服務偵測到安全狀態分析自訂模組有所變更，但並非由資安態勢更新造成。 定價級別：Premium 修正這項發現項目 ： 如要解決這項發現項目，您必須接受或還原變更，讓安全防護機制和環境中的自訂模組設定保持一致。您可以透過兩種方式解決這個發現項目：更新安全狀態分析自訂模組，或更新資安態勢和資安態勢部署作業。 如要還原變更，請在 Google Cloud 控制台更新安全狀態分析自訂模組。如需操作說明，請參閱「更新自訂模組」。 如要接受變更，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
SHA Custom Module Deleted API 中的類別名稱：SECURITY_POSTURE_DETECTOR_DELETE	發現項目說明：資安態勢服務偵測到安全狀態分析自訂模組已刪除。這項刪除作業並非在安全防護機制更新期間執行。 定價級別：Premium 修正這項發現項目 ： 如要解決這項發現項目，您必須接受或還原變更，讓安全防護機制和環境中的自訂模組設定保持一致。您可以透過兩種方式解決這個發現項目：更新安全狀態分析自訂模組，或更新資安態勢和資安態勢部署作業。 如要還原變更，請在 Google Cloud 控制台更新安全狀態分析自訂模組。如需操作說明，請參閱「更新自訂模組」。 如要接受變更，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Org Policy Canned Constraint Drifted API 中的類別名稱：SECURITY_POSTURE_POLICY_DRIFT	發現項目說明：資安態勢服務偵測到組織政策有所變更，但並非由資安態勢更新作業造成。 定價級別：Premium 修正這項發現項目 ： 您必須接受或還原變更，安全防護機制和環境中的組織政策定義才會一致。您可以透過兩種方式解決這項發現項目：更新組織政策，或更新安全防護機制和安全防護機制部署作業。 如要還原變更，請在 Google Cloud 控制台更新組織政策。如需操作說明，請參閱「建立及編輯政策」。 如要接受變更，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Org Policy Canned Constraint Deleted API 中的類別名稱：SECURITY_POSTURE_POLICY_DELETE	發現項目說明：資安態勢服務偵測到組織政策遭到刪除。這項刪除作業並非在安全防護機制更新期間執行。 定價級別：Premium 修正這項發現項目 ： 您必須接受或還原變更，安全防護機制和環境中的組織政策定義才會一致。您可以透過兩種方式解決這項發現項目：更新組織政策，或更新安全防護機制和安全防護機制部署作業。 如要還原變更，請在 Google Cloud 控制台更新組織政策。如需操作說明，請參閱「建立及編輯政策」。 如要接受變更，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Org Policy Custom Constraint Drifted API 中的類別名稱：SECURITY_POSTURE_POLICY_DRIFT	發現項目說明：資安態勢服務偵測到自訂組織政策有所變更，但並非由資安態勢更新所致。 定價級別：Premium 修正這項發現項目 ： 如要解決這項發現項目，您必須接受或還原變更，讓安全防護機制和環境中的自訂組織政策定義保持一致。您可以透過兩種方式解決這項發現項目：更新自訂組織政策，或更新安全防護機制和安全防護機制部署作業。 如要還原變更，請在 Google Cloud 控制台更新自訂組織政策。如需操作說明，請參閱「更新自訂限制」。 如要接受變更，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Org Policy Custom Constraint Deleted API 中的類別名稱：SECURITY_POSTURE_POLICY_DELETE	發現項目說明：資安態勢服務偵測到自訂組織政策已刪除。這項刪除作業並非在安全防護機制更新期間執行。 定價級別：Premium 修正這項發現項目 ： 如要解決這項發現項目，您必須接受或還原變更，讓安全防護機制和環境中的自訂組織政策定義保持一致。您可以透過兩種方式解決這項發現項目：更新自訂組織政策，或更新安全防護機制和安全防護機制部署作業。 如要還原變更，請在 Google Cloud 控制台更新自訂組織政策。如需操作說明，請參閱「更新自訂限制」。 如要接受變更，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。

資源違反已部署的資安態勢

資安態勢服務和安全狀態分析會產生下列發現項目，找出違反您定義的資安態勢資源。

發現項目	摘要
Disable VPC External IPv6 API 中的類別名稱：DISABLE_VPC_EXTERNAL_IP_V6_ORG_POLICY	發現項目說明：資安態勢服務偵測到子網路已啟用外部 IPv6 位址。 定價級別：Premium 修正這項發現項目 ： 您可以透過兩種方式解決這項發現項目：刪除違規資源，或是更新並重新部署安全防護機制。 如要刪除資源，請完成下列步驟： 開啟發現項目摘要。 查看受影響的資源部分，找出違反防護機制政策的資源全名。 按一下資源全名，開啟詳細資料。 刪除資源。 如要保留資源的設定，請更新安全防護機制。如要更新安全防護機制，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Disable VPC Internal IPv6 API 中的類別名稱：DISABLE_VPC_INTERNAL_IP_V6_ORG_POLICY	發現項目說明：資安態勢服務偵測到子網路已啟用內部 IPv6 位址。 定價級別：Premium 修正這項發現項目 ： 您可以透過兩種方式解決這項發現項目：刪除違規資源，或是更新並重新部署安全防護機制。 如要刪除資源，請完成下列步驟： 開啟發現項目摘要。 查看受影響的資源部分，找出違反防護機制政策的資源全名。 按一下資源全名，開啟詳細資料。 刪除資源。 如要保留資源的設定，請更新安全防護機制。如要更新安全防護機制，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Require OS Login API 中的類別名稱：REQUIRE_OS_LOGIN_ORG_POLICY	發現項目說明：資安態勢服務偵測到 VM 執行個體已停用 OS 登入功能。 定價級別：Premium 修正這項發現項目 ： 您可以透過兩種方式解決這項發現項目：更新違規資源，或更新並重新部署防護機制。 如要更新資源，請完成下列步驟： 開啟發現項目摘要。 查看受影響的資源部分，找出違反防護機制政策的資源全名。 按一下資源全名，開啟詳細資料。 編輯資源。找到中繼資料部分，然後將鍵為 enable-oslogin 的項目變更為 TRUE。 儲存資源。 如要保留資源的設定，請更新安全防護機制。如要更新安全防護機制，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Restrict Authorized Networks API 中的類別名稱：RESTRICT_AUTHORIZED_NETWORKS_ORG_POLICY	發現項目說明：資安態勢服務偵測到已將授權網路新增至 SQL 執行個體。 定價級別：Premium 修正這項發現項目 ： 這項發現項目需要您修正違規事項或更新安全防護機制。您可以透過兩種方式解決這項發現項目：更新違規資源，或更新並重新部署防護機制。 如要更新資源，請完成下列步驟： 開啟發現項目摘要。 查看受影響的資源部分，找出違反防護機制政策的資源全名。 按一下資源全名，開啟詳細資料。 編輯資源。在「連線」部分下方找到「授權網路」部分，然後刪除所有項目。 儲存資源。 如要保留資源的設定，請更新安全防護機制。如要更新安全防護機制，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Require VPC Connector API 中的類別名稱：REQUIRE_VPC_CONNECTOR_ORG_POLICY	發現項目說明：資安態勢服務偵測到 Cloud Run 函式執行個體未啟用虛擬私有雲連接器。 定價級別：Premium 修正這項發現項目 ： 您可以透過兩種方式解決這項發現項目：更新違規資源，或更新並重新部署防護機制。 如要更新資源，請完成下列步驟： 開啟發現項目摘要。 查看受影響的資源部分，找出違反防護機制政策的資源全名。 按一下資源全名，開啟詳細資料。 點選「編輯」， 按一下「連線」分頁標籤。 找到「輸出設定」部分。在「Network」(網路) 選單中，選取適當的虛擬私有雲連接器。 點選「下一步」。 點選「Deploy」(部署)。 如要保留資源的設定，請更新安全防護機制。如要更新安全防護機制，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Disabled Serial Port Access API 中的類別名稱：DISABLED_SERIAL_PORT_ACCESS_ORG_POLICY	發現項目說明：資安態勢服務偵測到 VM 執行個體的序列埠存取權已啟用。 定價級別：Premium 修正這項發現項目 ： 您可以透過兩種方式解決這項發現項目：更新違規資源，或更新並重新部署防護機制。 如要更新資源，請完成下列步驟： 開啟發現項目摘要。 查看受影響的資源部分，找出違反防護機制政策的資源全名。 按一下資源全名，開啟詳細資料。 編輯資源。找到「遠端存取」部分，然後取消勾選「啟用序列埠連線」核取方塊。 儲存資源。 如要保留資源的設定，請更新安全防護機制。如要更新安全防護機制，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Skip Default Network Creation API 中的類別名稱：SKIP_DEFAULT_NETWORK_CREATION_ORG_POLICY	發現項目說明：資安態勢服務偵測到已建立預設網路。 定價級別：Premium 修正這項發現項目 ： 您可以透過兩種方式解決這項發現項目：刪除違規資源，或是更新並重新部署安全防護機制。 如要刪除資源，請完成下列步驟： 開啟發現項目摘要。 查看受影響的資源部分，找出違反防護機制政策的資源全名。 按一下資源全名，開啟詳細資料。 刪除資源。 如要保留資源的設定，請更新安全防護機制。如要更新安全防護機制，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Allowed Ingress API 中的類別名稱：ALLOWED_INGRESS_ORG_POLICY	發現項目說明：資安態勢服務偵測到 Cloud Run 服務不符合指定的輸入設定。 定價級別：Premium 修正這項發現項目 ： 您可以透過兩種方式解決這項發現項目：更新違規資源，或更新並重新部署防護機制。 如要更新資源，請完成下列步驟： 開啟發現項目摘要。 查看受影響的資源部分，找出違反防護機制政策的資源全名。 按一下資源全名，開啟詳細資料。 按一下 [Networking] (網路) 分頁標籤。請變更設定，使其符合允許的輸入政策。 儲存資源。 如要保留資源的設定，請更新安全防護機制。如要更新安全防護機制，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Uniform Bucket Level Access API 中的類別名稱：UNIFORM_BUCKET_LEVEL_ACCESS_ORG_POLICY	發現項目說明：資安態勢服務偵測到 bucket 層級存取權是精細而非統一。 定價級別：Premium 修正這項發現項目 ： 您可以透過兩種方式解決這項發現項目：更新違規資源，或更新並重新部署防護機制。 如要更新資源，請完成下列步驟： 開啟發現項目摘要。 查看受影響的資源部分，找出違反防護機制政策的資源全名。 按一下資源全名，開啟詳細資料。 按一下「權限」分頁標籤，在「存取控管」資訊卡中，點選「切換至統一權限」。 選取「統一」，然後儲存。 如要保留資源的設定，請更新安全防護機制。如要更新安全防護機制，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。
Allowed VPC Egress API 中的類別名稱：ALLOWED_VPC_EGRESS_ORG_POLICY	發現項目說明：資安態勢服務偵測到 Cloud Run 服務不符合指定的輸出設定。 定價級別：Premium 修正這項發現項目 ： 您可以透過兩種方式解決這項發現項目：更新違規資源，或更新並重新部署防護機制。 如要更新資源，請完成下列步驟： 開啟發現項目摘要。 查看受影響的資源部分，找出違反防護機制政策的資源全名。 按一下資源全名，開啟詳細資料。 按一下「Edit & deploy new revision」(編輯及部署新的修訂版本)，然後點選「Networking」(網路) 分頁標籤。 在「連線至虛擬私有雲，以便傳出流量」部分，變更「流量轉送」設定，使其符合允許的輸出政策。 部署資源。 如要保留資源的設定，請更新安全防護機制。如要更新安全防護機制，請完成下列步驟： 更新 posture.yaml 檔案，套用變更。 請執行 gcloud scc postures update 指令。如需操作說明，請參閱「更新安全防護機制中的政策定義」。 使用新的修訂版本 ID 部署更新後的防護機制。如需操作說明，請參閱「更新安全防護機制部署作業」。

Model Armor 發現項目

Standard-legacy、Standard、Premium 和 Enterprise (已淘汰) 服務級別

Model Armor 是全代管 Google Cloud服務，可篩選 LLM 提示詞和回覆，找出各種安全風險，提升 AI 應用程式的安全性。

下表列出 Model Armor 產生的 Security Command Center 發現項目。

發現項目	摘要
Floor settings violation API 中的類別名稱：FLOOR_SETTINGS_VIOLATION	發現項目說明：Model Armor 範本不符合資源階層底限設定定義的最低安全標準，導致違反底限設定。 發現項目類別：設定錯誤 定價級別：Premium 修正這項發現項目： 您必須更新 Model Armor 範本，使其符合資源階層中定義的底限設定。

在 Google Cloud 控制台中查看發現項目

1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

   前往「發現項目」

2. 選取 Google Cloud 專案或組織。
3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「Model Armor」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

修復 Model Armor 發現項目

FLOOR_SETTINGS_VIOLATION 發現項目表示 Model Armor 範本不符合資源階層底限設定定義的最低安全標準。

如要修復這項發現項目，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Model Armor」頁面。
2. 確認您查看的是已啟用 Model Armor 的專案。Model Armor 頁面會顯示專案建立的範本。
3. 按一下要修改的範本。
4. 根據資源階層定義的底限設定修改範本。
5. 按一下「儲存」。

VM 管理員

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

Premium 和 Enterprise (已淘汰) 服務級別 (必須在組織層級啟用)

VM 管理員是一套作業系統管理工具，適合用於 Compute Engine 中的 Windows 和 Linux 大型虛擬機器 (VM) 機群。

如果您在組織層級啟用 VM 管理員，VM 管理員 會將安全漏洞報告 (預先發布版) 的發現項目寫入 Security Command Center。報告會指出 VM 上安裝的作業系統有哪些安全漏洞，包括常見安全漏洞與弱點 (CVE)。

如要搭配專案層級啟用的 Security Command Center Premium 使用 VM 管理員，請在上層組織中啟用 Security Command Center Standard。

安全漏洞報告不適用於 Security Command Center Standard。

發現項目可簡化使用 VM 管理員 修補程式法規遵循功能 (預先發布版) 的程序。這項功能可讓您在組織層級對所有專案進行修補管理。

從 VM 管理員 收到的安全漏洞發現項目，嚴重性一律為 CRITICAL 或 HIGH。

VM 管理員發現項目

這類安全漏洞都與支援的 Compute Engine VM 中安裝的作業系統套件有關。

偵測工具	摘要	資產掃描設定
OS vulnerability API 中的類別名稱：OS_VULNERABILITY	發現項目說明：VM 管理員偵測到 Compute Engine VM 安裝的作業系統 (OS) 套件有安全漏洞。 定價級別：Premium 支援的素材資源 compute.googleapis.com/Instance 修正這項發現項目	VM Manager 的安全漏洞報告會詳細列出 Compute Engine VM 已安裝作業系統套件中的安全漏洞，包括常見安全漏洞和暴露事項 (CVE)。 如需支援的作業系統完整清單，請參閱「作業系統詳細資料」。 偵測到安全漏洞後，Security Command Center 很快就會顯示發現項目。 VM 管理員 的安全漏洞報告產生方式如下： 在 VM 的作業系統中安裝或更新套件後，您應該會在變更後的兩小時內，在 Security Command Center 中看到 VM 的常見安全漏洞與揭露事項 (CVE) 資訊。 作業系統發布新的安全性公告後，更新的 CVE 通常會在作業系統供應商發布公告後的 24 小時內提供。

在控制台中查看發現項目

1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

   前往「發現項目」

2. 選取 Google Cloud 專案或組織。
3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「VM Manager」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

修正 VM 管理員發現項目

OS_VULNERABILITY 發現項目表示 VM 管理員 在 Compute Engine VM 中，發現已安裝的作業系統套件有安全漏洞。

如要修復這項發現項目，請按照下列步驟操作：

1. 開啟 OS vulnerability 發現項目並查看其 JSON 定義。

2. 複製 externalUri 欄位的值。這個值是 Compute Engine VM 執行個體的OS 資訊頁面 URI，該執行個體安裝了有安全漏洞的作業系統。

3. 請根據「Basic info」(基本資訊) 部分顯示的 OS，套用所有適當的修補程式。如需部署修補程式的操作說明，請參閱「建立修補工作」。

瞭解這類發現項目支援的資產和掃描設定。

略過 VM 管理員 發現項目

如果某些或所有 VM 管理員 發現項目與您的安全性需求無關，您可以在 Security Command Center 中隱藏這些項目。

您可以建立忽略規則，並新增要隱藏的 VM Manager 發現項目專屬查詢屬性，藉此隱藏 VM Manager 發現項目。

如要進一步瞭解如何建立忽略規則，請參閱「建立忽略規則」。

舉例來說，如要隱藏 VM 管理員 安全漏洞發現項目中的特定 CVE ID，請依序選取「Vulnerability」(安全漏洞) >「CVE ID」，然後選取要隱藏的 CVE ID。

忽略規則的「Findings query」(發現項目查詢) 欄位應如下所示：

parent_display_name="VM Manager"
AND vulnerability.cve.id="CVE-2025-26923" OR vulnerability.cve.id="CVE-2025-27635"

Agent Platform 安全漏洞評估發現項目

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

Premium 和 Enterprise (已淘汰) 服務級別

安全漏洞偵測

Agent Platform Vulnerability Assessment 可找出透過 Gemini Enterprise Agent Platform 部署的代理工作負載中，有哪些軟體安全漏洞 (CVE)。

發現項目的類別為 VULNERABILITY，嚴重性為 HIGH 或 CRITICAL。

如要解決發現項目，請更新代理程式的需求條件或自訂容器定義，使用「Fixed package」(已修正套件) 欄位中指定的安全套件版本。

Secret 偵測

Agent Platform 安全漏洞評估服務會持續自動掃描客戶部署的 Agent Platform 映像檔，找出明文 Secret，並在 Security Command Center 產生發現項目。

每項發現項目都會指出 Agent Platform URI、映像檔存放區、密鑰類型和路徑。

發現項目的類別為 SECRET，嚴重程度為 CRITICAL。

發現項目參考資料

偵測工具	摘要
Software vulnerability API 中的類別名稱：SOFTWARE_VULNERABILITY 課程：VULNERABILITY 嚴重性：CRITICAL 或 HIGH	發現項目說明：在透過 Agent Platform 部署的代理工作負載中，偵測到軟體安全漏洞 (CVE)。這項掃描工具會自動評估作業執行個體中的自訂程式碼和依附元件。 定價級別：Premium 或 Enterprise 修正這項發現項目 ： 查看發現項目詳細資料，找出受影響的套件和版本。如要解決這個問題，請更新代理的需求條件或自訂容器定義，改用安全的套件版本，然後重新部署 Agent Platform 執行個體。 重新部署 Agent Platform 執行個體會觸發新的掃描作業。如果新的部署作業中沒有安全漏洞，系統會將發現項目標示為「INACTIVE」。
Secrets in Agent Platform API 中的類別名稱：SECRETS_IN_AGENT_ENGINE 課程：SECRET 嚴重程度：CRITICAL	發現項目說明：在路徑 <PATH> 的映像檔層中，找到 <TYPE> 類型的明文憑證。 定價級別：Premium 或 Enterprise 修正這項發現項目 ： 調查發現項目，確認密鑰的詳細資料，然後撤銷或輪替外洩的憑證。 請從用於建構映像檔的 Dockerfile、原始碼或設定檔中，移除明文 Secret。 導入安全的密鑰管理解決方案 (例如 Secret Manager)，在執行階段安全地儲存及存取密鑰。 使用修正後的映像檔，重新建構及重新部署 Agent Platform 執行個體。 重新部署 Agent Platform 容器映像檔會觸發新的掃描作業。如果新的部署作業中沒有該密鑰，系統會將發現項目標示為 INACTIVE。

詳情請參閱「設定 AI Protection」。

Artifact Registry 安全漏洞評估發現項目

Standard-legacy、Standard、Premium 和 Enterprise (已淘汰) 服務級別 (必須在組織層級啟用)

下表列出發現項目，提醒您容器映像檔中偵測到的潛在安全漏洞。只有在容器映像檔含有安全漏洞、儲存在 Artifact Registry，且部署至下列其中一項資產時，系統才會產生這些發現項目：

• Google Kubernetes Engine 叢集
• Cloud Run 服務
• Cloud Run 工作
• App Engine

這些發現項目會歸類為HIGH或CRITICAL嚴重程度。

如要瞭解如何在 Google Cloud 控制台啟用、停用及查看 Artifact Registry 安全漏洞評估發現項目，請參閱「Artifact Registry 安全漏洞評估偵測服務」。

偵測工具

摘要

Container image vulnerability API 中的類別名稱：CONTAINER_IMAGE_VULNERABILITY

發現項目說明：在 Artifact Registry 中掃描的容器映像檔中偵測到安全漏洞。這張圖片已部署至下列其中一項資產： Google Kubernetes Engine 叢集 Cloud Run 服務 Cloud Run 工作 App Engine 定價級別：Standard、Premium 或 Enterprise 修正這項發現項目 ： 視資源類型而定，執行下列操作： 如果是 Cloud Run 工作或執行作業，請使用固定的映像檔版本更新工作設定。如果 12 小時內未執行含有安全漏洞映像檔版本的 Cloud Run 工作，系統就會判定發現項目已解決。 如果是 Cloud Run 服務或修訂版本，請將流量分配給以固定映像檔版本部署的其他修訂版本。請確認流量未分配給含有安全漏洞映像檔的修訂版本。 如果是 Google Kubernetes Engine 或 App Engine 資產，請升級或刪除容器映像檔版本。 如要解決發現項目，您可以移除執行階段關聯，或是在 Artifact Registry 中移除有安全漏洞的映像檔版本。 請參閱發現項目的詳細資料，根據適當的執行階段資源，採取特定的修復步驟。 Standard-舊版方案客戶無法使用 Cloud Asset Inventory 的資產查詢功能，判斷有安全漏洞的容器映像檔部署位置。建議您升級至 Premium 或 Enterprise 級別，取得更詳細的資訊。

Google Cloud 發現項目的安全漏洞評估

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

Standard、Premium 和 Enterprise (已淘汰) 服務級別

Google Cloud 的安全漏洞評估功能可協助您找出 Google Cloud 資源中的軟體套件安全漏洞和安全風險，無須安裝代理程式。掃描的資源類型取決於 Security Command Center 服務級別，包括：

• 執行中的 Compute Engine VM 執行個體
• GKE Standard 叢集中的節點
• 在 GKE Standard 和 GKE Autopilot 叢集中執行的容器
• 在 Cloud Run 服務中執行的容器、運作中的修訂版本、已執行的工作，以及 worker 集區 (預先發布版)

Compute Engine 和 Google Kubernetes Engine 安全漏洞偵測

針對 Compute Engine VM 執行個體和 GKE 叢集， Google Cloud 的安全漏洞評估功能會執行下列操作，以無代理程式的方式掃描磁碟：

1. 複製永久磁碟。
2. 在相同區域的安全 VM 執行個體中執行複製項目
3. 使用 SCALIBR 掃描複製項目。

為避免增加費用，VM 執行個體複製作業會在 Google 擁有的專案中建立。

發現項目具有 VULNERABILITY 類別，並顯示在下列類別中：

• OS vulnerability：找出安裝在 Compute Engine VM 和 GKE 節點上的作業系統套件安全漏洞。
• Software vulnerability：找出已安裝軟體套件和應用程式依附元件中的安全漏洞。

每項發現項目都包含下列資訊：

• 含有安全漏洞的軟體套件、套件位置，以及相關聯的 CVE 記錄詳細資料
• Security Command Center 對安全漏洞嚴重程度的評估結果 (CRITICAL 或 HIGH)
• 受影響 Compute Engine VM 執行個體、GKE 叢集或工作負載的完整資源名稱 (例如 Deployment、DaemonSet、StatefulSet、Job 或 Pod)
• Premium 和 Enterprise 服務級別，則會加入 Mandiant CVE 評估資訊和遭受攻擊的風險分數

如要修復發現項目，請套用可用的 OS 或軟體修補程式、更新套件依附元件，或部署更新後的容器映像檔。

發現項目參考資料

偵測工具	摘要
OS vulnerability API 中的類別名稱：OS_VULNERABILITY 課程：VULNERABILITY 嚴重性：CRITICAL 或 HIGH	發現項目說明：在執行中的 Compute Engine VM 執行個體或 GKE Standard 節點上，偵測到已指派常見安全漏洞與資料外洩風險 (CVE) 的作業系統套件安全漏洞。 定價級別：Standard、Premium 或 Enterprise 支援的素材資源： compute.googleapis.com/Instance container.googleapis.com/Cluster 修正這項發現項目 ： 查看發現項目詳細資料，找出受影響的資源、作業系統套件，以及建議的修補程式或版本升級。如要解決發現項目，請根據受影響的資源，執行下列其中一項操作： 如果是 Compute Engine VM 執行個體，請套用可用的作業系統修補程式，或將有安全漏洞的套件更新至修正版本。 如果是 GKE 節點，請將節點集區或節點映像檔升級至包含已修補作業系統套件的版本。 套用修正後，如果 Google Cloud 的 安全漏洞評估 在有效狀態期間 (進階和企業版為 72 小時，標準版為 195 小時) 內，後續掃描未偵測到安全漏洞，發現項目就會轉換為INACTIVE。
Software vulnerability API 中的類別名稱：SOFTWARE_VULNERABILITY 課程：VULNERABILITY 嚴重性：CRITICAL 或 HIGH	發現項目說明：在執行中的 Compute Engine VM 執行個體、GKE Standard 節點，或在 GKE Standard 或 Autopilot 叢集執行的容器中，偵測到已安裝的軟體套件或應用程式依附元件，存在已指派常見安全漏洞與揭露事項 (CVE) 的軟體套件安全漏洞。 定價級別：Standard、Premium 或 Enterprise 支援的素材資源： compute.googleapis.com/Instance container.googleapis.com/Cluster 修正這項發現項目 ： 查看發現項目詳細資料，找出受影響的資源、軟體套件、套件位置和修正版本。如要解決發現項目，請根據受影響的資源，執行下列其中一項操作： 如果是 Compute Engine VM 執行個體，請將受影響的軟體套件或應用程式依附元件更新至修正版本。 如果是 GKE 工作負載，請將應用程式依附元件或基礎容器映像檔更新至修正版本、重新建構映像檔，然後重新部署工作負載。 套用修正後，如果 Google Cloud 的 安全漏洞評估 在有效狀態期間 (進階和企業版為 72 小時，標準版為 195 小時) 內，後續掃描未偵測到安全漏洞，發現項目就會轉換為INACTIVE。

如要瞭解如何啟用及使用這項功能，請參閱「啟用及使用 Google Cloud的安全漏洞評估功能」。

Cloud Run 安全漏洞和 Secret 發現項目

Google Cloud 的安全漏洞評估功能，可找出常見安全漏洞與弱點 (CVE) 的軟體套件安全漏洞，以及容器映像檔層中，公開的密鑰。這些容器映像檔層存在於運作中的 Cloud Run 服務、修訂版本、已執行的工作和 worker 集區。

與附加至容器映像檔的靜態容器映像檔發現項目不同，這些發現項目會立即提供哪些工作負載面臨風險的背景資訊，並附加至即時 Cloud Run 執行階段資源 (run.googleapis.com/Service、run.googleapis.com/Job 或 run.googleapis.com/WorkerPool)。

安全漏洞偵測

Google Cloud 的安全漏洞評估功能，可找出 Cloud Run 工作負載中執行的容器套件軟體安全漏洞。

發現項目的類別為 VULNERABILITY，嚴重性為 HIGH 或 CRITICAL。

每項發現項目都包含下列資訊：

• 受影響的容器名稱 (適用於單一容器和多容器 sidecar 定義) 和容器映像檔摘要
• 執行有安全漏洞映像檔 (cloud_run.revisions) 的有效修訂版本名稱清單
• 套件問題詳細資料、CVSS 分數，以及已修正套件的版本 (如有)

如要解決發現項目，請更新應用程式依附元件或容器映像檔，使用安全的套件版本、部署新的服務修訂版本，或更新工作或 worker 集區，並將 100% 的流量轉送至更新後的修訂版本。

Secret 偵測

Google Cloud 的安全漏洞評估功能可協助您偵測 Cloud Run 服務、工作和 worker 集區所用容器映像檔的檔案和層中，是否有公開的明文密鑰和憑證。

每項發現項目都會指出下列資訊：

• 密鑰類型，例如 API 金鑰或私密金鑰
• 找到憑證的容器映像檔路徑
• 受影響的容器名稱
• 使用中的修訂版本 URI

發現項目的類別為 SECRET，嚴重性為 CRITICAL。

如要解決發現項目，請撤銷或輪替外洩的憑證、從容器映像檔或原始碼中移除憑證，並使用安全的密鑰管理解決方案，例如 Secret Manager。

發現項目參考資料

偵測工具	摘要
Software vulnerability API 中的類別名稱：SOFTWARE_VULNERABILITY 課程：VULNERABILITY 嚴重性：CRITICAL 或 HIGH	發現項目說明：在執行中的 Cloud Run 服務、修訂版本、已執行的工作或 worker 集區中，偵測到容器套件有指派常見安全漏洞與弱點 (CVE) 的軟體套件安全漏洞。包括作業系統套件和語言執行階段套件中的安全漏洞。 定價級別：Standard、Premium 或 Enterprise 支援的素材資源： run.googleapis.com/Service run.googleapis.com/Job run.googleapis.com/WorkerPool 修正這項發現項目 ： 查看發現項目詳細資料，找出受影響的套件、容器名稱和有效修訂版本。如要解決發現項目，請執行下列操作： 更新應用程式依附元件、已安裝的 OS 套件或基本容器映像檔，改用已修正的套件版本。 建構新的容器映像檔，並推送至 Artifact Registry。 部署新的服務修訂版本，或使用修正後的映像檔更新工作或 worker 集區設定。 如果您使用流量拆分或執行個體拆分功能，請將 100% 的流量或執行個體分配給已修補的修訂版本。 部署修補後的修訂版本，並停用有安全漏洞的修訂版本，即可解決服務和 worker 集區的發現項目。如果是工作，發現項目會反映過去 14 天內開始的執行作業。如果工作更新為使用乾淨的映像檔執行，或後續掃描事件在 14 天內未執行工作的情況下評估工作，發現項目會轉換為 INACTIVE。
Secrets in Cloud Run API 中的類別名稱：SECRETS_IN_CLOUD_RUN 課程：SECRET 嚴重程度：CRITICAL	發現項目說明：在執行中的 Cloud Run 服務、工作或 worker 集區使用的容器映像檔檔案系統或層中，偵測到公開的明文密鑰或憑證 (例如 API 金鑰或私密金鑰)。掃描器會發出發現項目說明，例如：Plaintext credential of type <TYPE> found in container image at path: <PATH>。 定價級別：Standard、Premium 或 Enterprise 支援的素材資源： run.googleapis.com/Service run.googleapis.com/Job run.googleapis.com/WorkerPool 修正這項發現項目 ： 調查發現項目，確認密鑰的詳細資料 (包括容器映像檔中的檔案路徑)，然後撤銷或輪替外洩的憑證。 從容器映像檔檔案系統、Dockerfile 或原始碼中移除明文密鑰。 導入安全的密鑰管理解決方案 (例如 Secret Manager)，在執行階段安全地儲存及存取密鑰。 重新建構並推送乾淨的容器映像檔，然後部署新的服務修訂版本，或更新工作或 worker 集區。接著，將所有流量轉送至乾淨的修訂版本，或將所有執行個體分配給該版本。 部署不含公開密鑰的新修訂版本，即可解決這項發現項目。當有安全漏洞的修訂版本不再提供流量或執行執行個體時，系統會自動將發現項目標示為 INACTIVE。

如要瞭解如何查看及修復這些發現項目，請參閱「啟用及使用 Google Cloud的安全漏洞評估功能」。

Sensitive Data Protection

Standard-legacy、Premium 和 Enterprise (已淘汰) 服務級別

本節說明 Sensitive Data Protection 產生的安全漏洞發現項目、支援的法規遵循標準，以及如何修復發現項目。

Sensitive Data Protection 也會將觀察到的發現項目傳送至 Security Command Center。如要進一步瞭解觀察結果和 Sensitive Data Protection，請參閱「Sensitive Data Protection」。

如要瞭解如何查看發現項目，請參閱「在 Google Cloud 控制台中查看 Sensitive Data Protection 發現項目」。

Sensitive Data Protection 的安全漏洞發現項目

Sensitive Data Protection 探索服務可協助您判斷是否儲存了未受保護的高度機密資料。

類別	摘要
Public sensitive data API 中的類別名稱： PUBLIC_SENSITIVE_DATA	發現項目說明：指定資源含有高度機密資料，網際網路上的任何人都能存取。 注意：Sensitive Data Protection 分析 (剖析) Cloud Storage bucket 中的調整工作時，可能會產生資料存取稽核記錄項目。這項動作是由內部 Sensitive Data Protection 服務帳戶執行。 支援的素材資源： aiplatform.googleapis.com/Dataset aiplatform.googleapis.com/TuningJob bigquery.googleapis.com/Dataset bigquery.googleapis.com/Table sqladmin.googleapis.com/Instance storage.googleapis.com/Bucket Amazon S3 儲存貯體 Azure Blob 儲存體容器 修復： 如果是 Google Cloud 資料，請從資料資產的 IAM 政策中移除 allUsers 和 allAuthenticatedUsers。 如果是 Amazon S3 資料，請設定封鎖公開存取權，或更新物件的 ACL，拒絕公開讀取權限。詳情請參閱 AWS 說明文件中的「Configuring block public access settings for your S3 buckets」(設定 S3 儲存貯體的封鎖公開存取設定) 和「Configuring ACLs」(設定 ACL)。 如果是 Azure Blob 儲存體資料，請移除容器和 Blob 的公開存取權。詳情請參閱 Azure 說明文件中的「Overview: Remediating anonymous read access for blob data」(總覽：修復 blob 資料的匿名讀取權限)。 法規遵循標準：未對應
Secrets in environment variables API 中的類別名稱： SECRETS_IN_ENVIRONMENT_VARIABLES	發現項目說明：環境變數中有密鑰，例如密碼、驗證權杖和 Google Cloud 憑證。 如要啟用這項偵測工具，請參閱 Sensitive Data Protection 說明文件中的「向 Security Command Center 回報環境變數中的密鑰」。 支援的素材資源： cloudfunctions.googleapis.com/CloudFunction run.googleapis.com/Revision 修復： 如果是 Cloud Run functions 環境變數，請從環境變數中移除密鑰，並改為儲存在 Secret Manager。 如果是 Cloud Run 服務修訂版本環境變數，請將所有流量移出修訂版本，然後刪除修訂版本。 法規遵循標準： CIS GCP Foundation 1.3：1.18 CIS GCP Foundation 2.0：1.18
Secrets in storage API 中的類別名稱： SECRETS_IN_STORAGE	發現項目說明：指定資源中含有密鑰，例如密碼、驗證權杖和雲端憑證。 支援的素材資源： aiplatform.googleapis.com/Dataset aiplatform.googleapis.com/TuningJob bigquery.googleapis.com/Dataset bigquery.googleapis.com/Table sqladmin.googleapis.com/Instance storage.googleapis.com/Bucket Amazon S3 儲存貯體 Azure Blob 儲存體容器 修復： 如果是 Google Cloud 資料，請使用 Sensitive Data Protection 對指定資源執行深度檢查掃描，找出所有受影響的資源。如果是 Cloud SQL 資料，請將資料匯出至 Cloud Storage bucket 中的 CSV 或 AVRO 檔案，然後對 bucket 執行深度檢查掃描。 如要查看其他雲端服務供應商的資料，請手動檢查指定的值區或容器。 移除偵測到的 Secret。 建議您重設憑證。 如果是 Google Cloud 資料，建議改為將偵測到的 Secret 儲存在 Secret Manager。 法規遵循標準：未對應

Sensitive Data Protection 的設定錯誤發現項目

Sensitive Data Protection 探索服務可協助您判斷是否有設定錯誤，可能導致機密資料外洩。

類別

摘要

Sensitive data CMEK disabled API 中的類別名稱： SENSITIVE_DATA_CMEK_DISABLED

發現項目說明：指定資源含有高敏感度或中敏感度資料，且資源未使用客戶自行管理的加密金鑰 (CMEK)。 支援的素材資源： aiplatform.googleapis.com/Dataset bigquery.googleapis.com/Dataset bigquery.googleapis.com/Table sqladmin.googleapis.com/Instance storage.googleapis.com/Bucket Amazon S3 儲存貯體 Azure Blob 儲存體容器 修復： 如果是 BigQuery 資料，請在資料表或資料集上使用 CMEK。 如要瞭解 Cloud SQL 資料，請參閱 MySQL 適用的 Cloud SQL 或 PostgreSQL 適用的 Cloud SQL 的 CMEK 說明文件。 如果是 Cloud Storage 資料，請在 bucket 上使用 CMEK。 法規遵循標準：未對應

Sensitive Data Protection 的觀測結果

Sensitive Data Protection 探索服務可協助您判斷資料是否包含特定 infoType，以及這些資料在貴組織、資料夾和專案中的存放位置。這項服務會在 Security Command Center 產生下列觀察發現項目類別：

類別	摘要
Data sensitivity API 中的類別名稱： DATA_SENSITIVITY	發現項目說明：指出特定資料資產中資料的機密程度。如果資料中包含 PII 或其他可能需要額外控管或管理的元素，即為機密資料。發現項目的嚴重性是 Sensitive Data Protection 在產生資料剖析檔時計算出的機密程度。
Data risk API 中的類別名稱： DATA_RISK	發現項目說明：資料在目前狀態下的風險。計算資料風險時，Sensitive Data Protection 會考量資料資產中資料的機密程度，以及是否有保護該資料的存取控管機制。發現項目的嚴重性是指 Sensitive Data Protection 在產生資料剖析檔時計算出的資料風險等級。

Policy Controller

Standard-legacy、Standard、Premium 和 Enterprise (已淘汰) 服務級別 (必須在組織層級啟用)

Policy Controller 可讓您對註冊為機群成員的 Kubernetes 叢集，套用並強制執行可設定的政策。這些政策可以做為「防護機制」，協助您管理叢集和機群的最佳做法、安全性與法規遵循事宜。

這個頁面不會列出所有個別 Policy Controller 發現項目，但 Policy Controller 寫入 Security Command Center 的 Misconfiguration 類別發現項目資訊，與每個 Policy Controller 套件記錄的叢集違規事項相同。個別 Policy Controller 發現項目類型的說明文件，位於下列 Policy Controller 套裝組合中：

• CIS Kubernetes 基準 1.5.1 版：這項基準由多項建議組成，可協助您設定 Kubernetes 來支援強大的資安態勢。您也可以在 cis-k8s-v1.5.1 的 GitHub 存放區中查看這個套件的相關資訊。

• PCI-DSS v3.2.1：這個套裝組合會評估叢集資源是否符合付款卡產業資料安全標準 (PCI-DSS) v3.2.1 的某些部分。您也可以在 pci-dss-v3 的 GitHub 存放區中查看這個套件的相關資訊。

這項功能與 Stackdriver API 周圍的 VPC Service Controls service perimeter 不相容。

尋找及修復 Policy Controller 發現項目

Policy Controller 類別對應至 Policy Controller 套裝組合說明文件中列出的限制名稱。舉例來說，require-namespace-network-policies 發現項目表示命名空間違反了叢集中的每個命名空間都有 NetworkPolicy 的政策。

如要修復發現項目，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

   前往「發現項目」

2. 選取 Google Cloud 專案或組織。
3. 在「快速篩選器」部分的「來源顯示名稱」子部分，選取「Policy Controller On-Cluster」。發現項目查詢結果會更新，只顯示這個來源的發現項目。
4. 如要查看特定發現項目的詳細資料，請按一下「Category」(類別) 欄中的發現項目名稱。系統會開啟發現項目的詳細資料面板，並顯示「摘要」分頁。
5. 在「摘要」分頁中，查看發現項目的詳細資料，包括偵測到的內容、受影響的資源，以及可採取的修復步驟 (如有)。
6. 選用：如要查看發現項目的完整 JSON 定義，請按一下「JSON」分頁標籤。

後續步驟

• 如要瞭解發現項目的生命週期，請參閱「發現項目生命週期總覽」。

• 如要瞭解各項服務的掃描間隔，請參閱「Security Command Center 預計何時會顯示發現項目」。

• 請參閱安全漏洞發現項目索引。

• 瞭解如何使用安全狀態分析。

• 瞭解如何使用 Web Security Scanner。

• 請參閱修復安全狀態分析發現項目和修復 Web Security Scanner 發現項目的建議。

• 瞭解如何使用 Vulnerability Assessment 掃描 Google Cloud。