Offengelegte Ressourcen mit External Exposure erkennen

Premium Dienststufe

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Security Command Center External Exposure ist ein Google Cloud Dienst, mit dem Sie Ihre externe Angriffsfläche durch automatisierte Erkennung und Risikovalidierung verwalten und verringern können.

Da automatisierte Scanner innerhalb von Minuten auf Assets zugreifen können, die mit dem Internet verbunden sind, deckt External Exposure versehentliche Gefährdungen und Schattenressourcen proaktiv auf, bevor Angreifer sie entdecken und ausnutzen können.

Durch die Analyse Ihrer Umgebung aus einer externen Perspektive versucht der Dienst zu bestätigen, was wirklich über das Internet erreichbar ist, und ermittelt, welche Gefährdungen tatsächlich ausnutzbar sind.

External Exposure sucht kontinuierlich in Ihrer Google CloudUmgebung nach externen IP Adressen, Hostnamen, Domainnamen und URLs. Diese Funktion verwendet Netzwerkscans, um zu bestätigen, welche Ressourcen und Anwendungen über das öffentliche Internet erreichbar sind.

Für jede bestätigte Gefährdung führt External Exposure folgende Schritte aus:

• Der Dienst verfolgt und zeigt den Google Cloud Netzwerkpfad für externe Load Balancer, Google Cloud Armor-Richtlinien, Firewallregeln, Private Service Connect, Cloud Interconnect und Back-End- Dienste bis zur gefährdeten Ressource.

  Diese Ressource kann eine Compute Engine-Instanz oder ein Google Kubernetes Engine-Pod (GKE) sein, einschließlich eines gefährdeten Dienstes oder einer gefährdeten Anwendung.

  Diese enge Integration in die Google-Netzwerkinfrastruktur bietet umsetzbaren Kontext, sodass Sie sofort präventive Maßnahmen ergreifen können, z. B. eine bestimmte Firewallregel sperren oder Google Cloud Armor konfigurieren.

• Der Dienst führt Fingerprinting durch, um die spezifische Webanwendung oder Serversoftware zu identifizieren, die auf jedem gefährdeten Asset ausgeführt wird.

• Wenn der Dienst den gefährdeten Dienst oder die gefährdete Software identifizieren kann, werden alle Sicherheitslücken ermittelt, die bekanntermaßen Auswirkungen darauf haben.

• Der Dienst verwendet erweiterte passive und aktive Detektoren, um die Ausnutzbarkeit in der Praxis zu testen, indem er Sicherheitslücken, Fehlkonfigurationen und die Verwendung von Standard- oder schwachen Anmeldedaten validiert.

Hinweis

In diesem Abschnitt wird beschrieben, wie Sie Ihre Umgebung für die Verwendung von External Exposure vorbereiten.

Security Center Management API aktivieren

Wenn Sie Security Command Center APIs verwenden möchten, müssen Sie die Security Center Management API für Ihr Kontingentprojekt aktivieren. Wenn Organisationsrichtlinien verwendet werden, die die API-Nutzung einschränken, muss die Security Center Management API zugelassen sein. Mit der Security Center Management API wird der Aktivierungsstatus von Security Command Center-Diensten wie External Exposure gesteuert.

1. Aktivieren Sie in einem Terminal die Security Center Management API für Ihr Kontingentprojekt:

   gcloud services enable securitycentermanagement.googleapis.com \
       --project=QUOTA_PROJECT_ID
   

   Ersetzen Sie QUOTA_PROJECT_ID durch die ID des Projekts, mit dem Sie das Kontingent verwalten.

2. Wenn Sie Organisationsrichtlinien haben, die die API-Nutzung einschränken, muss die Security Center Management API zugelassen sein. Weitere Informationen finden Sie unter Organisationsrichtlinien prüfen.

3. Wenn Sie Statistiken zu Netzwerkgefährdungspfaden in Ihren Ergebnissen erhalten möchten, aktivieren Sie External Exposure auf Organisations- oder Ordnerebene.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation, Ihren Ordner oder Ihr Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren von External Exposure und zum Aufrufen von Dashboard-Daten benötigen:

• Einstellungen für External Exposure in Security Command Center konfigurieren und Dashboard-Daten aufrufen: Security Center-Administrator (roles/securitycenter.admin)
• Rollen für Dienst-Agents zuweisen, z. B. die externalexposure.serviceAgent Rolle: Sicherheitsadministrator (roles/iam.securityAdmin)
• Dienstkonten erstellen und verwalten: Dienstkonto-Administrator (roles/iam.serviceAccountAdmin)
• Nur Dashboard-Daten aufrufen: Security Center-Administratorbetrachter (roles/securitycenter.adminViewer)
• Dashboard und Scanmesswerte für External Exposure in der Console, der CLI oder der API aufrufen: Betrachter von External Exposure (roles/externalexposure.viewer)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Hinweis: Bis die erforderlichen Berechtigungen für Scanmesswerte (externalexposure.scanMetrics.get) vollständig in die Standardrollen von Security Center integriert sind, muss allen Nutzern auch die Rolle „Betrachter von External Exposure“ zugewiesen werden, damit sie das Dashboard von External Exposure auf der Seite „Risikoübersicht“ in der Console aufrufen können.

Mit den folgenden Google Cloud CLI-Befehlen können Sie die oben genannten Rollen einem Nutzer zuweisen:

Rollen mit der gcloud CLI zuweisen

• Führen Sie den folgenden Befehl aus, um einem Nutzer die Rolle „Security Center-Administrator“ zuzuweisen:

  gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
      --member=user:USER_EMAIL_ID \
      --role=roles/securitycenter.admin
  

• Führen Sie den folgenden Befehl aus, um einem Nutzer die Rolle „Security Center-Administratorbetrachter“ zuzuweisen:

  gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
      --member=user:USER_EMAIL_ID \
      --role=roles/securitycenter.adminViewer
  

• Führen Sie den folgenden Befehl aus, um einem Nutzer die Rolle „Betrachter von External Exposure“ für den Zugriff auf CLI- oder API-Messwerte zuzuweisen:

  gcloud projects add-iam-policy-binding PROJECT_ID \
      --member=user:USER_EMAIL_ID \
      --role=roles/externalexposure.viewer
  

  Ersetzen Sie Folgendes:

  • ORGANIZATION_ID: die numerische Organisations-ID
  • PROJECT_ID: die Projekt-ID
  • USER_EMAIL_ID: die E-Mail-Adresse des Nutzers, der Zugriff benötigt

Dienst aktivieren und konfigurieren

Führen Sie die Aufgaben in den folgenden Abschnitten aus, um External Exposure zu aktivieren und zu konfigurieren.

Sie können den Dienst auf Organisations-, Ordner- oder Projektebene aktivieren und konfigurieren. Wenn Sie die API verwenden und Einstellungen auf Ordner- oder Organisationsebene anstelle auf Projektebene konfigurieren möchten, ersetzen Sie projects/PROJECT_ID in allen Anforderungs-URLs und den JSON-Datenparametern durch folders/FOLDER_ID oder organizations/ORGANIZATION_ID.

External Exposure aktivieren

Aktivieren Sie External Exposure für Ihre Organisation, Ihren Ordner oder Ihr Projekt.

Nachdem Sie den Dienst aktiviert haben, müssen Sie dem Dienst-Agent die erforderlichen Berechtigungen gewähren. Weitere Informationen finden Sie unter Berechtigungen für Dienst-Agents erteilen.

Console

1. Rufen Sie in der Google Cloud Console die Seite Dienstaktivierung für External Exposure auf.

   Zur Dienstaktivierung

2. Wählen Sie Ihre Organisation oder das Projekt aus.

3. Wählen Sie auf dem Tab Dienstaktivierung in der Spalte External Exposure den Aktivierungsstatus der Organisation, des Ordners oder des Projekts aus, das Sie ändern möchten, und wählen Sie dann eine der folgenden Optionen aus:

   • Aktivieren: Aktiviert External Exposure.
   • Deaktivieren: Deaktiviert External Exposure.
   • Übernehmen: Die Einstellungen werden von der übergeordneten Ressource übernommen, sofern sie in der untergeordneten Ressource nicht überschrieben werden.

gcloud

Aktivieren Sie die Security Center Management API und aktivieren Sie External Exposure für Ihren Zielbereich.

1. Aktivieren Sie in einem Terminal die API für Ihr Kontingentprojekt:

   gcloud services enable securitycentermanagement.googleapis.com \
       --project=QUOTA_PROJECT_ID
   

2. Aktivieren Sie in einem Terminal External Exposure mit der Security Center Management API:

   curl --request PATCH \
     "https://securitycentermanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityCenterServices/external_exposure?updateMask=intended_enablement_state" \
     --header "Authorization: Bearer $(gcloud auth print-access-token)" \
     --header "X-Goog-User-Project: QUOTA_PROJECT_ID" \
     --header "Accept: application/json" \
     --header "Content-Type: application/json" \
     --data '{
       "intendedEnablementState": "ENABLED",
       "name": "projects/PROJECT_ID/locations/global/securityCenterServices/external_exposure"
     }' \
     --compressed
   

   Ersetzen Sie Folgendes:

   • QUOTA_PROJECT_ID: die ID des Projekts, mit dem Sie das Kontingent verwalten.
   • PROJECT_ID: die ID des Projekts, in dem Sie External Exposure aktivieren möchten.
   Hinweis: Wenn Sie External Exposure auf Ordner- oder Organisationsebene aktivieren möchten, ersetzen Sie projects/PROJECT_ID durch folders/FOLDER_ID oder organizations/ORGANIZATION_ID in der Anforderungs-URL und im JSON-Datenparameter.

Berechtigungen für Dienst-Agents erteilen

Je nach Ressourcenebene, auf der Sie den Dienst aktivieren, Google Cloud wird ein Dienst-Agent generiert:

• Organisations- oder Ordnerebene: Es wird ein Dienst-Agent auf Organisations- oder Ordnerebene erstellt.
• Projektebene: Es wird ein Dienst-Agent auf Projektebene erstellt.

Führen Sie in einem Terminal den folgenden gcloud-Befehl aus, um Berechtigungen auf Organisationsebene zu erteilen:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="serviceAccount:[e-mail]" \
    --role=roles/externalexposure.serviceAgent

Ersetzen Sie ORGANIZATION_ID durch die numerische ID Ihrer Organisation.

Führen Sie in einem Terminal den folgenden gcloud-Befehl aus, um Berechtigungen auf Ordnerebene zu erteilen:

gcloud resource-manager folders add-iam-policy-binding FOLDER_ID \
    --member="serviceAccount:[e-mail]" \
    --role=roles/externalexposure.serviceAgent

Ersetzen Sie FOLDER_ID durch die numerische ID Ihres Ordners.

Eingehenden Zugriff auf Dienstperimeter gewähren

Wenn Sie VPC Service Controls verwenden, gewähren Sie dem Dienst-Agent von External Exposure eingehenden Zugriff auf alle Dienstperimeter, die Projekte schützen, die Sie scannen möchten. Wenn Sie keinen eingehenden Zugriff gewähren, kann External Exposure keine Scans durchführen oder Ergebnisse für Projekte generieren, die durch Dienstperimeter geschützt sind.

Je nach Ressourcenebene, auf der der Dienst aktiviert ist, verwendet die Dienstkonto-ID eines der folgenden E-Mail-Adressformate:

• Für Organisationen oder Ordner:

  [e-mail]
  

• Für Projekte:

  [e-mail]
  

Ersetzen Sie Folgendes:

• RESOURCE_KEYWORD: das Schlüsselwort org oder folder
• RESOURCE_ID: die Organisations-ID oder Ordner-ID
• PROJECT_NUMBER: die Projektnummer

Wenn Sie sowohl Dienstkonten auf Organisations- als auch auf Projektebene haben, führen Sie die folgenden Schritte für beide aus.

Fügen Sie jedem blockierenden Dienstperimeter eine Eingangsregel hinzu, um Zugriff zu gewähren:

1. Rufen Sie in der Google Cloud Console die Seite VPC Service Controls auf:

   Zu „VPC Service Controls“

2. Wählen Sie die blockierende Zugriffsrichtlinie und den Dienstperimeter aus.

3. Klicken Sie auf Bearbeiten und dann auf Eingangsrichtlinie.

4. Klicken Sie auf Eingangsregel hinzufügen und konfigurieren Sie den Block Von:

   1. Wählen Sie unter Identität die Option Ausgewählte Identitäten und Gruppen aus.
   2. Geben Sie die E-Mail-Adresse des Dienstkontos von External Exposure ein.
   3. Wählen Sie für Quelle die Option Alle Quellen aus.

5. Konfigurieren Sie den Block An der Regel:

   1. Wählen Sie für Projekt die Option Alle Projekte aus.
   2. Wählen Sie für Vorgänge oder IAM-Rollen die Option Alle Vorgänge aus.

6. Klicken Sie auf Speichern.

Benutzerdefinierte Ports konfigurieren

Konfigurieren Sie bis zu 32 benutzerdefinierte Ports pro Projekt, die zusätzlich zu den in Leistung und Einschränkungen aufgeführten Standardports gescannt werden sollen:

Console

1. Rufen Sie in der Google Cloud Console die Seite Dienstaktivierung auf:

   Zur Dienstaktivierung

2. Wählen Sie Ihre Organisation oder das Projekt aus.

3. Klicken Sie in der Spalte External Exposure der Zeile, die Sie ändern möchten, auf Einstellungen.

4. Geben Sie im Feld Benutzerdefinierte Ports die Portnummern durch Kommas getrennt ein.

5. Klicken Sie auf Speichern.

gcloud

Wenn Sie benutzerdefinierte Ports für Scans konfigurieren möchten, fügen Sie service_config in updateMask ein und geben Sie die Port-Ganzzahlen im Array-Wrapper ports unter dem Objekt serviceConfig an. Im folgenden Beispiel werden die benutzerdefinierten Ports 8081 und 8188 für Scans konfiguriert:

curl --request PATCH \
  "https://securitycentermanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityCenterServices/external_exposure?updateMask=service_config" \
  --header "Authorization: Bearer $(gcloud auth print-access-token)" \
  --header "X-Goog-User-Project: QUOTA_PROJECT_ID" \
  --header "Accept: application/json" \
  --header "Content-Type: application/json" \
  --data '{
    "serviceConfig": {
      "ports": [8081, 8188]
    },
    "name": "projects/PROJECT_ID/locations/global/securityCenterServices/external_exposure"
  }' \
  --compressed

Ersetzen Sie Folgendes:

• QUOTA_PROJECT_ID: die ID des Projekts, mit dem Sie das Kontingent verwalten.
• PROJECT_ID: die ID des Projekts, in dem Sie benutzerdefinierte Ports konfigurieren möchten.

Scanmodule konfigurieren

Konfigurieren Sie bestimmte Scanmodule, die aktiviert oder deaktiviert werden sollen:

Console

1. Rufen Sie in der Google Cloud Console die Seite Dienstaktivierung auf:

   Zur Dienstaktivierung

2. Wählen Sie Ihre Organisation oder das Projekt aus.

3. Klicken Sie in der Spalte External Exposure der Zeile, die Sie ändern möchten, auf Einstellungen.

4. Wählen Sie im Bereich Scanmodule das Kästchen aus, um die einzelnen Module zu aktivieren oder zu deaktivieren (z. B. gefährdete Schnittstellen, APIs, schwache Anmeldedaten oder RCE).

5. Klicken Sie auf Speichern.

gcloud

Wenn Sie bestimmte Module aktivieren oder deaktivieren möchten, fügen Sie modules in updateMask ein und geben Sie den Aktivierungsstatus für jedes Modul im Objekt modules an. Im folgenden Beispiel wird EXTERNALLY_EXPOSED_RCE_VULNERABILITY aktiviert und EXTERNALLY_EXPOSED_WEAK_CREDENTIALS deaktiviert:

curl --request PATCH \
  "https://securitycentermanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityCenterServices/external_exposure?updateMask=modules" \
  --header "Authorization: Bearer $(gcloud auth print-access-token)" \
  --header "X-Goog-User-Project: QUOTA_PROJECT_ID" \
  --header "Accept: application/json" \
  --header "Content-Type: application/json" \
  --data '{
    "modules": {
      "EXTERNALLY_EXPOSED_RCE_VULNERABILITY": {
        "intendedEnablementState": "ENABLED"
      },
      "EXTERNALLY_EXPOSED_WEAK_CREDENTIALS": {
        "intendedEnablementState": "DISABLED"
      }
    },
    "name": "projects/PROJECT_ID/locations/global/securityCenterServices/external_exposure"
  }' \
  --compressed

Ersetzen Sie Folgendes:

• QUOTA_PROJECT_ID: die ID des Projekts, mit dem Sie das Kontingent verwalten.
• PROJECT_ID: die ID des Projekts, in dem Sie Module konfigurieren möchten.

Sie können Aktivierungsstatus nur für die folgenden Module konfigurieren:

• EXTERNALLY_EXPOSED_UI
• EXTERNALLY_EXPOSED_API
• EXTERNALLY_EXPOSED_WEAK_CREDENTIALS
• EXTERNALLY_EXPOSED_RCE_VULNERABILITY
• EXTERNALLY_EXPOSED_ARBITRARY_DATA_READ

Alle anderen External Exposure-Module (einschließlich Datenbank-, serverloser Arbeitslast- und Load Balancer-Speicherprüfungen) sind standardmäßig aktiviert und werden auf der Seite zur Modulkonfiguration nicht angezeigt.

**Hinweis**: Aktive Detektoren für Sicherheitslücken, z. B. Prüfungen auf Codeausführung per Fernzugriff (Remote Code Execution, RCE) , senden kleine, sichere und gut geprüfte Nutzlasten, die von Google entwickelt und geprüft wurden . Wir empfehlen, diese aktiven Detektoren aktiviert zu lassen, damit kritische Ausnutzungsrisiken aufgedeckt werden.

Nachdem External Exposure aktiviert wurde, werden automatisch kontinuierliche Batch-Scans ausgeführt, um gefährdete externe IP-Adressen zu identifizieren, laufende Dienste zu prüfen und aktive Sicherheitslücken zu validieren.

Ergebnisse untersuchen

Nachdem Sie External Exposure aktiviert haben, können Sie Ergebnisse in der Google Cloud Console oder mit der CLI aufrufen.

Ergebnisse auf der Seite „Ergebnisse“ ansehen

1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.

   Zu Ergebnissen

2. Wählen Sie die Ansicht External Exposure aus.

In der Ansicht External Exposure werden nur Ergebnisse angezeigt, bei denen das Feld finding_class den Wert EXTERNAL_EXPOSURE hat.

Ergebnisse im Dashboard von External Exposure ansehen

Rufen Sie in der Google Cloud Console die Seite Risikoübersicht > External Exposure auf, um auf das Dashboard von External Exposure zuzugreifen:

Zu „External Exposure“

Dieses Dashboard ist verfügbar, wenn Ihr Bereich auf eine Organisation, einen Ordner oder ein Projekt festgelegt ist.

Weitere Informationen zu diesem Dashboard finden Sie unter Risiko mit Dashboards zur Risikoübersicht bewerten.

Ergebnisse mit der CLI abrufen

Führen Sie den folgenden Befehl aus, um aktive Ergebnisse von External Exposure mit der CLI abzurufen:

gcloud scc findings list projects/PROJECT_ID \
    --location=global \
    --filter="state=\"ACTIVE\" AND finding_class=\"EXTERNAL_EXPOSURE\""

Ersetzen Sie PROJECT_ID durch die ID des Projekts, in dem Sie Ergebnisse ansehen möchten.

Details zu Ergebnissen

Ergebnisse der Klasse EXTERNAL_EXPOSURE geben den Risikotyp und die Art der Gefährdung der Ressource an.

Eine Liste der detaillierten Risikokategorien, die für diese Ergebnisse generiert werden (z. B. EXTERNALLY_EXPOSED_VM_INSTANCE oder EXTERNALLY_EXPOSED_SERVERLESS_WORKLOAD), finden Sie unter Ergebnisse von External Exposure.

Alle Ergebnisse der Klasse EXTERNAL_EXPOSURE enthalten die folgenden Details:

• Gefährdeter Dienst: Die spezifische Webanwendung, Serversoftware oder das spezifische Protokoll, das auf dem aktiven Port identifiziert wurde.
• Statistiken zu Netzwerkpfaden: Der Netzwerkpfad, der die Verbindung vom öffentlichen Internet über Load Balancer, Weiterleitungsregeln und Back-End- Dienste bis zum Ziel-Asset verfolgt.
• Gefährdeter Endpunkt: Die zugrunde liegende Zielressource (z. B. eine Compute Engine-Instanz oder ein Google Kubernetes Engine-Pod (GKE)).

Wenn der gefährdete Dienst oder die gefährdete Softwareversion identifiziert werden kann, werden im Ergebnis auch alle CVE-Sicherheitslücken aufgeführt, die sich darauf auswirken.

Ergebnisse mit Angriffsrisikobewertungen priorisieren

Ergebnisse von External Exposure werden in Angriffspfadsimulationen integriert. Weitere Informationen finden Sie unter Übersicht über Angriffsrisikobewertungen und Angriffspfade. Wenn eine bestätigte Gefährdung mit einem potenziellen Pfad für laterale Bewegungen verbunden ist (z. B. ein gefährdetes Dienstkonto, das auf eine sensible BigQuery-Datenbank oder einen Cloud Storage-Bucket zugreifen kann), erhält das Ergebnis eine Angriffsrisikobewertung. Mit dieser Bewertung können Sie die Behebung von Gefährdungen priorisieren, die das größte Risiko für Ihre hochwertigen Ressourcen darstellen.

Scanmesswerte überwachen

Damit Sie bestätigen können, dass External Exposure in Ihrer Umgebung ordnungsgemäß funktioniert, werden in der Console kontinuierliche Batch-Scanmesswerte angezeigt:

• Letzter Scan: Der Zeitstempel des zuletzt abgeschlossenen Scanzyklus. So können Sie bestätigen, dass die Ergebnisse eine aktuelle Ansicht Ihrer Ressourcen widerspiegeln.
• Nächster Scan: Die geplante Startzeit des nächsten Scanzyklus.
• Erfolgreiche Projekte: Die Gesamtzahl der Projekte, die im letzten Scanzyklus erfolgreich analysiert wurden.
• Ausgeschlossene Projekte: Die Gesamtzahl der Projekte, die übersprungen wurden, weil Organisationsrichtlinien oder VPC Service Controls-Einschränkungen den Zugriff des Scanners auf die Ressourcen verhindern. Wenn ein Projekt übersprungen wird, generiert Security Command Center ein oder mehrere Ergebnisse der Klasse SCC_ERROR.
• Gefährdete Ressourcen: Die Gesamtzahl der eindeutigen Zielressourcen, die als öffentlich erreichbar identifiziert wurden.
• Gefährdete öffentliche Ports: Die Gesamtzahl der verschiedenen aktiven externen Ports , die in Ihren gefährdeten Ressourcen erkannt wurden.

Scanner-Traffic in Ihren Logs identifizieren

Wenn External Exposure Ihre externen Ressourcen aktiv scannt, werden in Ihren Dienstlogs möglicherweise eingehende Scananfragen angezeigt, z. B. Cloud Run-Anfragelogs in Cloud Logging.

Prüfen Sie den Logeintrag für das Feld userAgent unter httpRequest, um zu bestätigen, dass eingehende Anfragen von External Exposure und nicht von unbefugten Dritten stammen. Alle aktiven Anfragen vom Dienst identifizieren sich mit dem User-Agent TsunamiSecurityScanner.

Das folgende Beispiel zeigt einen Cloud Logging-Anfragelogeintrag, der generiert wird, wenn External Exposure einen gefährdeten Cloud Run-Dienst scannt:

{
  "httpRequest": {
    "latency": "0.004745622s",
    "protocol": "HTTP/1.1",
    "remoteIp": "2600:1900:4180:5b2:0:1ae::",
    "requestMethod": "POST",
    "requestSize": "441",
    "requestUrl": "https://SERVICE_URL/mcp",
    "responseSize": "131",
    "serverIp": "2600:1900:4244:200::",
    "status": 405,
    "userAgent": "TsunamiSecurityScanner"
  },
  "insertId": "6a16af86000c7e0d0fdc1c58",
  "labels": {
    "goog-managed-by": "cloudfunctions",
    "goog-serve-source": "user-container"
  },
  "logName": "projects/PROJECT_ID/logs/run.googleapis.com%2Frequests",
  "receiveTimestamp": "2026-05-27T08:47:03.025492782Z",
  "resource": {
    "labels": {
      "configuration_name": "SERVICE_NAME",
      "location": "us-central1",
      "project_id": "PROJECT_ID",
      "revision_name": "REVISION_NAME",
      "service_name": "SERVICE_NAME"
    },
    "type": "cloud_run_revision"
  },
  "severity": "WARNING",
  "timestamp": "2026-05-27T08:47:02.811254Z"
}

Leistung und Einschränkungen

• Unterstützte Ressourcen:Compute Engine-Instanzen, Google Kubernetes Engine-Dienste (GKE) und Ingress-Controller, Datenbanken wie Cloud SQL und AlloyDB for PostgreSQL, Managed Service for Apache Spark-Cluster, Cloud Run, Cloud Storage und Gemini Enterprise Agent Platform Workbench.
• Aktualisierungsintervall: Informationen zur Scanfrequenz von External Exposure finden Sie unter Wann sind Ergebnisse in Security Command Center zu erwarten?.
• Gescannten Ports:External Exposure sucht automatisch nach Diensten, die auf einer vordefinierten Baseline gängiger Ports ausgeführt werden. Diese sind hauptsächlich nach Diensttyp oder Protokoll gruppiert:
  • Verwaltung / Shell: 22 (SSH), 23 (Telnet), 3389 (RDP)
  • Web / HTTP(S): 80, 443, 8000, 8080, 8081, 8443, 8800, 9000, 9443
  • Datenbanken: 1433, 1521, 3306, 5432, 9200, 11211, 27017, 6379
  • Kubernetes- und Dienst-Gateways: 6443, 10250, 10255, 15020, 15021
  • Andere gängige Entwicklertools und ‑dienste: 1099, 1880, 2323, 2375, 2376, 2379, 2746, 3000, 3100, 4040, 5000, 5173, 5678, 6006, 6274, 7001, 7002, 7077, 7860, 8001, 8042, 8083, 8088, 8090, 8111, 8123, 8153, 8154, 8188, 8265, 8500, 8501, 8787, 8888, 8890, 8983, 9001, 9010, 9090, 9091, 9092, 9100, 9870, 9876, 11434, 15672, 18080, 54321 und 61616.
• Benutzerdefinierte Ports: Zusätzlich zu den Standardports können Sie bis zu 32 benutzerdefinierte Ports pro Projekt für Scans konfigurieren. Weitere Informationen finden Sie unter Benutzerdefinierte Ports konfigurieren.
• Statistiken zu Netzwerkpfaden: In den Ergebnissen wird ein Netzwerkpfad für eine gefährdete Ressource angegeben.
• VMs mit Load Balancing: Wenn mehrere VM-Instanzen mit einem Load Balancer verbunden sind, werden Ergebnisse nur für eine der VM-Instanzen gemeldet.
• Priorisierung von Cloud Run-Ergebnissen: Da jede Cloud Run-Bereitstellung standardmäßig eine öffentliche URL erhält, werden Ergebnisse anhand von IAM- und Identity-Aware Proxy (IAP)-Richtlinien ausgewertet. Wenn eine Arbeitslast durch IAM oder IAP geschützt ist (und eine HTTP-Antwort mit dem Statuscode 403 „Nicht autorisiert“ zurückgegeben wird), wird der Schweregrad des Ergebnisses auf LOW herabgestuft, um Informationsrauschen zu reduzieren.
• Statistiken zu Netzwerkgefährdungspfaden: Ergebnisse enthalten keine Statistiken zu Netzwerkgefährdungspfaden, wenn External Exposure auf Projektebene aktiviert ist. Wenn Sie Statistiken zu Netzwerkgefährdungspfaden erhalten möchten, aktivieren Sie den Dienst auf Organisations- oder Ordnerebene.