Vordefinierte Erkennungsregeln

Das Security Command Center bietet integrierte Erkennungsregeln, mit denen Sie Bedrohungen, Sicherheitslücken und Fehlkonfigurationen in Ihrer Cloud-Umgebung identifizieren können. In diesem Dokument werden die vordefinierten Regeln für den Sicherheitsgraphen und korrelierte Bedrohungen beschrieben.

Informationen zu Regeln und Ergebnissen anderer integrierter Dienste finden Sie unter Event Threat Detection-Regeln und VM Threat Detection-Ergebnisse.

Vordefinierte Sicherheitsgraphregeln

Der Sicherheitsgraph verwendet Knoten, um Cloud-Ressourcen wie Assets, Identitäten, Anwendungen und Daten zu identifizieren. Kanten im Diagramm stellen Risikobeziehungen zwischen diesen Ressourcen gemäß den Erkennungsregeln dar. Wenn ein Beziehungsrisiko erkannt wird, generiert der Sicherheitsgraph ein Problem.

Das Security Command Center verwendet vordefinierte Sicherheitsgraphregeln, um Probleme zu identifizieren, die Ihre Ressourcen potenziell gefährden könnten.

In der folgenden Tabelle werden diese Regeln definiert. Informationen zum Untersuchen von Problemen finden Sie unter Probleme verwalten und beheben.

Regel Beschreibung
GCE-Instanz: CVE mit hohem Risiko, Zugriff auf hochwertige Ressource über Identitätsübernahme des Dienstkontos Auf einer Compute Engine-Instanz wurde eine CVE mit hohem Risiko erkannt, die die Identität eines Dienstkontos (SA) mit Zugriff auf eine kritische Ressource übernehmen kann. Diese Sicherheitslücke erhöht das Risiko einer Rechteausweitung und eines unbefugten Zugriffs auf sensible Daten oder Systeme.
GCE-Instanz: CVE mit hohem Risiko, Zugriff auf Ressource mit sensiblen Daten über SA-Identitätsübernahme Eine Compute Engine-Instanz mit einer hochriskanten CVE hat über die Identitätsübernahme eines Dienstkontos Zugriff auf eine Ressource mit sensiblen Daten. Diese Sicherheitslücke erhöht das Risiko von unbefugtem Datenzugriff, Rechteausweitung und potenziellen Datenpannen.
GCE-Instanz: CVE mit hohem Risiko, direkter Zugriff auf hochwertige Ressource Eine Compute Engine-Instanz mit einer CVE mit hohem Risiko hat direkten Zugriff auf eine hochwertige Ressource, was die Wahrscheinlichkeit von Exploits, unbefugtem Zugriff und Datenkompromittierung erhöht.
GCE-Instanz: CVE mit hohem Risiko, direkter Zugriff auf Ressource mit sensiblen Daten Eine Compute Engine-Instanz mit einer CVE mit hohem Risiko hat direkten Zugriff auf eine Ressource, die sensible Daten enthält. Diese Sicherheitslücke erhöht das Risiko von unbefugtem Zugriff, Datenpannen und Rechteausweitung.
Extern zugängliche GCE-Instanz: CVE mit hohem Risiko, Exploit verfügbar Eine Compute Engine-Instanz ist extern zugänglich und von einer hochriskanten CVE mit einem bekannten Exploit betroffen. Dadurch erhöht sich das Risiko von Remote-Angriffen, unbefugtem Zugriff und Systemkompromittierung erheblich.
GCE-Instanz: CVE mit hohem Risiko, Möglichkeit, die Identität eines Dienstkontos zu übernehmen Eine Compute Engine-Instanz ist von einer hochriskanten CVE betroffen und kann die Identität eines anderen Dienstkontos übernehmen. Dies erhöht das Risiko einer Rechteausweitung, eines unbefugten Zugriffs und einer potenziellen Gefährdung kritischer Cloud-Ressourcen erheblich.
GCE-Instanz: CVE mit hohem Risiko, übermäßige direkte Berechtigungen Eine Compute Engine-Instanz mit einer risikoreichen CVE hat direkte übermäßige Berechtigungen für eine andere Ressource, was das Risiko von unbefugtem Zugriff, Rechteausweitung und Ressourcenkompromittierung erhöht.
GCE-Instanz: CVE mit hohem Risiko, übermäßige Berechtigungen über die Identitätsübernahme des Dienstkontos Eine Compute Engine-Instanz mit einer hochriskanten CVE hat über die Identitätsübernahme für ein Dienstkonto (SA) übermäßige Berechtigungen für eine andere Ressource, was das Risiko einer Rechteausweitung und eines unbefugten Zugriffs erhöht.
Extern zugängliche GKE-Arbeitslast: CVE mit hohem Risiko, Exploit verfügbar Eine GKE-Arbeitslast ist extern zugänglich und von einer CVE mit hohem Risiko und einem bekannten Exploit betroffen. Dadurch erhöht sich das Risiko von Remote-Angriffen, unbefugtem Zugriff und Systemkompromittierung erheblich.
GKE-Knotenpool: Bulletin mit hohem Risiko, Zugriff auf hochwertige Ressource über SA-Identitätsübernahme Ein GKE-Knotenpool kann die Identität eines Dienstkontos übernehmen, das Zugriff auf eine hochwertige Ressource gewährt. Dies erhöht das Risiko von Rechteausweitung, unbefugtem Zugriff und Datenkompromittierung.
GKE-Knotenpool: Bulletin mit hohem Risiko, Zugriff auf Ressource mit sensiblen Daten über SA-Identitätsübernahme Ein GKE-Knotenpool kann die Identität eines Dienstkontos übernehmen, das Zugriff auf eine Ressource mit sensiblen Daten gewährt. Dies erhöht das Risiko von unbefugtem Zugriff, Datenpannen und Rechteausweitung.
GKE-Knotenpool: Bulletin mit hohem Risiko, direkter Zugriff auf hochwertige Ressource Ein GKE-Knotenpool hat direkten Zugriff auf eine hochwertige Ressource, was das Risiko von unbefugtem Zugriff, Rechteausweitung und potenzieller Datenkompromittierung erhöht.
GKE-Knotenpool: Bulletin mit hohem Risiko, direkter Zugriff auf Ressource mit sensiblen Daten Ein GKE-Knotenpool hat direkten Zugriff auf eine Ressource mit sensiblen Daten, was das Risiko von unbefugtem Zugriff, Datenpannen und Rechteausweitung erhöht.
Extern zugänglicher GKE-Knotenpool: Bulletin mit hohem Risiko Ein GKE-Knotenpool ist extern zugänglich und von einer CVE mit hohem Risiko betroffen. Dadurch erhöht sich das Risiko von Remote-Angriffen, unbefugtem Zugriff und Systemkompromittierung erheblich.
GKE-Knotenpool: Bulletin mit hohem Risiko, Möglichkeit zur Identitätsübernahme von Dienstkonten Es gibt ein Bulletin mit hohem Risiko für einen GKE-Knotenpool, der Berechtigungen zum Übernehmen der Identität eines anderen Dienstkontos hat. Dadurch erhöht sich das Risiko einer Rechteausweitung und eines nicht autorisierten Zugriffs auf kritische Ressourcen.
GKE-Knotenpool: Bulletin mit hohem Risiko, übermäßige direkte Berechtigungen Es gibt eine Meldung mit hohem Risiko zu einem GKE-Knotenpool, der übermäßige Berechtigungen für eine andere Ressource hat, wodurch er unbeabsichtigten Zugriff erhält. Dies erhöht das Risiko von Rechteausweitung, unbefugtem Zugriff und Datenpannen.
GKE-Knotenpool: Bulletin mit hohem Risiko, übermäßige Berechtigungen über die Identitätsübernahme des Dienstkontos Es gibt ein Bulletin mit hohem Risiko für einen GKE-Knotenpool, der über die Identitätsübernahme des Dienstkontos (SA) übermäßige Berechtigungen für eine andere Ressource hat. Dadurch erhöht sich das Risiko einer Rechteausweitung und eines nicht autorisierten Zugriffs.
Dienstkonto mit nicht rotiertem Schlüssel hat nicht erforderliche Berechtigungen Ein Dienstkonto verwendet einen langlebigen, nicht rotierten Schlüssel mit übermäßigen Berechtigungen, was das Risiko von kompromittierten Anmeldedaten, unbefugtem Zugriff und Rechteausweitung erhöht.
Dienstkonto mit vom Nutzer verwaltetem Schlüssel hat zu viele Berechtigungen Ein Dienstkonto mit vom Nutzer verwalteten Schlüsseln und übermäßigen Berechtigungen, was das Risiko von Datenlecks und Rechteausweitung erhöht.
Extern zugängliche GKE-Arbeitslast, die für CVE-2025-49844 anfällig ist (Exploit verfügbar, kritische Remote-Codeausführung in Redis) Identifiziert extern zugängliche GKE-Arbeitslasten, auf denen Redis ausgeführt wird und die für CVE-2025-49844 anfällig sind, eine kritische Sicherheitslücke für die Codeausführung per Fernzugriff mit einem bekannten Exploit.
Extern zugängliche GCE-Instanz, die anfällig für CVE-2025-49844 ist (Exploit verfügbar, kritische Codeausführung per Fernzugriff in Redis) Identifiziert extern zugängliche GCE-Instanzen, auf denen Redis ausgeführt wird und die anfällig für CVE-2025-49844 sind, eine kritische Sicherheitslücke für die Remote-Codeausführung mit einem bekannten Exploit.
Extern zugängliche GKE-Arbeitslast, die für CVE-2025-32433 anfällig ist (kritische RCE in Erlang SSH) Identifiziert extern zugängliche GKE-Arbeitslasten, die Erlang SSH ausführen und für CVE-2025-32433 anfällig sind, eine kritische Sicherheitslücke zur Remote-Codeausführung, die von Angreifern aktiv ausgenutzt wird.
Extern zugängliche GCE-Instanz, die anfällig für CVE-2025-32433 (kritische RCE in Erlang SSH) ist Identifiziert extern zugängliche GCE-Instanzen, auf denen Erlang SSH ausgeführt wird und die anfällig für CVE-2025-32433 sind, eine kritische Sicherheitslücke zur Remote-Codeausführung, die von Angreifern aktiv ausgenutzt wird.
Extern zugängliche GKE-Arbeitslast, die für CVE-2023-46604 anfällig ist (kritische RCE in Apache ActiveMQ, die in der Praxis ausgenutzt wird) Identifiziert extern zugängliche GKE-Arbeitslasten, auf denen Apache ActiveMQ ausgeführt wird und die anfällig für CVE-2023-46604 sind, eine kritische Sicherheitslücke zur Remotecodeausführung im OpenWire-Protokoll, die von Angreifern aktiv ausgenutzt wird.
Extern zugängliche GCE-Instanz, die für CVE-2023-46604 anfällig ist (kritische RCE in Apache ActiveMQ, die in freier Wildbahn ausgenutzt wird) Identifiziert extern zugängliche GCE-Instanzen, auf denen Apache ActiveMQ ausgeführt wird und die anfällig für CVE-2023-46604 sind, eine kritische Sicherheitslücke zur Remotecodeausführung im OpenWire-Protokoll, die von Angreifern aktiv ausgenutzt wird.
GCE-Instanz mit bekannter Sicherheitslücke CVE-2025-32463 (Sudo) und bekanntem Exploit Identifiziert GCE-Instanzen, die für CVE-2025-32463 anfällig sind, eine Sicherheitslücke zur lokalen Rechteausweitung in Sudo mit einem bekannten Exploit.
GCE-Instanz anfällig für kritische Nvidia Container Toolkit-CVE (CVE-2025-23266) Identifiziert GCE-Instanzen mit GPU-Arbeitslasten, die anfällig für CVE-2025-23266 sind, eine kritische Sicherheitslücke im NVIDIA Container Toolkit, die eine Rechteausweitung ermöglicht.
Extern offengelegte GCE-Instanz, die anfällig für die risikoreiche CVE-2025-59287 ist (in freier Wildbahn ausgenutzt, kritische Remote-Codeausführung in WSUS) Identifiziert extern zugängliche GCE-Instanzen, auf denen Windows WSUS ausgeführt wird und die anfällig für CVE-2025-59287 sind, eine kritische Sicherheitslücke für die Remote-Codeausführung, die von Angreifern aktiv ausgenutzt wird.
Vertex AI Workbench: CVE mit hohem Risiko Auf einer Gemini Enterprise Agent Platform Workbench-Instanz wurde eine CVE mit hohem Risiko erkannt. Diese Sicherheitslücke erhöht das Risiko eines unbefugten Zugriffs auf die Entwicklungsumgebung, wodurch Trainingsdaten und Modellquellcode möglicherweise exfiltriert werden können.
Vertex AI Workbench: CVE mit hohem Risiko, übermäßige Berechtigungen Eine Vertex AI Workbench-Instanz mit einer hochriskanten CVE verwendet ein Dienstkonto mit zu vielen Berechtigungen. Diese Kombination ermöglicht es Angreifern, die Sicherheitslücke auszunutzen, um Berechtigungen zu eskalieren und andere Cloud-Ressourcen zu manipulieren.
Agent Runtime: CVE mit hohem Risiko, SA-Identität mit Zugriff auf hochwertige Ressource über SA-Identitätsübernahme In einem KI-Agenten, der in der Agent Runtime bereitgestellt wurde, wurde eine CVE mit hohem Risiko erkannt. Der KI-Agent kann die Identität eines Dienstkontos mit Zugriff auf eine kritische Ressource übernehmen. Diese Sicherheitslücke erhöht das Risiko einer Rechteausweitung und eines unbefugten Zugriffs auf sensible Daten oder Systeme.
Agent Runtime: CVE mit hohem Risiko, Dienstkonto-Identität mit Zugriff auf Ressource mit sensiblen Daten über Dienstkonto-Identitätsübernahme Ein KI-Agent, der in Agent Runtime mit einer hochriskanten CVE bereitgestellt wurde, hat über die Identitätsübernahme des Dienstkontos Zugriff auf eine Ressource mit sensiblen Daten. Diese Sicherheitslücke erhöht das Risiko von unbefugtem Datenzugriff, Rechteausweitung und potenziellen Datenpannen.
Agent Runtime: CVE mit hohem Risiko, SA-Identität mit direktem Zugriff auf hochwertige Ressource Ein KI-Agent, der mit einer CVE mit hohem Risiko in Agent Runtime bereitgestellt wird, hat direkten Zugriff auf eine hochwertige Ressource. Dadurch erhöht sich die Wahrscheinlichkeit von Missbrauch, unbefugtem Zugriff und Datenkompromittierung.
Agent Runtime: CVE mit hohem Risiko, SA-Identität mit direktem Zugriff auf Ressource mit sensiblen Daten Ein KI-Agent, der mit einer CVE mit hohem Risiko in Agent Runtime bereitgestellt wurde, hat direkten Zugriff auf eine Ressource mit sensiblen Daten. Diese Sicherheitslücke erhöht das Risiko von unbefugtem Zugriff, Datenpannen und Rechteausweitung.
Agent Runtime: CVE mit hohem Risiko, SA-Identität mit übermäßigen direkten Berechtigungen Ein KI-Agent, der mit einer CVE mit hohem Risiko in Agent Runtime bereitgestellt wurde, hat direkte, übermäßige Berechtigungen für eine andere Ressource. Dadurch erhöht sich das Risiko von unbefugtem Zugriff, Rechteausweitung und Ressourcensabotage.
Agent Runtime: CVE mit hohem Risiko, SA-Identität mit übermäßigen Berechtigungen über SA-Identitätsübernahme Ein KI-Agent, der mit einer hochriskanten CVE in Agent Runtime bereitgestellt wurde, hat über die Identitätsübernahme eines Dienstkontos (SA) übermäßige Berechtigungen für eine andere Ressource. Dadurch erhöht sich das Risiko einer Rechteausweitung und eines unbefugten Zugriffs.
Agent Runtime: CVE mit hohem Risiko, SA-Identität mit der Möglichkeit, sich als SA auszugeben Ein KI-Agent, der mit einer hochriskanten CVE in Agent Runtime bereitgestellt wurde, kann die Identität eines anderen Dienstkontos übernehmen. Dies erhöht das Risiko einer Rechteausweitung, eines unbefugten Zugriffs und einer potenziellen Gefährdung kritischer Cloud-Ressourcen erheblich.
Cloud Storage-Bucket: Öffentlich zugänglicher Bucket, der für die Agent Runtime-Bereitstellung verwendet wird Ein öffentlich zugänglicher Cloud Storage-Bucket wurde verwendet, um einen KI-Agenten in Agent Runtime bereitzustellen. Dadurch erhöht sich das Risiko, dass Agent-Code preisgegeben wird und der Agent manipuliert wird.

Regeln für korrelierte Bedrohungen

Mit korrelierten Bedrohungen können Sie verschiedene mehrstufige Angriffsmuster in Cloud-Ressourcen identifizieren. In der folgenden Tabelle werden die verfügbaren Regeln für korrelierte Bedrohungen definiert.

Regel Beschreibung
Mehrere korrelierte Bedrohungssignale von Kryptowährung-Mining-Software Suchen Sie nach mehreren unterschiedlichen Signalen für schädliche Software, die von virtuellen Google Cloud -Maschinen stammen, einschließlich Compute Engine-VMs und Google Kubernetes Engine-Knoten (GKE) und deren Pods.

Beispiele:

  • VM Threat Detection erkennt ein Kryptowährungsprogramm und Event Threat Detection erkennt Verbindungen zu Kryptowährungs-IP-Adressen oder -Domains von derselben VM.
  • Container Threat Detection erkennt ein Programm, das das Stratum-Protokoll für das Mining von Kryptowährungen verwendet, und Event Threat Detection erkennt eine Verbindung zu einer IP-Adresse für das Mining von Kryptowährungen vom selben Google Kubernetes Engine-Knoten.
Mehrere korrelierte Bedrohungssignale von Malware Suchen Sie nach mehreren unterschiedlichen Signalen für bösartige Software, die von Google Cloud-VMs stammen, einschließlich Compute Engine-VMs und GKE-Knoten (und deren Pods) oder Agent Runtime.

Beispiele:

  • Container Threat Detection erkennt, ob sowohl eine schädliche Binärdatei als auch ein schädliches Python-Skript im selben Pod ausgeführt werden.
  • Event Threat Detection erkennt eine VM, die eine Verbindung zu einer Malware-IP-Adresse herstellt, und VM Threat Detection erkennt Malware auf dem Laufwerk in derselben VM.
  • Die Bedrohungserkennung für Agent Platform erkennt eine schädliche URL und einen Reverse-Shell-Angriff vom selben KI-Agenten.
Potenziell kompromittiertes GCP-Konto – Seitwärtsbewegung zu kompromittierter Rechenressource Suchen Sie nach Hinweisen auf verdächtige Aufrufe von Compute APIs (Compute Engine oder GKE), die eine VM oder einen Pod ändern. Die Regel korreliert diese Aktivität dann mit schädlichen Aktivitäten, die innerhalb eines kurzen Zeitraums von der Compute-Ressource ausgehen. Angreifer verwenden dieses Muster für Lateral Movement häufig. Diese Regel gibt an, dass die VM oder der Pod wahrscheinlich manipuliert wurde. Diese Regel weist auch darauf hin, dass das Konto Google Cloud (entweder Nutzer- oder Dienstkonto) die Ursache für die schädliche Aktivität sein kann.

Beispiele:

  • Event Threat Detection erkennt, dass ein Nutzer einer Compute Engine-Instanz einen neuen SSH-Schlüssel hinzugefügt hat, und VM Threat Detection erkennt einen Kryptowährungs-Miner, der auf derselben Instanz ausgeführt wird.
  • Event Threat Detection erkennt, dass ein Dienstkonto über das Tor-Netzwerk mit der Compute Engine API auf eine Instanz zugegriffen hat, und Event Threat Detection erkennt Verbindungen zu einer schädlichen IP-Adresse von derselben Instanz.
  • Event Threat Detection erkennt, dass ein Nutzer einen privilegierten Container erstellt hat, und Container Threat Detection erkennt, dass der Container über denselben Pod auf vertrauliche Dateien auf dem GKE-Knoten zugegriffen hat.

Nächste Schritte