Der Sicherheitsgraph des Security Command Center ist eine beziehungsbewusste Datenbank, die Cloud-Ressourcen, ihre Konfigurationen und zugehörige Risikoindikatoren wie Sicherheitslücken, Zugriffsberechtigungen, Datensensibilität und Netzwerkrisiken abbildet. Die Grafik bietet einen umfassenden Überblick über Ihre Cloud-Assets und deren Beziehungen.
In diesem Dokument wird die Grafiksuche erläutert. Mit dieser Funktion können Sie den Sicherheitsgraphen durchsuchen, indem Sie benutzerdefinierte Abfragen erstellen, um potenzielle Sicherheitsprobleme in Ihrer Umgebung zu ermitteln.
Die Graphsuche ist bei Aktivierungen auf Projektebene nicht verfügbar. Weitere Informationen finden Sie unter Featureverfügbarkeit bei Aktivierungen auf Projektebene.
Abfragekomponenten
Sicherheitsdiagramm-Abfragen bestehen aus drei Hauptkomponententypen:
- Knoten: ein Sicherheitsergebnis oder eine Cloud-Ressource.
- Where-Klausel (Filter): Ein Filter, der auf einen Knoten angewendet wird, um die Abfrage anhand der spezifischen Attribute des Knotens zu verfeinern.
- Verbindung: Eine gerichtete Beziehung zwischen zwei Knoten.
Im Folgenden finden Sie ein Beispiel für eine Abfrage in der Google Cloud Console, in der diese Komponenten verwendet werden.
Diese Beispielabfragestruktur identifiziert eine Beziehung zwischen Sicherheitsentitäten, um Risiken zu ermitteln. Zuerst werden in der Abfrage die wichtigsten Themen oder Knoten der Untersuchung festgelegt: die CVE-Sicherheitslücke und die virtuelle Maschine (GCE). Die Verbindung, die durch die Formulierung die sich auf identifiziert wird, verknüpft diese beiden Knoten explizit. Schließlich wird die Abfrage mithilfe mehrerer Attribute, die als Where-Klauseln oder Filter bezeichnet werden, für jeden Knoten optimiert. Zu den hier verwendeten Filtern gehören der Schweregrad der Sicherheitslücke und die Netzwerkerreichbarkeit der VM. Zusammen helfen diese Komponenten, potenzielle Risiken in einer Umgebung zu identifizieren.
Knoten
Ein Knoten stellt ein Sicherheitsergebnis oder eine Cloud-Ressource dar.
Hier einige Beispiele für Knoten in der Google Cloud Console:
- CVE-Sicherheitslücke: Eine CVE-Sicherheitslücke (Common Vulnerabilities and Exposures), die von der MITRE Corporation definiert wurde.
- Virtuelle Maschine (GCE): Eine Compute Engine-Instanz.
- GKE-Deployment: Eine Google Kubernetes Engine-Ressource.
- IAM-Dienstkonto: ein Dienstkonto für die Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM).
- BigQuery-Dataset: ein Datencontainer in BigQuery. Weitere Informationen finden Sie unter Einführung in Datasets.
Knoten werden nach Kategorien wie Compute, Kubernetes, Identität und Datenbanken gruppiert. Sie können alle verfügbaren Knotentypen in derGoogle Cloud -Konsole durchsuchen, wenn Sie Ihre Abfrage erstellen.
Where-Klausel (Filter)
Eine Where-Klausel ist ein Filter, der auf einen Knoten angewendet wird, um die Abfrage anhand der spezifischen Attribute des Knotens zu verfeinern.
Hier einige Beispiele für Filter:
- Schweregrad = Kritisch: Ein Element mit kritischem Schweregrad, z. B. eine CVE.
- Has Full API Access = True: Gibt an, dass ein Knoten mit vollem Zugriff auf alle Google Cloud APIs konfiguriert ist.
- Exploitation Activity = Confirmed: Gibt an, dass es bekannte, gemeldete oder erwartete Instanzen einer Sicherheitslücke gibt, die aktiv ausgenutzt werden.
Die in der Google Cloud Console angezeigten Filter sind kontextabhängig und hängen vom ausgewählten Knotentyp ab.
Verbindung
Eine Verbindung ist eine gerichtete Beziehung zwischen zwei Knoten.
Hier einige Beispiele für Verbindungen:
- betrifft: Definiert die Beziehung zwischen zwei ausgewählten Knoten, z. B. eine CVE-Sicherheitslücke in Bezug auf eine Compute Engine-VM.
- verwendet: Definiert die Beziehung zwischen zwei ausgewählten Knoten, z. B. einer Compute Engine-VM im Verhältnis zu einem IAM-Dienstkonto.
Verbindungen sind kontextabhängig und für den ausgewählten Knotentyp werden nur gültige Beziehungen angezeigt.
Abfrage erstellen
Sie können den Sicherheitsgraphen abfragen, um Ihre Cloud-Umgebung anhand von Kriterien zu untersuchen, die für Sie wichtig sind. Durch das Ausführen und Verfeinern von Abfragen im Diagramm können Sie bestimmte Sicherheitslücken identifizieren, die Sie überwachen möchten.
Rufen Sie in der Google Cloud Console die Seite Grafiksuche von Security Command Center auf.
Erstellen Sie Ihre Abfrage im Abfrageeditor. Wählen Sie eine der folgenden Optionen aus:
- Benutzerdefinierte Abfrage erstellen
- Wählen Sie einen vordefinierten Suchvorschlag aus und verwenden Sie ihn unverändert.
- Ändern Sie einen vordefinierten Suchvorschlag nach Ihren Wünschen.
Führen Sie die Abfrage aus.
Sehen Sie sich die Abfrageergebnisse in der Tabelle an. Sie können die Ergebnisansicht anpassen, indem Sie auswählen, welche Spalten angezeigt werden sollen. Sie können jede Spalte auch in auf- oder absteigender Reihenfolge sortieren.
Optional: Wenn Sie Abfrageergebnisse als CSV-Datei exportieren möchten, klicken Sie auf CSV-Datei herunterladen.
Benutzerdefinierte Abfragen erstellen
Sie können benutzerdefinierte Abfragen definieren, um Sicherheitslücken zu identifizieren, die für Ihre Umgebung spezifisch sind.
Wenn Sie eine benutzerdefinierte Abfrage erstellen möchten, starten Sie entweder eine neue Abfrage oder passen Sie einen vorhandenen Suchvorschlag an. Gehen Sie dazu so vor:
Rufen Sie in der Google Cloud Console die Seite Grafiksuche von Security Command Center auf.
Klicken Sie im Feld Anzeigen auf Hinzufügen und wählen Sie eine Ressource oder ein Ergebnis als primären Knoten für Ihre Abfrage aus. Klicken Sie dann auf Weiter. Für den ausgewählten Knoten wird ein Dialogfeld angezeigt.
So können Sie Ihre Abfrage verfeinern:
- Wenn Sie nach einem der Attribute des Knotens filtern möchten, klicken Sie für dieses Attribut auf die Ein/Aus-Schaltfläche Where. Geben Sie im Feld Filterwert, das angezeigt wird, einen Wert ein, den das Attribut enthalten muss, oder wählen Sie einen Wert aus.
- Wenn Sie nach den Verbindungen des Knotens zu anderen Knoten filtern möchten, klicken Sie auf den Ein/Aus-Button neben einem Verbindungstyp, z. B. wirkt sich aus auf oder verwendet, um ihn zu aktivieren.
So ändern Sie Ihre Abfrage:
- Wenn Sie Ihrer Abfrage Komponenten hinzufügen möchten, klicken Sie neben einem Knoten oder einer Verbindung auf Hinzufügen.
- Wenn Sie eine Komponente aus Ihrer Abfrage entfernen möchten, klicken Sie auf Schließen.
Wählen Sie Abfrage ausführen aus.
Die verfügbaren Knoten, Filter und Verbindungen werden in der Google Cloud Console aktualisiert.
Suchvorschlag verwenden oder anpassen
Als Ausgangspunkt werden mehrere Suchvorschläge angezeigt. Sie können diese Vorschläge unverändert übernehmen oder an Ihre spezifischen Anforderungen anpassen.
Rufen Sie in der Google Cloud Console die Seite Grafiksuche von Security Command Center auf.
Wählen Sie einen Suchvorschlag aus, um detailliertere Informationen zur Abfrage aufzurufen.
Klicken Sie auf Vorschlag verwenden.
Optional: Passen Sie die Abfragedetails im Editor an Ihre Anforderungen an. Weitere Informationen finden Sie unter Benutzerdefinierte Abfragen erstellen.
Klicken Sie auf Abfrage ausführen.
Fehlerbehebung bei Abfragen, die keine Ergebnisse zurückgeben
Wenn Ihre Abfrage keine Ergebnisse zurückgibt, versuchen Sie, das Problem mit den folgenden Schritten zu beheben und anzupassen.
Vordefinierten Suchvorschlag verwenden
Die vordefinierten Suchvorschläge sind Beispiele, die Ergebnisse für eine Vielzahl von Umgebungen zurückgeben sollen. Sie können Suchvorschläge an Ihre spezifischen Anforderungen anpassen.
Abfrage vereinfachen oder anpassen
Entfernen oder reduzieren Sie Filter, um den Umfang Ihrer Abfrage zu erweitern.
Fragen Sie einen einzelnen Asset-Typ oder ein einzelnes Attribut ab, um zu prüfen, ob Daten zurückgegeben werden.
Vermeiden Sie es, zu viele Einschränkungen zu kombinieren. Andernfalls könnten Ergebnisse unbeabsichtigt ausgeschlossen werden.
Zugriffsberechtigungen prüfen
Prüfen Sie, ob Sie die erforderlichen Berechtigungen zum Aufrufen der abgefragten Daten haben. Ohne den richtigen Zugriff werden einige Assets oder Beziehungen möglicherweise ausgeblendet oder aus den Ergebnissen ausgeschlossen.
Zeit für die Datensynchronisierung einplanen
Es kann einige Minuten oder Stunden dauern, bis kürzlich erstellte oder aktualisierte Ressourcen im Diagramm angezeigt werden. Verzögerungen können beispielsweise auftreten, wenn Sie gerade eine Ressource hinzugefügt oder IAM-Richtlinien aktualisiert haben. Wenn Sie gerade Änderungen an Ihrer Cloud-Umgebung vorgenommen haben, versuchen Sie, die Abfrage nach einiger Zeit noch einmal auszuführen.
Diagrammabdeckung
Einige Datentypen oder Beziehungen sind im Sicherheitsdiagramm möglicherweise nicht verfügbar, je nach Umgebung und unterstützten Datentypen. Wenn Sie die erwarteten Daten nicht sehen, sind sie möglicherweise nicht im Diagramm verfügbar.
Zusätzliche Hilfe
Wenn Sie die vorherigen Schritte ausprobiert haben und immer noch nicht die erwarteten Ergebnisse sehen, wenden Sie sich an Ihren Projektadministrator oder lesen Sie den Abschnitt Support erhalten, um Hilfe bei der Überprüfung Ihrer Abfragekonfiguration und Berechtigungen zu erhalten.