Il grafo di sicurezza è un database a grafo che utilizza i nodi per identificare le risorse cloud come asset, identità, applicazioni e dati. Gli archi del grafico determinano la relazione di rischio tra queste risorse in base alle regole di rilevamento. Quando viene rilevato un rischio di relazione, il grafico di sicurezza genera un problema.
Security Command Center utilizza regole del grafico di sicurezza predefinite per identificare i problemi che potrebbero compromettere le tue risorse.
La tabella seguente definisce queste regole. Per informazioni su come esaminare i problemi, consulta Gestisci e correggi i problemi.
| Regola | Descrizione |
|---|---|
| Istanza GCE: CVE ad alto rischio, accesso a una risorsa di alto valore tramite impersonificazione del service account | È stata rilevata una CVE ad alto rischio in un'istanza Compute Engine che può simulare l'identità di un account di servizio (SA) con accesso a una risorsa critica. Questa vulnerabilità aumenta il rischio di escalation dei privilegi e di accesso non autorizzato a dati o sistemi sensibili. |
| Istanza GCE: CVE ad alto rischio, accesso alla risorsa con dati sensibili tramite simulazione dell'identità del service account | Un'istanza Compute Engine con una CVE ad alto rischio ha accesso a una risorsa contenente dati sensibili utilizzando la simulazione dell'identità del account di servizio (SA). Questa vulnerabilità aumenta il rischio di accesso non autorizzato ai dati, escalation dei privilegi e potenziali violazioni dei dati. |
| Istanza GCE: CVE ad alto rischio, accesso diretto a una risorsa di alto valore | Un'istanza Compute Engine con una CVE ad alto rischio ha accesso diretto a una risorsa di alto valore, aumentando la probabilità di exploit, accesso non autorizzato e compromissione dei dati. |
| Istanza GCE: CVE ad alto rischio, accesso diretto alla risorsa con dati sensibili | Un'istanza Compute Engine con una CVE ad alto rischio ha accesso diretto a una risorsa contenente dati sensibili. Questa vulnerabilità aumenta il rischio di accessi non autorizzati, violazioni dei dati ed escalation dei privilegi. |
| Istanza GCE esposta esternamente: CVE ad alto rischio, exploit disponibile | Un'istanza Compute Engine è esposta esternamente e interessata da una CVE ad alto rischio con un exploit noto. Ciò aumenta notevolmente il rischio di attacchi da remoto, accesso non autorizzato e compromissione del sistema. |
| Istanza GCE: CVE ad alto rischio, possibilità di impersonare un service account | Un'istanza Compute Engine è interessata da una CVE ad alto rischio e può simulare l'identità di un altro account di servizio (SA). Ciò aumenta in modo significativo il rischio di escalation dei privilegi, accesso non autorizzato e potenziale compromissione di risorse cloud critiche. |
| Istanza GCE: CVE ad alto rischio, autorizzazioni dirette eccessive | Un'istanza Compute Engine con una CVE ad alto rischio dispone di autorizzazioni eccessive dirette su un'altra risorsa, aumentando il rischio di accesso non autorizzato, escalation dei privilegi e compromissione delle risorse. |
| Istanza GCE: CVE ad alto rischio, autorizzazioni eccessive tramite impersonificazione SA | Un'istanza Compute Engine con una CVE ad alto rischio dispone di autorizzazioni eccessive su un'altra risorsa tramite la simulazione dell'identità del account di servizio (SA), aumentando il rischio di escalation dei privilegi e di accesso non autorizzato. |
| Workload GKE esposto esternamente: CVE ad alto rischio, exploit disponibile | Un workload GKE è esposto esternamente e interessato da una CVE ad alto rischio con un exploit noto. Ciò aumenta notevolmente il rischio di attacchi da remoto, accesso non autorizzato e compromissione del sistema. |
| Node pool GKE: bollettino ad alto rischio, accesso a risorse di alto valore tramite impersonificazione del service account | Un pool di nodi GKE ha la possibilità di simulare l'identità di un account di servizio (SA) che concede l'accesso a una risorsa di valore elevato. Ciò aumenta il rischio di escalation dei privilegi, accesso non autorizzato e compromissione dei dati. |
| Node pool GKE: bollettino ad alto rischio, accesso alla risorsa con dati sensibili tramite la simulazione dell'identità SA | Un pool di nodi GKE ha la possibilità di simulare l'identità di un account di servizio (SA) che concede l'accesso a una risorsa contenente dati sensibili. Ciò aumenta il rischio di accessi non autorizzati, violazioni dei dati ed escalation dei privilegi. |
| Node pool GKE: bollettino ad alto rischio, accesso diretto a una risorsa di alto valore | Un pool di nodi GKE ha accesso diretto a una risorsa di valore elevato, aumentando il rischio di accesso non autorizzato, escalation dei privilegi e potenziale compromissione dei dati. |
| Pool di nodi GKE: bollettino ad alto rischio, accesso diretto alla risorsa con dati sensibili | Un pool di nodi GKE ha accesso diretto a una risorsa contenente dati sensibili, aumentando il rischio di accesso non autorizzato, violazioni dei dati ed escalation dei privilegi. |
| Node pool GKE esposto esternamente: bollettino ad alto rischio | Un pool di nodi GKE è esposto esternamente e interessato da una CVE ad alto rischio. Ciò aumenta notevolmente il rischio di attacchi da remoto, accessi non autorizzati e compromissione del sistema. |
| Node pool GKE: bollettino ad alto rischio, capacità di simulare l'identità di un account di servizio | È presente un bollettino ad alto rischio su un pool di nodi GKE con autorizzazioni per simulare l'identità di un altro account di servizio (SA), aumentando il rischio di escalation dei privilegi e accesso non autorizzato a risorse critiche. |
| Pool di nodi GKE: bollettino ad alto rischio, autorizzazioni dirette eccessive | Esiste un bollettino ad alto rischio su un pool di nodi GKE con autorizzazioni eccessive su un'altra risorsa, che concede un accesso non intenzionale. Ciò aumenta il rischio di escalation dei privilegi, accesso non autorizzato ed esposizione dei dati. |
| Node pool GKE: bollettino ad alto rischio, autorizzazioni eccessive tramite impersonificazione del service account | Esiste un bollettino ad alto rischio su un pool di nodi GKE che dispone di autorizzazioni eccessive su un'altra risorsa tramite la simulazione dell'identità del account di servizio (SA), aumentando il rischio di escalation dei privilegi e accesso non autorizzato. |
| Il service account con chiave non ruotata dispone di autorizzazioni eccessive | Un account di servizio utilizza una chiave di lunga durata non ruotata con autorizzazioni eccessive, aumentando il rischio di compromissione delle credenziali, accesso non autorizzato ed escalation dei privilegi. |
| Il service account con chiave gestita dall'utente dispone di autorizzazioni eccessive | Un account di servizio con chiavi gestite dall'utente e autorizzazioni eccessive, che aumenta il rischio di fuga di credenziali ed escalation dei privilegi. |
| Workload GKE esposto esternamente vulnerabile a CVE-2025-49844 (exploit disponibile, esecuzione di codice da remoto critica in Redis) | Identifica i workload GKE esposti esternamente che eseguono Redis e sono vulnerabili a CVE-2025-49844, un difetto critico di esecuzione di codice da remoto con un exploit noto. |
| Istanza GCE esposta esternamente vulnerabile a CVE-2025-49844 (exploit disponibile, esecuzione di codice da remoto critica in Redis) | Identifica le istanze GCE esposte esternamente che eseguono Redis e sono vulnerabili a CVE-2025-49844, un difetto critico di esecuzione di codice da remoto con un exploit noto. |
| Workload GKE esposto esternamente vulnerabile a CVE-2025-32433 (RCE critico in Erlang SSH) | Identifica i workload GKE esposti esternamente che eseguono Erlang SSH e sono vulnerabili a CVE-2025-32433, un difetto critico di esecuzione di codice da remoto sfruttato attivamente dagli utenti malintenzionati. |
| Istanza GCE esposta esternamente vulnerabile a CVE-2025-32433 (RCE critica in Erlang SSH) | Identifica le istanze GCE esposte esternamente che eseguono Erlang SSH e sono vulnerabili a CVE-2025-32433, un difetto critico di esecuzione di codice da remoto sfruttato attivamente dagli utenti malintenzionati. |
| Workload GKE esposto esternamente vulnerabile a CVE-2023-46604 (RCE critico in Apache ActiveMQ, sfruttato in the wild) | Identifica i workload GKE esposti esternamente che eseguono Apache ActiveMQ vulnerabile a CVE-2023-46604, un difetto critico di esecuzione di codice da remoto nel protocollo OpenWire sfruttato attivamente dagli utenti malintenzionati. |
| Istanza GCE esposta esternamente vulnerabile a CVE-2023-46604 (RCE critica in Apache ActiveMQ, sfruttata in natura) | Identifica le istanze GCE esposte esternamente che eseguono Apache ActiveMQ vulnerabili a CVE-2023-46604, un difetto critico di esecuzione di codice remoto nel protocollo OpenWire sfruttato attivamente dagli aggressori. |
| Istanza GCE vulnerabile a CVE-2025-32463 (Sudo) con exploit noto | Identifica le istanze GCE vulnerabili a CVE-2025-32463, una vulnerabilità di escalation dei privilegi locale in Sudo con un exploit noto. |
| Istanza GCE vulnerabile alla CVE critica di NVIDIA Container Toolkit (CVE-2025-23266) | Identifica le istanze GCE che utilizzano workload GPU vulnerabili a CVE-2025-23266, un difetto critico di escalation dei privilegi nel toolkit del container NVIDIA. |
| Istanza GCE esposta esternamente vulnerabile alla CVE-2025-59287 ad alto rischio (sfruttata in natura, esecuzione di codice da remoto critica in WSUS) | Identifica le istanze GCE esposte esternamente che eseguono Windows WSUS e sono vulnerabili a CVE-2025-59287, un difetto critico di esecuzione di codice da remoto sfruttato attivamente dagli utenti malintenzionati. |
| Vertex AI Workbench: CVE ad alto rischio | È stata rilevata una CVE ad alto rischio in un'istanza di Gemini Enterprise Agent Platform Workbench. Questa vulnerabilità aumenta il rischio di accesso non autorizzato all'ambiente di sviluppo, esponendo potenzialmente i dati di addestramento e il codice sorgente del modello all'esfiltrazione. |
| Vertex AI Workbench: CVE ad alto rischio, autorizzazioni eccessive | Un'istanza di Vertex AI Workbench con una CVE ad alto rischio utilizza un account di servizio con privilegi eccessivi. Questa combinazione consente agli utenti malintenzionati di sfruttare la vulnerabilità per elevare i privilegi e compromettere altre risorse cloud. |
| Agent Runtime: CVE ad alto rischio, identità SA con accesso a una risorsa di alto valore tramite impersonificazione SA | È stata rilevata una CVE ad alto rischio su un agente AI di cui è stato eseguito il deployment in Agent Runtime che può simulare l'identità di un service account con accesso a una risorsa critica. Questa vulnerabilità aumenta il rischio di escalation dei privilegi e di accesso non autorizzato a dati o sistemi sensibili. |
| Agent Runtime: CVE ad alto rischio, identità del service account con accesso alla risorsa con dati sensibili tramite la simulazione dell'identità del service account | Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio ha accesso a una risorsa contenente dati sensibili tramite la simulazione dell'identità del account di servizio (SA). Questa vulnerabilità aumenta il rischio di accesso non autorizzato ai dati, escalation dei privilegi e potenziali violazioni dei dati. |
| Agent Runtime: CVE ad alto rischio, identità SA con accesso diretto a una risorsa di alto valore | Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio ha accesso diretto a una risorsa di alto valore, aumentando la probabilità di exploit, accesso non autorizzato e compromissione dei dati. |
| Agent Runtime: CVE ad alto rischio, identità SA con accesso diretto alla risorsa con dati sensibili | Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio ha accesso diretto a una risorsa contenente dati sensibili. Questa vulnerabilità aumenta il rischio di accessi non autorizzati, violazioni dei dati ed escalation dei privilegi. |
| Agent Runtime: CVE ad alto rischio, identità SA con autorizzazioni dirette eccessive | Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio dispone di autorizzazioni eccessive dirette su un'altra risorsa, aumentando il rischio di accesso non autorizzato, escalation dei privilegi e compromissione delle risorse. |
| Agent Runtime: CVE ad alto rischio, identità SA con autorizzazioni eccessive tramite impersonificazione SA | Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio dispone di autorizzazioni eccessive su un'altra risorsa tramite la simulazione dell'identità del service account (SA), aumentando il rischio di escalation dei privilegi e accesso non autorizzato. |
| Agent Runtime: CVE ad alto rischio, identità SA con possibilità di impersonare SA | Un agente AI di cui è stato eseguito il deployment in Agent Runtime con una CVE ad alto rischio può simulare l'identità di un altro account di servizio. Ciò aumenta in modo significativo il rischio di escalation dei privilegi, accesso non autorizzato e potenziale compromissione di risorse cloud critiche. |
| Bucket Cloud Storage: bucket esposto pubblicamente utilizzato per il deployment di Agent Runtime | È stato utilizzato un bucket Cloud Storage esposto pubblicamente per eseguire il deployment dell'agente AI in Agent Runtime. Ciò aumenta il rischio di fuga di codice dell'agente e di poisoning dell'agente. |