Eseguire la migrazione dalle regole di disattivazione statiche a quelle dinamiche

Questa pagina spiega come eseguire la migrazione delle regole di disattivazione statiche esistenti alle regole di disattivazione dinamiche.

Ti consigliamo di utilizzare le regole di silenziamento dinamiche esclusivamente nelle configurazioni delle regole di silenziamento, perché sono più flessibili di quelle statiche. Rispetto alle regole di disattivazione statiche, le regole di disattivazione dinamiche offrono tre vantaggi principali:

  • Le regole di disattivazione dinamiche si applicano ai risultati esistenti e nuovi. Le regole di disattivazione dinamiche disattivano automaticamente i risultati esistenti e quelli nuovi o aggiornati che corrispondono ai tuoi criteri di filtro.
  • Le regole di disattivazione dinamiche offrono un'opzione di scadenza. Le regole di disattivazione dinamiche ti consentono anche di impostare un periodo di scadenza personalizzato per trovare temporaneamente corrispondenze con risultati specifici. Se non viene impostato alcun periodo di scadenza, le regole di disattivazione dinamiche disattivano i risultati indefinitamente finché non corrispondono più alla regola.

  • Le regole di disattivazione dinamica riattivano automaticamente i risultati. Quando si verifica uno dei seguenti eventi, Security Command Center riattiva automaticamente il risultato:

    • La regola di silenziamento dinamico scade.
    • Le proprietà di un risultato cambiano e non corrispondono più ai criteri di filtro.
    • I criteri di filtro cambiano in modo da non corrispondere più al risultato.

Sconsigliamo di utilizzare contemporaneamente regole di disattivazione statiche e dinamiche. Le regole di silenziamento statiche hanno la precedenza sulle regole di silenziamento dinamiche quando vengono applicate allo stesso risultato. Di conseguenza, le regole di disattivazione dinamica non funzioneranno come previsto, il che può creare confusione durante la gestione dei risultati.

Se vuoi utilizzare esclusivamente le regole di disattivazione dinamiche, le sezioni seguenti descrivono le autorizzazioni e i passaggi necessari per eseguire la migrazione delle regole di disattivazione statiche.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per eseguire la procedura di migrazione della disattivazione dinamica, chiedi all'amministratore di concederti i seguenti ruoli IAM nella tua organizzazione, cartella o progetto: Google Cloud

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Eseguire la migrazione alle regole di disattivazione dinamiche

Per utilizzare esclusivamente le regole di disattivazione dinamica, completa i seguenti passaggi per creare regole di disattivazione dinamica e assicurarti che i risultati disattivati esistenti rimangano disattivati dopo la migrazione.

  1. Crea nuove regole di disattivazione dinamiche. Non puoi modificare il tipo di una regola di disattivazione dopo la sua creazione. Pertanto, devi creare una regola di disattivazione dinamica per ogni regola di disattivazione statica che vuoi conservare. Ogni nuovo nome di regola di silenziamento dinamica deve essere univoco rispetto alle regole di silenziamento esistenti. Security Command Center potrebbe impiegare alcune ore per applicare le regole di disattivazione dinamica ai risultati appropriati. Per istruzioni su come creare una regola di silenziamento dinamica, consulta Crea una regola di silenziamento.

  2. Convalida lo stato di disattivazione delle vulnerabilità applicabili. Per verificare che le regole di disattivazione dinamica siano state applicate correttamente, puoi utilizzare l'attributo muteInfo nell'API Security Command Center per elencare i risultati applicabili e ispezionare i relativi campi di disattivazione. In questo modo, puoi determinare se i risultati applicabili utilizzano regole di disattivazione dinamiche o statiche.

    Ad esempio, utilizza muteInfo.dynamicMuteRecords in una query per elencare i risultati applicabili che vengono silenziati dalla nuova regola di silenziamento dinamica:

      contains(muteInfo.dynamicMuteRecords, muteConfig =
  "organizations/123/muteConfigs/my-dynamic-rule")

    Per saperne di più su come elencare i risultati, consulta Elenco dei risultati di sicurezza utilizzando l'API Security Command Center.

  3. Elimina tutte le regole di disattivazione statica. I risultati futuri applicabili sono coperti dalle nuove regole dinamiche che hai creato. Elimina tutte le regole di disattivazione statiche esistenti per assicurarti che non sostituiscano le nuove regole di disattivazione dinamiche per i nuovi risultati. Per istruzioni su come eliminare una regola di silenziamento, vedi Eliminare le regole di silenziamento. L'eliminazione delle regole di disattivazione statica non modifica lo stato di disattivazione statica dei risultati esistenti.

  4. Reimposta lo stato di disattivazione statica su tutti i risultati. Per reimpostare lo stato di disattivazione statica dei risultati esistenti collettivamente, esegui una delle seguenti azioni:

    • Utilizza il comando gcloud scc findings bulk-mute o il metodo API bulkMute con l'attributo muteState impostato su UNDEFINED. Per il flag --filter o il campo filter, utilizza un filtro dei risultati che corrisponda ai risultati disattivati dalla regola di silenziamento statica che hai eliminato.

      L'esempio seguente utilizza il comando gcloud scc findings bulk-mute. Se hai eliminato una regola di silenziamento statica con il filtro category="OPEN_SSH_PORT", puoi reimpostare lo stato di silenziamento dei risultati che corrispondono a questo filtro eseguendo il seguente comando:

      gcloud scc findings bulk-mute --organization=ORGANIZATION_ID --filter="category=\"OPEN_SSH_PORT\"" --mute-state=UNDEFINED

      Sostituisci ORGANIZATION_ID con l'ID della tua organizzazione. Puoi sostituire --organization con --project o --folder a seconda dell'ambito dei risultati che devi reimpostare.

      Per ulteriori istruzioni su come eseguire operazioni di disattivazione collettiva, vedi Disattivare o reimpostare più risultati esistenti.

    • Se l'operazione di disattivazione collettiva scade, cancella lo stato di disattivazione statica da tutti i risultati. A questo scopo, aggiorna il filtro di disattivazione collettiva in modo da utilizzare filtri meno granulari che coprano tutti i risultati pertinenti.

      Considera il seguente esempio di filtro in una regola di silenziamento statica:

      filter: "category = \"OPEN_SSH_PORT\" AND (resource.parentDisplayName = \"organizations/123\" OR resource.parentDisplayName = \"folder/456\")"

      Per cancellare lo stato di silenziamento di tutti i risultati che corrispondono ai criteri di questa regola di silenziamento statica, puoi modificare il filtro rimuovendo le condizioni aggiuntive che seguono la categoria del risultato. Per questo esempio, il risultato sarebbe il seguente:

      filter: "category = \"OPEN_SSH_PORT""

      Se hai impostato manualmente lo stato di disattivazione per alcuni risultati, questo metodo potrebbe anche reimpostare lo stato di disattivazione di questi risultati.

      Per ulteriori informazioni sull'aggiornamento di una regola di silenziamento, vedi Aggiornare le regole di silenziamento.

Se hai bisogno di aiuto per eseguire la migrazione delle regole di disattivazione statiche a quelle dinamiche, contatta l'assistenza.

Passaggi successivi

Scopri di più sulla creazione e gestione delle regole di disattivazione.