Einzelne Ergebnisse ausblenden

Dienststufen Standard-Legacy, Standard, Premium und Enterprise

Die Dienststufe „Security Command Center Enterprise“ wird am 21. Mai 2027 eingestellt. Wenn Ihre Organisation die Enterprise-Dienststufe verwendet, wird sie am oder nach dem 21. Mai 2027 automatisch auf die Premium-Dienststufe umgestellt. Wenden Sie sich bei Fragen an Ihren Kundenbetreuer oder einen Google Cloud Vertriebsspezialisten.

In diesem Dokument wird erläutert, wie Sie einzelne Ergebnisse in Security Command Center statisch ausblenden, die Ausblendung aufheben oder Ergebnisse im Bulk ausblenden.

Erforderliche Rollen

Um die Berechtigungen zu erhalten, die Sie zum Stummschalten oder Aufheben der Stummschaltung von Ergebnissen benötigen, bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für die Organisation, den Ordner oder das Projekt zuzuweisen:

• Einzelne Ergebnisse manuell ausblenden oder die Ausblendung aufheben:
  • Bearbeiter von Sicherheitscenter-Ergebnissen (roles/securitycenter.findingsEditor)
  • Sicherheitscenter-Administrator (roles/securitycenter.admin)
• Ergebnisse im Bulk-Vorgang ausblenden:
  • Bearbeiter von Bulk-Ausblendungen von Ergebnissen im Sicherheitscenter (roles/securitycenter.findingsBulkMuteEditor)
  • Sicherheitscenter-Administrator (roles/securitycenter.admin)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Einzelne Ergebnisse ausblenden

Sie können ein einzelnes Ergebnis statisch stummschalten, indem Sie dieGoogle Cloud Console, die gcloud CLI oder die Security Command Center API verwenden.

Das statische Ausblenden eines Ergebnisses hat keinen Einfluss darauf, ob es aktiv ist oder nicht. Wenn ein aktives Ergebnis ausgeblendet wird, bleibt das Attribut state unverändert: state="ACTIVE". Das Ergebnis wird ausgeblendet, bleibt aber aktiv, bis die zugrunde liegende Sicherheitslücke, Fehlkonfiguration oder Bedrohung behoben ist. Außerdem werden durch das statische Ausblenden eines Ergebnisses alle dynamischen Ausblendungsregeln überschrieben, die auf das Ergebnis angewendet werden.

Wenn Sie ein Ergebnis zu einer schädlichen Kombination stummschalten, wird der entsprechende Fall zu einer schädlichen Kombination geschlossen.

Wenn Sie alle zukünftigen Ergebnisse ausblenden möchten, die von Ihnen festgelegten Kriterien entsprechen, lesen Sie den Abschnitt Ausblendungsregeln verwalten.

Beispielcode zum Stummschalten eines Ergebnisses finden Sie unter Ergebnis stummschalten.

Wenn Sie ein einzelnes Ergebnis statisch ausblenden möchten, klicken Sie auf den Tab für die gewünschte Vorgehensweise:

Console

1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.

   Zu Ergebnissen

2. Wählen Sie bei Bedarf Ihr Google Cloud Projekt oder Ihre Organisation aus.
3. Wenn das Ergebnis, das Sie stummschalten möchten, nicht im Bereich Ergebnisse der Ergebnisabfrage angezeigt wird, wählen Sie im Bereich Schnellfilter im Abschnitt Kategorie die Kategorie des Ergebnisses aus.
4. Wählen Sie das Ergebnis aus, das Sie stummschalten möchten. Sie können ein oder mehrere Ergebnisse auswählen.

5. Klicken Sie in der Aktionsleiste Ergebnisse der Ergebnisabfrage auf Ausblendungsoptionen und wählen Sie dann Ausblendungsüberschreibung anwenden aus.

   Das Attribut mute für die ausgewählten Ergebnisse wird auf MUTED gesetzt und das Ergebnis wird aus dem Bereich Ergebnisse der Ergebnisabfrage entfernt. Alternativ können Sie ein Ergebnis über das zugehörige Detailfeld ausblenden:

6. Klicken Sie im Bereich Ergebnisse der Ergebnisabfrage auf der Seite Ergebnisse in der Spalte Kategorie auf den Namen eines einzelnen Ergebnisses. Der Detailbereich des Ergebnisses wird geöffnet.

7. Klicken Sie auf Maßnahmen ergreifen.

8. Wählen Sie im Menü Maßnahmen ergreifen die Option Stummschaltung überschreiben aus.

   Wenn Sie stattdessen Ergebnisse wie dieses ausblenden auswählen, wird die Seite Ausblendungsregel erstellen geöffnet. Dort können Sie eine Ausblendungsregel für Ergebnisse desselben Typs oder mit demselben Indicator-Attribut erstellen.

gcloud

1. Aktivieren Sie Cloud Shell in der Google Cloud Console.

   Cloud Shell aktivieren

   Unten in der Google Cloud Console wird eine Cloud Shell-Sitzung gestartet und eine Eingabeaufforderung angezeigt. Cloud Shell ist eine Shell-Umgebung, in der das Google Cloud CLI bereits installiert ist und Werte für Ihr aktuelles Projekt bereits festgelegt sind. Das Initialisieren der Sitzung kann einige Sekunden dauern.

2. Verwenden Sie den Befehl set-mute in der gcloud CLI, um den Ausblendungsstatus eines Ergebnisses auf MUTED zu setzen:

   gcloud scc findings set-mute FINDING_ID \
     --PARENT=PARENT_ID \
     --location=LOCATION \
     --source=SOURCE_ID \
     --mute=MUTED

   Ersetzen Sie Folgendes:

   • FINDING_ID: die ID des Ergebnisses, das Sie ausblenden möchten

     Beim Abrufen von Ergebnis-IDs verwenden Sie die Security Command Center API zum Auflisten der Ergebnisse. Die Ergebnis-ID ist der letzte Teil des Attributs canonicalName, z. B. projects/123456789012/sources/1234567890123456789/findings`/5ee30aa342e799e4e1700826de053aa9.

   • PARENT: die übergeordnete Ressource (project, folder oder organization), wobei die Groß- und Kleinschreibung berücksichtigt wird

   • PARENT_ID: die ID der übergeordneten Organisation, des übergeordneten Ordners oder des übergeordneten Projekts

   • LOCATION: Der Security Command Center-Standort, an dem Ergebnisse stummgeschaltet oder die Stummschaltung aufgehoben werden soll. Wenn der Datenstandort aktiviert ist, verwenden Sie eu, sa oder us. Andernfalls verwenden Sie den Wert global.

   • SOURCE_ID: die Quell-ID.

     Eine Anleitung zum Abrufen einer Quell-ID finden Sie unter Quell-ID abrufen.

Go

import (
	"context"
	"fmt"
	"io"

	securitycenter "cloud.google.com/go/securitycenter/apiv2"
	"cloud.google.com/go/securitycenter/apiv2/securitycenterpb"
)

// setMute mutes an individual finding.
// If a finding is already muted, muting it again has no effect.
// Various mute states are: MUTE_UNSPECIFIED/MUTE/UNMUTE.
func setMute(w io.Writer, findingPath string) error {
	// findingPath: The relative resource name of the finding. See:
	// https://cloud.google.com/apis/design/resource_names#relative_resource_name
	// Use any one of the following formats:
	//  - organizations/{organization_id}/sources/{source_id}/finding/{finding_id}
	//  - folders/{folder_id}/sources/{source_id}/finding/{finding_id}
	//  - projects/{project_id}/sources/{source_id}/finding/{finding_id}
	// findingPath := fmt.Sprintf("projects/%s/sources/%s/finding/%s", "your-google-cloud-project-id", "source", "finding-id")
	ctx := context.Background()
	client, err := securitycenter.NewClient(ctx)
	if err != nil {
		return fmt.Errorf("securitycenter.NewClient: %w", err)
	}
	defer client.Close()

	req := &securitycenterpb.SetMuteRequest{
		Name: findingPath,
		Mute: securitycenterpb.Finding_MUTED}

	finding, err := client.SetMute(ctx, req)
	if err != nil {
		return fmt.Errorf("failed to set the specified mute value: %w", err)
	}
	fmt.Fprintf(w, "Mute value for the finding: %s is %s", finding.Name, finding.Mute)
	return nil
}

Java

import com.google.cloud.securitycenter.v2.Finding;
import com.google.cloud.securitycenter.v2.Finding.Mute;
import com.google.cloud.securitycenter.v2.SecurityCenterClient;
import com.google.cloud.securitycenter.v2.SetMuteRequest;
import java.io.IOException;

public class SetMuteFinding {

  public static void main(String[] args) throws IOException {
    // TODO: Replace the variables within {}
    // findingPath: The relative resource name of the finding. See:
    // https://cloud.google.com/apis/design/resource_names#relative_resource_name
    // Use any one of the following formats:
    //  - organizations/{org_id}/sources/{source_id}/locations/{location}/finding/{finding_id}
    //  - folders/{folder_id}/sources/{source_id}/locations/{location}/finding/{finding_id}
    //  - projects/{project_id}/sources/{source_id}/locations/{location}/finding/{finding_id}
    //
    String findingPath = "{path-to-the-finding}";

    setMute(findingPath);
  }

  // Mute an individual finding.
  // If a finding is already muted, muting it again has no effect.
  // Various mute states are: MUTE_UNSPECIFIED/MUTE/UNMUTE.
  public static Finding setMute(String findingPath) throws IOException {
    // Initialize client that will be used to send requests. This client only needs to be created
    // once, and can be reused for multiple requests.
    try (SecurityCenterClient client = SecurityCenterClient.create()) {

      SetMuteRequest setMuteRequest =
          SetMuteRequest.newBuilder()
              // Relative path for the finding.
              .setName(findingPath)
              .setMute(Mute.MUTED)
              .build();

      Finding finding = client.setMute(setMuteRequest);
      System.out.println(
          "Mute value for the finding " + finding.getName() + " is: " + finding.getMute());
      return finding;
    }
  }
}

Python

def set_mute_finding(finding_path: str) -> None:
    """
      Mute an individual finding.
      If a finding is already muted, muting it again has no effect.
      Various mute states are: MUTE_UNSPECIFIED/MUTE/UNMUTE.
    Args:
        finding_path: The relative resource name of the finding. See:
        https://cloud.google.com/apis/design/resource_names#relative_resource_name
        Use any one of the following formats:
        - organizations/{organization_id}/sources/{source_id}/finding/{finding_id},
        - folders/{folder_id}/sources/{source_id}/finding/{finding_id},
        - projects/{project_id}/sources/{source_id}/finding/{finding_id}.
    """
    from google.cloud import securitycenter_v2

    client = securitycenter_v2.SecurityCenterClient()

    request = securitycenter_v2.SetMuteRequest()
    request.name = finding_path
    request.mute = securitycenter_v2.Finding.Mute.MUTED

    finding = client.set_mute(request)
    print(f"Mute value for the finding: {finding.mute.name}")
    return finding

REST

Verwenden Sie in der Security Command Center API die Methode findings.setMute, um ein Ergebnis auszublenden. Der Anfragetext ist ein Enum-Wert, der den resultierenden Ausblendungsstatus angibt:

POST https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/sources/SOURCE_ID/locations/LOCATION/findings/FINDING_ID:setMute

{
  "mute": "MUTED"
}

Ersetzen Sie Folgendes:

• PARENT: die übergeordnete Ressource (organizations, folders oder projects).
• PARENT_ID: Die ID der übergeordneten Organisation, des übergeordneten Ordners oder des übergeordneten Projekts.
• LOCATION: Der Security Command Center-Standort, an dem Ergebnisse stummgeschaltet oder die Stummschaltung aufgehoben werden soll. Wenn der Datenstandort aktiviert ist, verwenden Sie eu, sa oder us. Andernfalls verwenden Sie den Wert global.

• SOURCE_ID: die numerische ID für die Quelle.

  Eine Anleitung zum Abrufen einer Quell-ID finden Sie unter Quell-ID abrufen.

• FINDING_ID: die ID für das Ergebnis, das Sie ausblenden möchten

  Beim Abrufen von Ergebnis-IDs verwenden Sie die Security Command Center API zum Auflisten der Ergebnisse. Die Ergebnis-ID ist der letzte Teil des Attributs canonicalName, z. B. projects/123456789012/sources/1234567890123456789/findings/5ee30aa342e799e4e1700826de053aa9.

Wenn Sie ein Ergebnis ausblenden, wird das Attribut mute auf MUTED gesetzt.

Einzelne Ergebnisse wieder einblenden

Sie können ein einzelnes Ergebnis statisch stummschalten, indem Sie die Google Cloud Console, die gcloud CLI oder die Security Command Center API verwenden.

Das Einblenden eines Ergebnisses ist hilfreich, wenn Sie verhindern möchten, dass ein Ergebnis durch eine zu weit gefasste Ausblendungsregel oder durch eine Regel ausgeblendet wird, die zu komplex ist, um sie so zu ändern, dass Ergebnisse, die Sie für wichtig halten, ausgeschlossen werden.

Wieder eingeblendete Ergebnisse werden nur dann wieder ausgeblendet, wenn sie manuell ausgeblendet werden. Ausblendungsregeln, die mit der gcloud CLI oder der Security Command Center API erstellt wurden, haben keine Auswirkungen auf Ergebnisse, die von Nutzern wieder eingeblendet wurden.

Beispielcode zum Aufheben der Stummschaltung eines Ergebnisses finden Sie unter Stummschaltung eines Ergebnisses aufheben.

Console

So heben Sie die Stummschaltung eines einzelnen Ergebnisses über die Google Cloud Console auf:

1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.

   Zu Ergebnissen

2. Wählen Sie bei Bedarf Ihr Google Cloud Projekt oder Ihre Organisation aus. Die Seite Ergebnisse wird geöffnet. Die Standardabfrage wird im Bereich Abfragevorschau angezeigt. Mit der Standardabfrage werden ausgeblendete Ergebnisse herausgefiltert. Sie müssen die Abfrage also bearbeiten, bevor ausgeblendete Ergebnisse im Bereich Ergebnisse der Suche nach Sicherheitslücken angezeigt werden.
3. Klicken Sie rechts neben dem Bereich Abfragevorschau auf Abfrage bearbeiten, um den Abfrageeditor zu öffnen.
4. Ersetzen Sie im Feld Abfrageeditor die vorhandene Mute-Anweisung durch Folgendes:

   mute="MUTED"

5. Klicken Sie auf Übernehmen. Die Ergebnisse im Bereich Ergebnisse der Ergebnisabfrage werden aktualisiert und enthalten nur ausgeblendete Ergebnisse.
6. Filtern Sie bei Bedarf andere stummgeschaltete Ergebnisse heraus. Wählen Sie beispielsweise im Bereich Schnellfilter unter Kategorie den Namen des Findings aus, das Sie stummschalten möchten, um alle anderen Finding-Kategorien herauszufiltern.
7. Wählen Sie den Befund aus, dessen Stummschaltung Sie aufheben möchten. Sie können ein oder mehrere Ergebnisse auswählen.
8. Klicken Sie in der Aktionsleiste Ergebnisse der Ergebnisabfrage auf Ausblendungsoptionen und wählen Sie dann Ausblendungsüberschreibung anwenden aus. Das Attribut mute für die ausgewählten Ergebnisse wird auf UNMUTED gesetzt und das Ergebnis wird aus dem Bereich Ergebnisse der Ergebnisabfrage entfernt. Alternativ können Sie ein Ergebnis über den Detailbereich wieder einblenden:
9. Klicken Sie im Bereich Ergebnisse der Ergebnisabfrage auf der Seite Ergebnisse in der Spalte Kategorie auf den Namen eines einzelnen Ergebnisses. Der Detailbereich des Ergebnisses wird geöffnet.
10. Klicken Sie auf Maßnahmen ergreifen.
11. Wählen Sie im Menü Maßnahmen ergreifen die Option Stummschaltung überschreiben aus.

gcloud

1. Aktivieren Sie Cloud Shell in der Google Cloud Console.

   Cloud Shell aktivieren

   Unten in der Google Cloud Console wird eine Cloud Shell-Sitzung gestartet und eine Eingabeaufforderung angezeigt. Cloud Shell ist eine Shell-Umgebung, in der das Google Cloud CLI bereits installiert ist und Werte für Ihr aktuelles Projekt bereits festgelegt sind. Das Initialisieren der Sitzung kann einige Sekunden dauern.

2. Verwenden Sie den Befehl set-mute in der gcloud CLI, um den Ausblendungsstatus eines Ergebnisses auf UNMUTED zu setzen:

   gcloud scc findings set-mute FINDING_ID \
     --PARENT=PARENT_ID \
     --location=LOCATION \
     --source=SOURCE_ID \
     --mute=UNMUTED

   Ersetzen Sie Folgendes:

   • FINDING_ID: die ID des Ergebnisses, das Sie ausblenden möchten

     Beim Abrufen von Ergebnis-IDs verwenden Sie die Security Command Center API zum Auflisten der Ergebnisse. Die Ergebnis-ID ist der letzte Teil des Attributs canonicalName, z. B. projects/123456789012/sources/1234567890123456789/findings/5ee30aa342e799e4e1700826de053aa9.

   • PARENT: die übergeordnete Ressource (project, folder oder organization), wobei die Groß- und Kleinschreibung berücksichtigt wird

   • PARENT_ID: die ID der übergeordneten Organisation, des übergeordneten Ordners oder des übergeordneten Projekts

   • LOCATION: Der Security Command Center-Standort, an dem Ergebnisse stummgeschaltet oder die Stummschaltung aufgehoben werden soll. Wenn der Datenstandort aktiviert ist, verwenden Sie eu, sa oder us. Andernfalls verwenden Sie den Wert global.

   • SOURCE_ID: die Quell-ID.

     Eine Anleitung zum Abrufen einer Quell-ID finden Sie unter Quell-ID abrufen.

Go

import (
	"context"
	"fmt"
	"io"

	securitycenter "cloud.google.com/go/securitycenter/apiv2"
	"cloud.google.com/go/securitycenter/apiv2/securitycenterpb"
)

// setUnmute unmutes an individual finding.
// Unmuting a finding that isn't muted has no effect.
// Various mute states are: MUTE_UNSPECIFIED/MUTE/UNMUTE.
func setUnmute(w io.Writer, findingPath string) error {
	// findingPath: The relative resource name of the finding. See:
	// https://cloud.google.com/apis/design/resource_names#relative_resource_name
	// Use any one of the following formats:
	//  - organizations/{organization_id}/sources/{source_id}/finding/{finding_id}
	//  - folders/{folder_id}/sources/{source_id}/finding/{finding_id}
	//  - projects/{project_id}/sources/{source_id}/finding/{finding_id}
	// findingPath := fmt.Sprintf("projects/%s/sources/%s/finding/%s", "your-google-cloud-project-id", "source", "finding-id")
	ctx := context.Background()
	client, err := securitycenter.NewClient(ctx)
	if err != nil {
		return fmt.Errorf("securitycenter.NewClient: %w", err)
	}
	defer client.Close()

	req := &securitycenterpb.SetMuteRequest{
		Name: findingPath,
		Mute: securitycenterpb.Finding_UNMUTED}

	finding, err := client.SetMute(ctx, req)
	if err != nil {
		return fmt.Errorf("failed to set the specified mute value: %w", err)
	}
	fmt.Fprintf(w, "Mute value for the finding: %s is %s", finding.Name, finding.Mute)
	return nil
}

Java

import com.google.cloud.securitycenter.v2.Finding;
import com.google.cloud.securitycenter.v2.Finding.Mute;
import com.google.cloud.securitycenter.v2.SecurityCenterClient;
import com.google.cloud.securitycenter.v2.SetMuteRequest;
import java.io.IOException;

public class SetUnmuteFinding {

  public static void main(String[] args) throws IOException {
    // TODO: Replace the variables within {}
    // findingPath: The relative resource name of the finding. See:
    // https://cloud.google.com/apis/design/resource_names#relative_resource_name
    // Use any one of the following formats:
    //  - organizations/{org_id}/sources/{source_id}/locations/{location}/finding/{finding_id}
    //  - folders/{folder_id}/sources/{source_id}/locations/{location}/finding/{finding_id}
    //  - projects/{project_id}/sources/{source_id}/locations/{location}/finding/{finding_id}
    //
    String findingPath = "{path-to-the-finding}";

    setUnmute(findingPath);
  }

  // Unmute an individual finding.
  // Unmuting a finding that isn't muted has no effect.
  // Various mute states are: MUTE_UNSPECIFIED/MUTE/UNMUTE.
  public static Finding setUnmute(String findingPath) throws IOException {
    // Initialize client that will be used to send requests. This client only needs to be created
    // once, and can be reused for multiple requests.
    try (SecurityCenterClient client = SecurityCenterClient.create()) {

      SetMuteRequest setMuteRequest =
          SetMuteRequest.newBuilder()
              .setName(findingPath)
              .setMute(Mute.UNMUTED)
              .build();

      Finding finding = client.setMute(setMuteRequest);
      System.out.println(
          "Mute value for the finding " + finding.getName() + " is: " + finding.getMute());
      return finding;
    }
  }
}

Python

def set_unmute_finding(finding_path: str) -> None:
    """
      Unmute an individual finding.
      Unmuting a finding that isn't muted has no effect.
      Various mute states are: MUTE_UNSPECIFIED/MUTE/UNMUTE.
    Args:
        finding_path: The relative resource name of the finding. See:
        https://cloud.google.com/apis/design/resource_names#relative_resource_name
        Use any one of the following formats:
        - organizations/{organization_id}/sources/{source_id}/finding/{finding_id},
        - folders/{folder_id}/sources/{source_id}/finding/{finding_id},
        - projects/{project_id}/sources/{source_id}/finding/{finding_id}.
    """
    from google.cloud import securitycenter_v2

    client = securitycenter_v2.SecurityCenterClient()

    request = securitycenter_v2.SetMuteRequest()
    request.name = finding_path
    request.mute = securitycenter_v2.Finding.Mute.UNMUTED

    finding = client.set_mute(request)
    print(f"Mute value for the finding: {finding.mute.name}")
    return finding

REST

Verwenden Sie in der Security Command Center API die Methode findings.setMute, um ein Ergebnis zu reaktivieren. Der Anfragetext ist ein Enum-Wert, der den resultierenden Ausblendungsstatus angibt:

POST https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/sources/SOURCE_ID/locations/LOCATION/findings/FINDING_ID:setMute

{
  "mute": "UNMUTED"
}

Ersetzen Sie Folgendes:

• PARENT: die übergeordnete Ressource (organizations, folders oder projects)
• PARENT_ID: die ID der übergeordneten Organisation, des übergeordneten Ordners oder des übergeordneten Projekts
• LOCATION: Der Security Command Center-Standort, an dem Ergebnisse stummgeschaltet oder die Stummschaltung aufgehoben werden soll. Wenn der Datenstandort aktiviert ist, verwenden Sie eu, sa oder us. Andernfalls verwenden Sie den Wert global.

• SOURCE_ID: die numerische ID für die Quelle

  Eine Anleitung zum Abrufen einer Quell-ID finden Sie unter Quell-ID abrufen.

• FINDING_ID: die ID für das Ergebnis, das Sie ausblenden möchten

  Beim Abrufen von Ergebnis-IDs verwenden Sie die Security Command Center API zum Auflisten der Ergebnisse. Die Ergebnis-ID ist der letzte Teil des Attributs canonicalName, z. B. projects/123456789012/sources/1234567890123456789/findings/5ee30aa342e799e4e1700826de053aa9.

Die ausgewählten Ergebnisse sind nicht mehr ausgeblendet und das Attribut mute für die Ergebnisse wurde auf UNMUTED gesetzt.

Ausblendungsstatusüberschreibung für einzelne Ergebnisse entfernen

Sie wenden eine Überschreibung des Stummschaltungsstatus an, wenn Sie den Stummschaltungsstatus eines Ergebnisses absichtlich ändern, um das Ergebnis statisch stummzuschalten oder die Stummschaltung aufzuheben. Beispielsweise möchten Sie möglicherweise eine Überschreibung des Ausblendungsstatus anwenden, um ein Ergebnis mit niedrigem Schweregrad auszublenden, für das es sich nicht lohnt, eine dynamische Ausblendungsregel zu erstellen.

Sie können eine Überschreibung des Stummschaltungsstatus für einen einzelnen Befund mithilfe der Google Cloud -Console, der gcloud CLI oder der Security Command Center API entfernen.

Bevor Sie die Überschreibung des Stummschaltungsstatus aus einem Ergebnis entfernen, sollten Sie Folgendes beachten:

• Ein Ergebnis hat eine Überschreibung des Ausblendungsstatus, wenn es statisch ausgeblendet oder die Ausblendung aufgehoben wurde. Sie können den Ausblendungsstatus für jedes Ergebnis manuell oder automatisch mit statischen Ausblendungsregeln überschreiben.
• Eine Überschreibung des Ausblendungsstatus gilt für ein Ergebnis auf unbestimmte Zeit und hat Vorrang vor allen übereinstimmenden Ausblendungsregeln.
• Wenn Sie die Überschreibung des Ausblendungsstatus für ein Ergebnis entfernen, wird der Ausblendungsstatus des Ergebnisses zurückgesetzt, sodass es von statischen oder dynamischen Ausblendungsregeln verarbeitet werden kann.
• Das Entfernen der Überschreibung des Ausblendungsstatus eines Ergebnisses unterscheidet sich vom Einblenden eines Ergebnisses. Wenn Sie die Ausblendung eines Ergebnisses aufheben (eine Überschreibung der Ausblendung anwenden), können Ausblendungsregeln dieses Ergebnis erst wieder ausblenden, wenn Sie die Überschreibung des Ausblendungsstatus manuell entfernt haben.

So entfernen Sie die Überschreibung für das Ausblenden eines einzelnen Ergebnisses:

Console

1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse des Security Command Center auf.

   Zu Ergebnissen

2. Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
3. Klicken Sie rechts neben dem Bereich Abfragevorschau auf Abfrage bearbeiten, um den Abfrageeditor zu öffnen.
4. Ersetzen Sie im Feld Abfrageeditor die vorhandene Mute-Anweisung durch Folgendes:

   mute="MUTED" OR mute="UNMUTED"

5. Klicken Sie auf Übernehmen. Die Ergebnisse im Bereich Ergebnisse der Ergebnisabfrage werden aktualisiert und enthalten statisch ausgeblendete und nicht ausgeblendete Ergebnisse.
6. Filtern Sie bei Bedarf andere Ergebnisse heraus. Wählen Sie beispielsweise im Bereich Schnellfilter unter Kategorie den Namen des Findings aus, das Sie zurücksetzen müssen, um alle anderen Kategorien von Findings herauszufiltern.
7. Wählen Sie das Ergebnis aus, das Sie zurücksetzen möchten. Sie können ein oder mehrere Ergebnisse auswählen.
8. Klicken Sie in der Aktionsleiste Ergebnisse der Fundabfrage auf Ausblendungs-Optionen und wählen Sie dann Ausblendungsüberschreibungen entfernen aus. Das Attribut mute für die ausgewählten Ergebnisse wird auf UNDEFINED gesetzt und das Ergebnis wird aus dem Bereich Ergebnisse der Ergebnisabfrage entfernt. Alternativ können Sie ein Ergebnis über den Detailbereich wieder einblenden:
9. Klicken Sie im Bereich Ergebnisse der Ergebnisabfrage auf der Seite Ergebnisse in der Spalte Kategorie auf den Namen eines einzelnen Ergebnisses. Der Detailbereich des Ergebnisses wird geöffnet.
10. Klicken Sie auf Maßnahmen ergreifen.
11. Wählen Sie im Menü Maßnahmen ergreifen die Option Überschreibungen für Stummschaltung entfernen aus.

gcloud

1. Aktivieren Sie Cloud Shell in der Google Cloud Console.

   Cloud Shell aktivieren

   Unten in der Google Cloud Console wird eine Cloud Shell-Sitzung gestartet und eine Eingabeaufforderung angezeigt. Cloud Shell ist eine Shell-Umgebung, in der das Google Cloud CLI bereits installiert ist und Werte für Ihr aktuelles Projekt bereits festgelegt sind. Das Initialisieren der Sitzung kann einige Sekunden dauern.

2. Verwenden Sie den Befehl set-mute in der gcloud CLI, um den Ausblendungsstatus eines Ergebnisses auf UNDEFINED zu setzen:

   gcloud scc findings set-mute FINDING_ID \
     --PARENT=PARENT_ID \
     --location=LOCATION \
     --source=SOURCE_ID \
     --mute=UNDEFINED

   Ersetzen Sie Folgendes:

   • FINDING_ID: die ID des Ergebnisses, das Sie zurücksetzen möchten

     Beim Abrufen von Ergebnis-IDs verwenden Sie die Security Command Center API zum Auflisten der Ergebnisse. Die Ergebnis-ID ist der letzte Teil des Attributs canonicalName, z. B. projects/123456789012/sources/1234567890123456789/findings/5ee30aa342e799e4e1700826de053aa9.

   • PARENT: die übergeordnete Ressource (project, folder oder organization), wobei die Groß- und Kleinschreibung berücksichtigt wird

   • PARENT_ID: die ID der übergeordneten Organisation, des übergeordneten Ordners oder des übergeordneten Projekts

   • LOCATION: Der Security Command Center-Standort, an dem Ergebnisse stummgeschaltet oder die Stummschaltung aufgehoben werden soll. Wenn der Datenstandort aktiviert ist, verwenden Sie eu, sa oder us. Andernfalls verwenden Sie den Wert global.

   • SOURCE_ID: die Quell-ID.

     Eine Anleitung zum Abrufen einer Quell-ID finden Sie unter Quell-ID abrufen.

REST

Verwenden Sie in der Security Command Center API die Methode findings.setMute, um den Status „Ausgeblendet“ eines Ergebnisses zurückzusetzen. Der Anfragetext ist ein Enum-Wert, der den resultierenden Ausblendungsstatus angibt:

POST https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/sources/SOURCE_ID/locations/LOCATION/findings/FINDING_ID:setMute

{
  "mute": "UNDEFINED"
}

Ersetzen Sie Folgendes:

• PARENT: die übergeordnete Ressource (organizations, folders oder projects)
• PARENT_ID: die ID der übergeordneten Organisation, des übergeordneten Ordners oder des übergeordneten Projekts
• LOCATION: Der Security Command Center-Standort, an dem Ergebnisse stummgeschaltet oder die Stummschaltung aufgehoben werden soll. Wenn der Datenstandort aktiviert ist, verwenden Sie eu, sa oder us. Andernfalls verwenden Sie den Wert global.
• SOURCE_ID: die numerische ID für die Quelle

Java

import com.google.cloud.securitycenter.v2.Finding;
import com.google.cloud.securitycenter.v2.Finding.Mute;
import com.google.cloud.securitycenter.v2.SecurityCenterClient;
import com.google.cloud.securitycenter.v2.SetMuteRequest;
import java.io.IOException;

public class SetMuteUndefinedFinding {

  public static void main(String[] args) throws IOException {
    // TODO: Replace the variables within {}

    // findingPath: The relative resource name of the finding. See:
    // https://cloud.google.com/apis/design/resource_names#relative_resource_name
    // Use any one of the following formats:
    // - organizations/{organization_id}/sources/{source_id}/finding/{finding_id}
    // - folders/{folder_id}/sources/{source_id}/finding/{finding_id}
    // - projects/{project_id}/sources/{source_id}/finding/{finding_id}
    String findingPath = "{path-to-the-finding}";
    setMuteUndefined(findingPath);
  }

  // Reset mute state of an individual finding.
  // If a finding is already reset, resetting it again has no effect.
  // Various mute states are: MUTE_UNSPECIFIED/MUTE/UNMUTE/UNDEFINED.
  public static Finding setMuteUndefined(String findingPath) throws IOException {
    // Initialize client that will be used to send requests. This client only needs
    // to be created once, and can be reused for multiple requests.
    try (SecurityCenterClient client = SecurityCenterClient.create()) {

      SetMuteRequest setMuteRequest =
          SetMuteRequest.newBuilder()
              .setName(findingPath)
              .setMute(Mute.UNDEFINED)
              .build();

      Finding finding = client.setMute(setMuteRequest);
      System.out.println(
          "Mute value for the finding " + finding.getName() + " is: " + finding.getMute());
      return finding;
    }
  }
}

Mehrere vorhandene Ergebnisse ausblenden oder zurücksetzen

Sie können die folgenden Bulk-Vorgänge zum Ausblenden für mehrere vorhandene Ergebnisse entweder mit dem gcloud scc findings bulk-mute-gcloud CLI-Befehl oder mit der bulkMute-Methode der Security Command Center API ausführen:

• Mehrere vorhandene Ergebnisse ausblenden Wenn Sie vorhandene Ergebnisse im Bulk-Vorgang ausblenden, werden sie statisch ausgeblendet. Alle dynamischen Ausblendungsregeln, die auf das Ergebnis angewendet werden, werden überschrieben. Wenn Sie ähnliche zukünftige Ergebnisse ausblenden möchten, erstellen Sie eine Ausblendungsregel.

• Entfernen Sie die Überschreibung des Ausblendungsstatus für mehrere vorhandene Ergebnisse. Wenn Sie die Überschreibung des Ausblendungsstatus für ein Ergebnis entfernen, wird der Ausblendungsstatus von MUTED (statisch ausgeblendet) oder UNMUTED (statisch nicht ausgeblendet) auf UNDEFINED zurückgesetzt. Diese Funktion kann nützlich sein, wenn Sie von statischen zu dynamischen Ausblendungsregeln migrieren.

Geben Sie die Ergebnisse an, die Sie ausblenden möchten, indem Sie einen Ergebnisfilter definieren. Bulk-Ausblenden-Filter unterstützen nicht alle Ergebnisattribute. Eine Liste der nicht unterstützten Attribute finden Sie unter Nicht unterstützte Ergebnisattribute für Ausblendungs-Regeln.

Wenn der Datenstandort für Security Command Center aktiviert ist, sind Massenstummschaltungen auf den Security Command Center-Standort beschränkt, an dem sie ausgeführt werden.

Achtung :Bei Massenvorgängen zum Stummschalten kann es zu Zeitüberschreitungen kommen, wenn Sie versuchen, mehr als etwa 4.000.000 bestehende Ergebnisse stummzuschalten, oder wenn der Vorgang länger als 6 Stunden dauert. Wenn Sie Millionen vorhandener Ergebnisse stummschalten müssen, sollten Sie den Stummschaltungsvorgang aufteilen, indem Sie mehrere Ergebnisabfragen verwenden, die mit einer geringeren Anzahl von Ergebnissen übereinstimmen.

Hinweis :Ergebnisse, die zur Ergebnisklasse SCC errors gehören, melden Probleme, die verhindern, dass Security Command Center wie erwartet funktioniert. Aus diesem Grund können Fehlerergebnisse nicht ausgeblendet werden. Weitere Informationen finden Sie unter Security Command Center-Fehler – Übersicht.

Beispielcode zum Ausblenden von Ergebnissen im Bulk-Vorgang finden Sie unter Ergebnisse im Bulk-Vorgang ausblenden.

Wenn Sie Ergebnisse im Bulk ausblenden oder zurücksetzen möchten, klicken Sie auf den Tab für die gewünschte Vorgehensweise:

Console

In der Google Cloud Console können Sie Ergebnisse nur im Bulk ausblenden, indem Sie Ausblendungsregeln erstellen. In derGoogle Cloud -Konsole werden durch das Erstellen von Ausblendungsregeln vorhandene und zukünftige Ergebnisse stummgeschaltet.

gcloud

1. Aktivieren Sie Cloud Shell in der Google Cloud Console.

   Cloud Shell aktivieren

   Unten in der Google Cloud Console wird eine Cloud Shell-Sitzung gestartet und eine Eingabeaufforderung angezeigt. Cloud Shell ist eine Shell-Umgebung, in der das Google Cloud CLI bereits installiert ist und Werte für Ihr aktuelles Projekt bereits festgelegt sind. Das Initialisieren der Sitzung kann einige Sekunden dauern.

2. Führen Sie den Befehl gcloud scc findings bulk-mute aus, um mehrere Ergebnisse im Bulk auszublenden oder zurückzusetzen:

   gcloud scc findings bulk-mute \
     --PARENT=PARENT_ID \
     --location=LOCATION \
     --filter="FILTER" \
     --mute-state=MUTE_STATE

   Ersetzen Sie Folgendes:

   • PARENT: Der Bereich in der Ressourcenhierarchie, auf den die Ausblendungsregel angewendet wird: organization, folder oder project.
   • PARENT_ID: Die numerische ID der übergeordneten Organisation, des übergeordneten Ordners oder des übergeordneten Projekts oder die alphanumerische ID des übergeordneten Projekts.
   • LOCATION: der Security Command Center-Standort, an dem Befunde stummgeschaltet oder die Stummschaltung aufgehoben werden soll. Wenn der Datenstandort aktiviert ist, verwenden Sie eu, sa oder us. Andernfalls verwenden Sie den Wert global.

   • FILTER: der Ausdruck, den Sie zum Filtern von Ergebnissen definieren.

     Wenn Sie beispielsweise alle vorhandenen Ergebnisse der Typen OPEN_FIREWALL und PUBLIC_IP_ADDRESS mit niedrigem Schweregrad im Projekt internal-test ausblenden möchten, kann der Filter "category=\"OPEN_FIREWALL\" OR category=\"PUBLIC_IP_ADDRESS\" AND severity=\"LOW\" AND resource.projectDisplayName=\"internal-test\"" sein.

   • MUTE_STATE: Der Wert, der angibt, ob das Ergebnis statisch ausgeblendet ist oder nicht. Gültige Werte sind MUTED und UNDEFINED. Der Wert ist standardmäßig auf MUTED festgelegt. Legen Sie diesen Wert nur auf UNDEFINED fest, wenn Sie den Stummschaltungsstatus mehrerer vorhandener Ergebnisse zurücksetzen.

REST

Verwenden Sie in der Security Command Center API die Methode findings.bulkMute, um den Stummschaltungsstatus mehrerer vorhandener Ergebnisse zu ändern. Der Anfragetext enthält den Ausdruck, der zum Filtern von Ergebnissen verwendet wird:

POST https://securitycenter.googleapis.com/v2/PARENT/PARENT_ID/locations/LOCATION/findings:bulkMute

{
  "filter": "FILTER",
  "muteState": "MUTE_STATE"
}

Ersetzen Sie Folgendes:

• PARENT: die übergeordnete Ressource (organizations, folders oder projects).
• PARENT_ID: Die ID der übergeordneten Organisation, des übergeordneten Ordners oder des übergeordneten Projekts.
• LOCATION: der Security Command Center-Standort, an dem Befunde stummgeschaltet oder die Stummschaltung aufgehoben werden soll. Wenn der Datenstandort aktiviert ist, verwenden Sie eu, sa oder us. Andernfalls verwenden Sie den Wert global.

• FILTER: der Ausdruck, den Sie zum Filtern von Ergebnissen definieren.

  Wenn Sie beispielsweise alle vorhandenen Ergebnisse der Typen OPEN_FIREWALL und PUBLIC_IP_ADDRESS mit niedrigem Schweregrad im Projekt internal-test ausblenden möchten, kann der Filter "category=\"OPEN_FIREWALL\" OR category=\"PUBLIC_IP_ADDRESS\" AND severity=\"LOW\" AND resource.projectDisplayName=\"internal-test\"" sein.

• MUTE_STATE: Der Wert, der angibt, ob das Ergebnis ausgeblendet ist oder nicht. Gültige Werte sind MUTED und UNDEFINED. Der Wert ist standardmäßig auf MUTED festgelegt. Legen Sie diesen Wert nur auf UNDEFINED fest, wenn Sie den Stummschaltungsstatus mehrerer vorhandener Ergebnisse zurücksetzen.

Alle vorhandenen Ergebnisse in der ausgewählten Ressource, die genau mit dem Filter übereinstimmen, werden ausgeblendet. Das Attribut mute für die Ergebnisse ist auf MUTED gesetzt.

Das Ausblenden von Ergebnissen ändert nicht ihren Status. Wenn aktive Ergebnisse ausgeblendet werden, bleiben sie aktiv, bis die zugrunde liegenden Sicherheitslücken, Fehlkonfigurationen oder Bedrohungen behoben sind.

Ausgeblendete Ergebnisse in der Google Cloud -Console ansehen

Sie können ausgeblendete Ergebnisse in der Google Cloud Konsole aufrufen, indem Sie die Abfrage für die Ergebnisse bearbeiten und Ergebnisse auswählen, die den Attributwert mute="MUTED" enthalten.

Die folgende Abfrage für Ergebnisse zeigt beispielsweise nur aktive Ergebnisse an, die ausgeblendet wurden:

state="ACTIVE"
AND mute="MUTED"

Wenn Sie alle aktiven Ergebnisse anzeigen möchten, sowohl ausgeblendete als auch nicht ausgeblendete, lassen Sie das Attribut mute in der Abfrage komplett weg:

state="ACTIVE"

Standardmäßig werden in der Ergebnisabfrage in der Google Cloud Konsole nur Ergebnisse angezeigt, die nicht stummgeschaltet sind.

Nach Ausblendungsregeltyp ausgeblendete Ergebnisse ansehen

In den folgenden Abschnitten wird beschrieben, wie Sie aktive Ergebnisse nach Typ der Ausblendungsregel abfragen.

Weitere Informationen zum Auflisten bestimmter Ergebnisse finden Sie unter Ergebnisse filtern.

Abfrageergebnisse, die durch statische Ausblendungsregeln ausgeblendet werden

Wenn Sie aktive Ergebnisse anzeigen möchten, die nach einem bestimmten Zeitraum durch eine statische Ausblendungsregel ausgeblendet wurden, verwenden Sie die folgende Abfrage und prüfen Sie das Attribut muteInitiator, um festzustellen, ob das Ergebnis durch eine statische Ausblendungsregel ausgeblendet wurde.

state="ACTIVE" AND
muteInfo.staticMute.applyTime>=TIMESTAMP AND
muteInfo.staticMute.state="MUTED"

Ersetzen Sie TIMESTAMP durch den Datums- und Zeitstring, der den Beginn des abzufragenden Zeitraums angibt. Weitere Informationen zu Zeitformaten finden Sie unter gcloud topic datetimes.

Abfrageergebnisse, die durch dynamische Ausblendungsregeln ausgeblendet wurden

Mit der folgenden Abfrage können Sie aktive Ergebnisse anzeigen, die nach einem bestimmten Zeitraum durch eine dynamische Ausblendungsregel ausgeblendet wurden:

state="ACTIVE" AND
muteUpdateTime>=TIMESTAMP AND
contains(muteInfo.dynamicMuteRecords, muteConfig="PARENT_ID/muteConfigs/CONFIG_ID")

Ersetzen Sie Folgendes:

• TIMESTAMP: Der Datums- und Zeitstring, der den Beginn des Zeitraums angibt, für den Sie eine Abfrage ausführen möchten. Informationen zu Zeitformaten finden Sie unter gcloud topic datetimes.
• PARENT_ID: Die ID der übergeordneten Organisation, des Ordners oder des Projekts im Format organizations/123, folders/456 oder projects/789.
• CONFIG_ID: Der Name der Ausblendungsregel. Die ID muss alphanumerische Zeichen und Bindestriche enthalten und zwischen 1 und 63 Zeichen lang sein.

Weitere Informationen zum Bearbeiten von Ergebnisabfragen finden Sie unter Ergebnisabfrage im Dashboard erstellen oder bearbeiten.

Benachrichtigungen und Exporte von ausgeblendeten Ergebnissen beenden

Wenn Sie Benachrichtigungen für Ergebnisse aktivieren, werden neue oder aktualisierte ausgeblendete Ergebnisse, die Ihren Benachrichtigungsfiltern entsprechen, weiterhin nach Pub/Sub exportiert.

Wenn Sie Exporte und Benachrichtigungen für ausgeblendete Ergebnisse beenden möchten, verwenden Sie das Attribut mute, um ausgeblendete Ergebnisse im NotificationConfig-Filter auszuschließen. Der folgende Filter sendet beispielsweise nur Benachrichtigungen für aktive Ergebnisse, die nicht ausgeblendet wurden oder bei denen das Ausblendungsattribut nicht festgelegt ist:

FILTER="state=\"ACTIVE\" AND -mute=\"MUTED\""