Regras de detecção predefinidas

O Security Command Center oferece regras de detecção integradas para identificar ameaças, vulnerabilidades e configurações incorretas no ambiente de nuvem. Este documento descreve as regras predefinidas para o gráfico de segurança e as ameaças correlacionadas.

Para informações sobre regras e descobertas de outros serviços integrados, consulte as regras do Event Threat Detection e as descobertas da VM Threat Detection.

Regras predefinidas do gráfico de segurança

O gráfico de segurança usa nós para identificar recursos de nuvem, como recursos, identidades, aplicativos e dados. As arestas no gráfico representam relações de risco entre esses recursos de acordo com as regras de detecção. Quando um risco de relacionamento é descoberto, o gráfico de segurança gera um problema.

O Security Command Center usa regras predefinidas de gráfico de segurança para identificar problemas que podem comprometer seus recursos.

A tabela a seguir define essas regras. Para saber como investigar problemas, consulte Gerenciar e corrigir problemas.

Regra Descrição
Instância do GCE: CVE de alto risco, acesso a recursos de alto valor por meio de personificação de SA Uma CVE de alto risco foi detectada em uma instância do Compute Engine que pode personificar uma conta de serviço (SA) com acesso a um recurso crítico. Essa vulnerabilidade aumenta o risco de escalonamento de privilégios e acesso não autorizado a dados ou sistemas sensíveis.
Instância do GCE: CVE de alto risco, acesso a recursos com dados sensíveis por meio de falsificação de identidade de SA Uma instância do Compute Engine com uma CVE de alto risco tem acesso a um recurso que contém dados sensíveis usando a representação de conta de serviço (SA). Essa vulnerabilidade aumenta o risco de acesso não autorizado a dados, escalonamento de privilégios e possíveis violações de dados.
Instância do GCE: CVE de alto risco, acesso direto a recursos de alto valor Uma instância do Compute Engine com uma CVE de alto risco tem acesso direto a um recurso de alto valor, o que aumenta a probabilidade de exploração, acesso não autorizado e comprometimento de dados.
Instância do GCE: CVE de alto risco, acesso direto ao recurso com dados sensíveis Uma instância do Compute Engine com uma CVE de alto risco tem acesso direto a um recurso que contém dados sensíveis. Essa vulnerabilidade aumenta o risco de acesso não autorizado, violações de dados e escalonamento de privilégios.
Instância do GCE exposta externamente: CVE de alto risco, exploit disponível Uma instância do Compute Engine está exposta externamente e é afetada por uma CVE de alto risco com um exploit conhecido. Isso aumenta significativamente o risco de ataques remotos, acesso não autorizado e comprometimento do sistema.
Instância do GCE: CVE de alto risco, capacidade de personificar a SA Uma instância do Compute Engine é afetada por uma CVE de alto risco e pode personificar outra conta de serviço (SA). Isso aumenta significativamente o risco de escalonamento de privilégios, acesso não autorizado e possível comprometimento de recursos críticos da nuvem.
Instância do GCE: CVE de alto risco, permissões diretas excessivas Uma instância do Compute Engine com uma CVE de alto risco tem permissões excessivas diretas em outro recurso, aumentando o risco de acesso não autorizado, escalonamento de privilégios e comprometimento de recursos.
Instância do GCE: CVE de alto risco, permissões excessivas por personificação de SA Uma instância do Compute Engine com uma CVE de alto risco tem permissões excessivas em outro recurso por meio da representação de conta de serviço (SA, na sigla em inglês), aumentando o risco de escalonamento de privilégios e acesso não autorizado.
Carga de trabalho do GKE exposta externamente: CVE de alto risco, exploit disponível Uma carga de trabalho do GKE está exposta externamente e é afetada por uma CVE de alto risco com uma exploração conhecida. Isso aumenta significativamente o risco de ataques remotos, acesso não autorizado e comprometimento do sistema.
Pool de nós do GKE: boletim de alto risco, acesso a recursos de alto valor por meio de representação de conta de serviço Um pool de nós do GKE pode personificar uma conta de serviço (SA) que concede acesso a um recurso de alto valor. Isso aumenta o risco de escalonamento de privilégios, acesso não autorizado e comprometimento de dados.
Pool de nós do GKE: boletim de alto risco, acesso a recursos com dados sensíveis por meio de falsificação de identidade de SA Um pool de nós do GKE pode personificar uma conta de serviço (SA) que concede acesso a um recurso que contém dados confidenciais. Isso aumenta o risco de acesso não autorizado, violações de dados e escalonamento de privilégios.
Pool de nós do GKE: boletim de alto risco, acesso direto a recursos de alto valor Um pool de nós do GKE tem acesso direto a um recurso de alto valor, o que aumenta o risco de acesso não autorizado, escalonamento de privilégios e possível comprometimento de dados.
Pool de nós do GKE: boletim de alto risco, acesso direto ao recurso com dados sensíveis Um pool de nós do GKE tem acesso direto a um recurso que contém dados sensíveis, o que aumenta o risco de acesso não autorizado, violações de dados e escalonamento de privilégios.
Pool de nós do GKE exposto externamente: boletim de alto risco Um pool de nós do GKE está exposto externamente e é afetado por uma CVE de alto risco. Isso aumenta significativamente o risco de ataques remotos, acesso não autorizado e comprometimento do sistema.
Pool de nós do GKE: boletim de alto risco, capacidade de personificar a conta de serviço Há um boletim de alto risco em um pool de nós do GKE que tem permissões para personificar outra conta de serviço (SA, na sigla em inglês), o que aumenta o risco de escalonamento de privilégios e acesso não autorizado a recursos críticos.
Pool de nós do GKE: boletim de alto risco, permissões diretas excessivas Há um boletim de alto risco em um pool de nós do GKE que tem permissões excessivas em outro recurso, concedendo acesso não intencional. Isso aumenta o risco de escalonamento de privilégios, acesso não autorizado e exposição de dados.
Pool de nós do GKE: boletim de alto risco, permissões excessivas por meio de personificação de SA Há um boletim de alto risco em um pool de nós do GKE que tem permissões excessivas em outro recurso por meio da representação de conta de serviço (SA, na sigla em inglês), aumentando o risco de escalonamento de privilégios e acesso não autorizado.
A conta de serviço com chave não alternada tem permissões excessivas Uma conta de serviço está usando uma chave de longa duração e não rotacionada com permissões excessivas, o que aumenta o risco de comprometimento de credenciais, acesso não autorizado e escalonamento de privilégios.
A conta de serviço com chave gerenciada pelo usuário tem permissões excessivas Uma conta de serviço com chaves gerenciadas pelo usuário e permissões excessivas, o que aumenta o risco de vazamento de credenciais e escalonamento de privilégios.
Carga de trabalho do GKE exposta externamente vulnerável à CVE-2025-49844 (exploit disponível, execução de código remoto crítica no Redis) Identifica cargas de trabalho do GKE expostas externamente que executam o Redis e são vulneráveis à CVE-2025-49844, uma falha crítica de execução remota de código com uma exploração conhecida.
Instância do GCE exposta externamente vulnerável à CVE-2025-49844 (exploração disponível, execução remota de código crítica no Redis) Identifica instâncias do GCE expostas externamente que executam o Redis e são vulneráveis à CVE-2025-49844, uma falha crítica de execução remota de código com uma exploração conhecida.
Carga de trabalho do GKE exposta externamente vulnerável à CVE-2025-32433 (RCE crítica no SSH do Erlang) Identifica cargas de trabalho do GKE expostas externamente que executam o Erlang SSH e são vulneráveis à CVE-2025-32433, uma falha crítica de execução remota de código que está sendo explorada ativamente por invasores.
Instância do GCE exposta externamente vulnerável à CVE-2025-32433 (RCE crítica no Erlang SSH) Identifica instâncias do GCE expostas externamente que executam o Erlang SSH e são vulneráveis à CVE-2025-32433, uma falha crítica de execução de código remoto explorada ativamente por invasores.
Carga de trabalho do GKE exposta externamente vulnerável à CVE-2023-46604 (RCE crítica no Apache ActiveMQ, explorada em estado selvagem) Identifica cargas de trabalho do GKE expostas externamente que executam o Apache ActiveMQ vulnerável à CVE-2023-46604, uma falha crítica de execução de código remoto no protocolo OpenWire que é explorada ativamente por invasores.
Instância do GCE exposta externamente vulnerável à CVE-2023-46604 (RCE crítica no Apache ActiveMQ, explorada em estado selvagem) Identifica instâncias do GCE expostas externamente que executam o Apache ActiveMQ vulnerável à CVE-2023-46604, uma falha crítica de execução de código remoto no protocolo OpenWire que é explorada ativamente por invasores.
Instância do GCE vulnerável à CVE-2025-32463 (Sudo) com exploit conhecido Identifica instâncias do GCE vulneráveis à CVE-2025-32463, uma falha de escalonamento de privilégios locais no Sudo com um exploit conhecido.
Instância do GCE vulnerável à CVE crítica do kit de ferramentas de contêineres da Nvidia (CVE-2025-23266) Identifica instâncias do GCE que usam cargas de trabalho de GPU vulneráveis à CVE-2025-23266, uma falha crítica de escalonamento de privilégios no NVIDIA Container Toolkit.
Instância do GCE exposta externamente vulnerável à CVE-2025-59287 de alto risco (explorada de forma livre, execução remota de código crítica no WSUS) Identifica instâncias do GCE expostas externamente que executam o WSUS do Windows e são vulneráveis à CVE-2025-59287, uma falha crítica de execução remota de código que está sendo explorada ativamente por invasores.
Vertex AI Workbench: CVE de alto risco Uma CVE de alto risco foi detectada em uma instância do Gemini Enterprise Agent Platform Workbench. Essa vulnerabilidade aumenta o risco de acesso não autorizado ao ambiente de desenvolvimento, o que pode expor dados de treinamento e o código-fonte do modelo à exfiltração.
Vertex AI Workbench: CVE de alto risco, permissões excessivas Uma instância do Vertex AI Workbench com uma CVE de alto risco está usando uma conta de serviço com privilégios excessivos. Essa combinação permite que os invasores explorem a vulnerabilidade para escalonar privilégios e comprometer outros recursos de nuvem.
Agent Runtime: CVE de alto risco, identidade de SA com acesso a recursos de alto valor por meio de personificação de SA Uma CVE de alto risco foi detectada em um agente de IA implantado no Agent Runtime que pode personificar uma conta de serviço com acesso a um recurso crítico. Essa vulnerabilidade aumenta o risco de escalonamento de privilégios e acesso não autorizado a dados ou sistemas sensíveis.
Agent Runtime: CVE de alto risco, identidade de SA com acesso a recursos com dados sensíveis por meio de falsificação de identidade de SA Um agente de IA implantado no Agent Runtime com uma CVE de alto risco tem acesso a um recurso que contém dados sensíveis por meio de personificação de conta de serviço (SA). Essa vulnerabilidade aumenta o risco de acesso não autorizado a dados, escalonamento de privilégios e possíveis violações de dados.
Agent Runtime: CVE de alto risco, identidade de SA com acesso direto a recursos de alto valor Um agente de IA implantado no Agent Runtime com uma CVE de alto risco tem acesso direto a um recurso de alto valor, o que aumenta a probabilidade de exploração, acesso não autorizado e comprometimento de dados.
Agent Runtime: CVE de alto risco, identidade de SA com acesso direto ao recurso com dados sensíveis Um agente de IA implantado no Agent Runtime com uma CVE de alto risco tem acesso direto a um recurso que contém dados sensíveis. Essa vulnerabilidade aumenta o risco de acesso não autorizado, violações de dados e escalonamento de privilégios.
Agent Runtime: CVE de alto risco, identidade de SA com permissões diretas excessivas Um agente de IA implantado no Agent Runtime com uma CVE de alto risco tem permissões excessivas diretas em outro recurso, aumentando o risco de acesso não autorizado, escalonamento de privilégios e comprometimento de recursos.
Agent Runtime: CVE de alto risco, identidade de SA com permissões excessivas por meio de representação de SA Um agente de IA implantado no Agent Runtime com uma CVE de alto risco tem permissões excessivas em outro recurso por meio da representação de conta de serviço (SA), aumentando o risco de escalonamento de privilégios e acesso não autorizado.
Agent Runtime: CVE de alto risco, identidade de SA com capacidade de personificar SA Um agente de IA implantado no Agent Runtime com uma CVE de alto risco pode personificar outra conta de serviço. Isso aumenta significativamente o risco de escalonamento de privilégios, acesso não autorizado e possível comprometimento de recursos críticos da nuvem.
Bucket do Cloud Storage: bucket exposto publicamente usado para implantação do Agent Runtime Um bucket do Cloud Storage exposto publicamente foi usado para implantar o agente de IA no Agent Runtime. Isso aumenta o risco de vazamento de código e envenenamento do agente.

Regras de ameaças correlacionadas

As ameaças correlacionadas ajudam a identificar vários padrões de ataque em vários estágios em recursos de nuvem. A tabela a seguir define as regras de ameaças correlacionadas disponíveis.

Regra Descrição
Vários indicadores de ameaça correlacionados de software de mineração de criptomoedas Procure vários sinais distintos de software malicioso provenientes de máquinas virtuais do Google Cloud , incluindo VMs do Compute Engine e nós do Google Kubernetes Engine (GKE) (e os pods deles).

Os exemplos incluem:

  • A VM Threat Detection detecta um programa de criptomoeda, e o Event Threat Detection detecta conexões com endereços IP ou domínios de criptomoeda da mesma VM.
  • O Detecção de Ameaças em Contêiner detecta um programa que está usando o protocolo de estrato de mineração de criptomoedas, e o Event Threat Detection detecta uma conexão com um endereço IP de mineração de criptomoedas no mesmo nó do Google Kubernetes Engine.
Vários indicadores de ameaça correlacionados de software malicioso Procure vários sinais distintos de software malicioso provenientes de máquinas virtuais do Google Cloud, incluindo VMs do Compute Engine e nós do GKE (e os pods deles) ou o Agent Runtime.

Os exemplos incluem:

  • O Container Threat Detection detecta se um binário malicioso e um script Python malicioso estão em execução no mesmo pod.
  • O Event Threat Detection detecta uma VM que está se conectando a um endereço IP de malware, e a VM Threat Detection detecta malware no disco na mesma VM.
  • A Detecção de Ameaças da Agent Platform detecta um URL mal-intencionado e um shell reverso do mesmo agente de IA.
Movimento lateral de conta do GCP potencialmente comprometida para recurso de computação comprometido Procure evidências de chamadas suspeitas para APIs de computação (Compute Engine ou GKE) que modificam uma VM ou um pod. Em seguida, a regra correlaciona essa atividade com uma atividade maliciosa que se origina do recurso de computação em um curto período. Os invasores costumam usar esse padrão de movimento lateral. Essa regra indica que a VM ou o pod provavelmente está comprometido. Essa regra também indica que a conta do Google Cloud (de usuário ou de serviço) pode ser a causa da atividade maliciosa.

Confira alguns exemplos:

  • O Event Threat Detection detecta que um usuário adicionou uma nova chave SSH a uma instância do Compute Engine, e a VM Threat Detection detecta um minerador de criptomoedas em execução na mesma instância.
  • O Event Threat Detection detecta que uma conta de serviço acessou uma instância usando a API Compute Engine da rede Tor e detecta conexões com um endereço IP malicioso da mesma instância.
  • O Event Threat Detection detecta que um usuário criou um contêiner privilegiado, e a Detecção de Ameaças em Contêiner detecta que o contêiner acessou arquivos confidenciais no nó do GKE do mesmo pod.

A seguir