Regole di rilevamento predefinite

Security Command Center fornisce regole di rilevamento integrate per identificare minacce, vulnerabilità ed errori di configurazione nel tuo ambiente cloud. Questo documento descrive le regole predefinite per il grafico di sicurezza e le minacce correlate.

Per informazioni sulle regole e sui risultati di altri servizi integrati, consulta Regole di Event Threat Detection e Risultati di VM Threat Detection.

Regole del grafico di sicurezza predefinite

Il grafo di sicurezza utilizza i nodi per identificare le risorse cloud come asset, identità, applicazioni e dati. Gli archi nel grafico rappresentano le relazioni di rischio tra queste risorse in base alle regole di rilevamento. Quando viene rilevato un rischio di relazione, il grafico di sicurezza genera un problema.

Security Command Center utilizza regole del grafico di sicurezza predefinite per identificare i problemi che potrebbero compromettere le tue risorse.

La tabella seguente definisce queste regole. Per informazioni su come esaminare i problemi, consulta Gestisci e correggi i problemi.

Regola Descrizione
Istanza GCE: CVE ad alto rischio, accesso a una risorsa di alto valore tramite impersonificazione del service account È stata rilevata una CVE ad alto rischio in un'istanza Compute Engine che può simulare l'identità di un account di servizio (SA) con accesso a una risorsa critica. Questa vulnerabilità aumenta il rischio di escalation dei privilegi e di accesso non autorizzato a dati o sistemi sensibili.
Istanza GCE: CVE ad alto rischio, accesso alla risorsa con dati sensibili tramite simulazione dell'identità del service account Un'istanza Compute Engine con una CVE ad alto rischio ha accesso a una risorsa contenente dati sensibili utilizzando la simulazione dell'identità del account di servizio (SA). Questa vulnerabilità aumenta il rischio di accesso non autorizzato ai dati, escalation dei privilegi e potenziali violazioni dei dati.
Istanza GCE: CVE ad alto rischio, accesso diretto a una risorsa di alto valore Un'istanza Compute Engine con una CVE ad alto rischio ha accesso diretto a una risorsa di alto valore, aumentando la probabilità di exploit, accesso non autorizzato e compromissione dei dati.
Istanza GCE: CVE ad alto rischio, accesso diretto alla risorsa con dati sensibili Un'istanza Compute Engine con una CVE ad alto rischio ha accesso diretto a una risorsa contenente dati sensibili. Questa vulnerabilità aumenta il rischio di accessi non autorizzati, violazioni dei dati ed escalation dei privilegi.
Istanza GCE esposta esternamente: CVE ad alto rischio, exploit disponibile Un'istanza Compute Engine è esposta esternamente e interessata da una CVE ad alto rischio con un exploit noto. Ciò aumenta notevolmente il rischio di attacchi da remoto, accesso non autorizzato e compromissione del sistema.
Istanza GCE: CVE ad alto rischio, possibilità di impersonare un service account Un'istanza Compute Engine è interessata da una CVE ad alto rischio e può simulare l'identità di un altro account di servizio (SA). Ciò aumenta in modo significativo il rischio di escalation dei privilegi, accesso non autorizzato e potenziale compromissione di risorse cloud critiche.
Istanza GCE: CVE ad alto rischio, autorizzazioni dirette eccessive Un'istanza Compute Engine con una CVE ad alto rischio dispone di autorizzazioni eccessive dirette su un'altra risorsa, aumentando il rischio di accesso non autorizzato, escalation dei privilegi e compromissione delle risorse.
Istanza GCE: CVE ad alto rischio, autorizzazioni eccessive tramite impersonificazione SA Un'istanza Compute Engine con una CVE ad alto rischio dispone di autorizzazioni eccessive su un'altra risorsa tramite la simulazione dell'identità del account di servizio (SA), aumentando il rischio di escalation dei privilegi e di accesso non autorizzato.
Workload GKE esposto esternamente: CVE ad alto rischio, exploit disponibile Un workload GKE è esposto esternamente e interessato da una CVE ad alto rischio con un exploit noto. Ciò aumenta notevolmente il rischio di attacchi da remoto, accesso non autorizzato e compromissione del sistema.
Node pool GKE: bollettino ad alto rischio, accesso a risorse di alto valore tramite impersonificazione del service account Un pool di nodi GKE ha la possibilità di simulare l'identità di un account di servizio (SA) che concede l'accesso a una risorsa di valore elevato. Ciò aumenta il rischio di escalation dei privilegi, accesso non autorizzato e compromissione dei dati.
Node pool GKE: bollettino ad alto rischio, accesso alla risorsa con dati sensibili tramite la simulazione dell'identità SA Un pool di nodi GKE ha la possibilità di simulare l'identità di un account di servizio (SA) che concede l'accesso a una risorsa contenente dati sensibili. Ciò aumenta il rischio di accessi non autorizzati, violazioni dei dati ed escalation dei privilegi.
Node pool GKE: bollettino ad alto rischio, accesso diretto a una risorsa di alto valore Un pool di nodi GKE ha accesso diretto a una risorsa di valore elevato, aumentando il rischio di accesso non autorizzato, escalation dei privilegi e potenziale compromissione dei dati.
Pool di nodi GKE: bollettino ad alto rischio, accesso diretto alla risorsa con dati sensibili Un pool di nodi GKE ha accesso diretto a una risorsa contenente dati sensibili, aumentando il rischio di accesso non autorizzato, violazioni dei dati ed escalation dei privilegi.
Node pool GKE esposto esternamente: bollettino ad alto rischio Un pool di nodi GKE è esposto esternamente e interessato da una CVE ad alto rischio. Ciò aumenta notevolmente il rischio di attacchi da remoto, accessi non autorizzati e compromissione del sistema.
Node pool GKE: bollettino ad alto rischio, capacità di simulare l'identità di un account di servizio È presente un bollettino ad alto rischio su un pool di nodi GKE con autorizzazioni per simulare l'identità di un altro account di servizio (SA), aumentando il rischio di escalation dei privilegi e accesso non autorizzato a risorse critiche.
Pool di nodi GKE: bollettino ad alto rischio, autorizzazioni dirette eccessive Esiste un bollettino ad alto rischio su un pool di nodi GKE con autorizzazioni eccessive su un'altra risorsa, che concede un accesso non intenzionale. Ciò aumenta il rischio di escalation dei privilegi, accesso non autorizzato ed esposizione dei dati.
Node pool GKE: bollettino ad alto rischio, autorizzazioni eccessive tramite impersonificazione del service account Esiste un bollettino ad alto rischio su un pool di nodi GKE che dispone di autorizzazioni eccessive su un'altra risorsa tramite la simulazione dell'identità del account di servizio (SA), aumentando il rischio di escalation dei privilegi e accesso non autorizzato.
Il service account con chiave non ruotata dispone di autorizzazioni eccessive Un account di servizio utilizza una chiave di lunga durata non ruotata con autorizzazioni eccessive, aumentando il rischio di compromissione delle credenziali, accesso non autorizzato ed escalation dei privilegi.
Il service account con chiave gestita dall'utente dispone di autorizzazioni eccessive Un account di servizio con chiavi gestite dall'utente e autorizzazioni eccessive, che aumenta il rischio di fuga di credenziali ed escalation dei privilegi.
Workload GKE esposto esternamente vulnerabile a CVE-2025-49844 (exploit disponibile, esecuzione di codice da remoto critica in Redis) Identifica i workload GKE esposti esternamente che eseguono Redis e sono vulnerabili a CVE-2025-49844, un difetto critico di esecuzione di codice da remoto con un exploit noto.
Istanza GCE esposta esternamente vulnerabile a CVE-2025-49844 (exploit disponibile, esecuzione di codice da remoto critica in Redis) Identifica le istanze GCE esposte esternamente che eseguono Redis e sono vulnerabili a CVE-2025-49844, un difetto critico di esecuzione di codice da remoto con un exploit noto.
Workload GKE esposto esternamente vulnerabile a CVE-2025-32433 (RCE critico in Erlang SSH) Identifica i workload GKE esposti esternamente che eseguono Erlang SSH e sono vulnerabili a CVE-2025-32433, un difetto critico di esecuzione di codice da remoto sfruttato attivamente dagli utenti malintenzionati.
Istanza GCE esposta esternamente vulnerabile a CVE-2025-32433 (RCE critica in Erlang SSH) Identifica le istanze GCE esposte esternamente che eseguono Erlang SSH e sono vulnerabili a CVE-2025-32433, un difetto critico di esecuzione di codice da remoto sfruttato attivamente dagli utenti malintenzionati.
Workload GKE esposto esternamente vulnerabile a CVE-2023-46604 (RCE critico in Apache ActiveMQ, sfruttato in the wild) Identifica i workload GKE esposti esternamente che eseguono Apache ActiveMQ vulnerabile a CVE-2023-46604, un difetto critico di esecuzione di codice da remoto nel protocollo OpenWire sfruttato attivamente dagli utenti malintenzionati.
Istanza GCE esposta esternamente vulnerabile a CVE-2023-46604 (RCE critica in Apache ActiveMQ, sfruttata in natura) Identifica le istanze GCE esposte esternamente che eseguono Apache ActiveMQ vulnerabili a CVE-2023-46604, un difetto critico di esecuzione di codice remoto nel protocollo OpenWire sfruttato attivamente dagli aggressori.
Istanza GCE vulnerabile a CVE-2025-32463 (Sudo) con exploit noto Identifica le istanze GCE vulnerabili a CVE-2025-32463, una vulnerabilità di escalation dei privilegi locale in Sudo con un exploit noto.
Istanza GCE vulnerabile alla CVE critica di NVIDIA Container Toolkit (CVE-2025-23266) Identifica le istanze GCE che utilizzano workload GPU vulnerabili a CVE-2025-23266, un difetto critico di escalation dei privilegi nel toolkit del container NVIDIA.
Istanza GCE esposta esternamente vulnerabile alla CVE-2025-59287 ad alto rischio (sfruttata in natura, esecuzione di codice da remoto critica in WSUS) Identifica le istanze GCE esposte esternamente che eseguono Windows WSUS e sono vulnerabili a CVE-2025-59287, un difetto critico di esecuzione di codice da remoto sfruttato attivamente dagli utenti malintenzionati.
Vertex AI Workbench: CVE ad alto rischio È stata rilevata una CVE ad alto rischio in un'istanza di Gemini Enterprise Agent Platform Workbench. Questa vulnerabilità aumenta il rischio di accesso non autorizzato all'ambiente di sviluppo, esponendo potenzialmente i dati di addestramento e il codice sorgente del modello all'esfiltrazione.
Vertex AI Workbench: CVE ad alto rischio, autorizzazioni eccessive Un'istanza di Vertex AI Workbench con una CVE ad alto rischio utilizza un account di servizio con privilegi eccessivi. Questa combinazione consente agli utenti malintenzionati di sfruttare la vulnerabilità per elevare i privilegi e compromettere altre risorse cloud.
Agent Runtime: CVE ad alto rischio, identità SA con accesso a una risorsa di alto valore tramite impersonificazione SA È stata rilevata una CVE ad alto rischio su un agente AI di cui è stato eseguito il deployment in Agent Runtime che può simulare l'identità di un service account con accesso a una risorsa critica. Questa vulnerabilità aumenta il rischio di escalation dei privilegi e di accesso non autorizzato a dati o sistemi sensibili.
Agent Runtime: CVE ad alto rischio, identità del service account con accesso alla risorsa con dati sensibili tramite la simulazione dell'identità del service account Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio ha accesso a una risorsa contenente dati sensibili tramite la simulazione dell'identità del account di servizio (SA). Questa vulnerabilità aumenta il rischio di accesso non autorizzato ai dati, escalation dei privilegi e potenziali violazioni dei dati.
Agent Runtime: CVE ad alto rischio, identità SA con accesso diretto a una risorsa di alto valore Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio ha accesso diretto a una risorsa di alto valore, aumentando la probabilità di exploit, accesso non autorizzato e compromissione dei dati.
Agent Runtime: CVE ad alto rischio, identità SA con accesso diretto alla risorsa con dati sensibili Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio ha accesso diretto a una risorsa contenente dati sensibili. Questa vulnerabilità aumenta il rischio di accessi non autorizzati, violazioni dei dati ed escalation dei privilegi.
Agent Runtime: CVE ad alto rischio, identità SA con autorizzazioni dirette eccessive Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio dispone di autorizzazioni eccessive dirette su un'altra risorsa, aumentando il rischio di accesso non autorizzato, escalation dei privilegi e compromissione delle risorse.
Agent Runtime: CVE ad alto rischio, identità SA con autorizzazioni eccessive tramite impersonificazione SA Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio dispone di autorizzazioni eccessive su un'altra risorsa tramite la simulazione dell'identità del service account (SA), aumentando il rischio di escalation dei privilegi e accesso non autorizzato.
Agent Runtime: CVE ad alto rischio, identità SA con possibilità di impersonare SA Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio può simulare l'identità di un altro account di servizio. Ciò aumenta in modo significativo il rischio di escalation dei privilegi, accesso non autorizzato e potenziale compromissione di risorse cloud critiche.
Bucket Cloud Storage: bucket esposto pubblicamente utilizzato per il deployment di Agent Runtime È stato utilizzato un bucket Cloud Storage esposto pubblicamente per eseguire il deployment dell'agente AI in Agent Runtime. Ciò aumenta il rischio di fuga di codice dell'agente e di poisoning dell'agente.

Regole Correlated Threats

Le minacce correlate aiutano a identificare vari pattern di attacco multifase nelle risorse cloud. La tabella seguente definisce le regole disponibili per le minacce correlate.

Regola Descrizione
Più indicatori di minaccia correlati di software di mining di criptovalute Cerca più indicatori distinti di software dannoso provenienti dalle macchine virtuali Google Cloud , tra cui le VM di Compute Engine e i nodi di Google Kubernetes Engine (GKE) (e i relativi pod).

Alcuni esempi sono:

  • VM Threat Detection rileva un programma di criptovaluta ed Event Threat Detection rileva le connessioni agli indirizzi IP o ai domini di criptovaluta dalla stessa VM.
  • Container Threat Detection rileva un programma che utilizza il protocollo stratum di mining di criptovalute ed Event Threat Detection rileva una connessione a un indirizzo IP di mining di criptovalute dallo stesso nodo Google Kubernetes Engine.
Più indicatori di minaccia correlati di software dannoso Cerca più indicatori distinti di software dannoso provenienti dalle macchine virtuali Google Cloud, tra cui VM di Compute Engine e nodi GKE (e i relativi pod) o runtime dell'agente.

Alcuni esempi sono:

  • Container Threat Detection rileva se un file binario dannoso e uno script Python dannoso sono in esecuzione nello stesso pod.
  • Event Threat Detection rileva una VM che si connette a un indirizzo IP malware e VM Threat Detection rileva malware sul disco nella stessa VM.
  • Agent Platform Threat Detection rileva un URL dannoso e una reverse shell dallo stesso agente AI.
Movimento laterale dell'account GCP potenzialmente compromesso verso una risorsa di computing compromessa Cerca prove di chiamate sospette alle API di computing (Compute Engine o GKE) che modificano una VM o un pod. La regola mette quindi in correlazione questa attività con l'attività dannosa che ha origine dalla risorsa di computing entro un breve periodo. Gli utenti malintenzionati utilizzano comunemente questo pattern di movimento laterale. Questa regola indica che la VM o il pod sono probabilmente compromessi. Questa regola indica anche che l'account Google Cloud (utente o di account di servizio) potrebbe essere la causa dell'attività dannosa.

Alcuni esempi sono:

  • Event Threat Detection rileva che un utente ha aggiunto una nuova chiave SSH a un'istanza Compute Engine e VM Threat Detection rileva un miner di criptovalute in esecuzione sulla stessa istanza.
  • Event Threat Detection rileva che un account di servizio ha eseguito l'accesso a un'istanza utilizzando l'API Compute Engine dalla rete Tor ed Event Threat Detection rileva le connessioni a un indirizzo IP dannoso dalla stessa istanza.
  • Event Threat Detection rileva che un utente ha creato un container con privilegi e Container Threat Detection rileva che il container ha eseguito l'accesso a file sensibili sul nodo GKE dallo stesso pod.

Passaggi successivi