El gráfico de seguridad es una base de datos de grafos que usa nodos para identificar recursos en la nube, como recursos, identidades, aplicaciones y datos. Los bordes del grafo determinan la relación de riesgo entre esos recursos según las reglas de detección. Cuando se descubre un riesgo de relación, el gráfico de seguridad genera un problema.
Security Command Center usa reglas predefinidas del gráfico de seguridad para identificar problemas que podrían comprometer tus recursos.
En la siguiente tabla, se definen estas reglas. Para obtener información sobre cómo investigar problemas, consulta Administra y soluciona problemas.
| Regla | Descripción |
|---|---|
| Instancia de GCE: CVE de alto riesgo, acceso a un recurso de alto valor a través de la suplantación de identidad de una SA | Se detectó una CVE de alto riesgo en una instancia de Compute Engine que puede actuar como una cuenta de servicio (SA) con acceso a un recurso crítico. Esta vulnerabilidad aumenta el riesgo de elevación de privilegios y acceso no autorizado a datos o sistemas sensibles. |
| Instancia de GCE: CVE de alto riesgo, acceso al recurso con datos sensibles a través del uso de identidad de SA | Una instancia de Compute Engine con una CVE de alto riesgo tiene acceso a un recurso que contiene datos sensibles con la identidad de una cuenta de servicio (SA). Esta vulnerabilidad aumenta el riesgo de acceso no autorizado a los datos, elevación de privilegios y posibles violaciones de la seguridad de los datos. |
| Instancia de GCE: CVE de alto riesgo, acceso directo a un recurso de alto valor | Una instancia de Compute Engine con una CVE de alto riesgo tiene acceso directo a un recurso de alto valor, lo que aumenta la probabilidad de explotación, acceso no autorizado y vulneración de datos. |
| Instancia de GCE: CVE de alto riesgo, acceso directo al recurso con datos sensibles | Una instancia de Compute Engine con un CVE de alto riesgo tiene acceso directo a un recurso que contiene datos sensibles. Esta vulnerabilidad aumenta el riesgo de acceso no autorizado, violaciones de la seguridad de los datos y elevación de privilegios. |
| Instancia de GCE expuesta externamente: CVE de alto riesgo, exploit disponible | Una instancia de Compute Engine está expuesta de forma externa y se ve afectada por una CVE de alto riesgo con un exploit conocido. Esto aumenta significativamente el riesgo de ataques remotos, acceso no autorizado y vulneración del sistema. |
| Instancia de GCE: CVE de alto riesgo, capacidad de suplantar la identidad de una SA | Una instancia de Compute Engine se ve afectada por una CVE de alto riesgo y tiene la capacidad de actuar en nombre de otra cuenta de servicio (SA). Esto aumenta significativamente el riesgo de elevación de privilegios, acceso no autorizado y posible vulneración de recursos de la nube críticos. |
| Instancia de GCE: CVE de alto riesgo, permisos directos excesivos | Una instancia de Compute Engine con una CVE de alto riesgo tiene permisos excesivos directos en otro recurso, lo que aumenta el riesgo de acceso no autorizado, elevación de privilegios y vulneración de recursos. |
| Instancia de GCE: CVE de alto riesgo, permisos excesivos a través de la suplantación de identidad de SA | Una instancia de Compute Engine con una CVE de alto riesgo tiene permisos excesivos en otro recurso a través de la suplantación de identidad de la cuenta de servicio (SA), lo que aumenta el riesgo de elevación de privilegios y acceso no autorizado. |
| Carga de trabajo de GKE expuesta externamente: CVE de alto riesgo, exploit disponible | Una carga de trabajo de GKE está expuesta de forma externa y se ve afectada por una CVE de alto riesgo con un exploit conocido. Esto aumenta significativamente el riesgo de ataques remotos, acceso no autorizado y vulneración del sistema. |
| Grupo de nodos de GKE: Boletín de alto riesgo, acceso a recursos de alto valor a través de la suplantación de identidad de la SA | Un grupo de nodos de GKE tiene la capacidad de actuar en nombre de una cuenta de servicio (SA) que otorga acceso a un recurso de alto valor. Esto aumenta el riesgo de elevación de privilegios, acceso no autorizado y vulneración de datos. |
| Grupo de nodos de GKE: Boletín de alto riesgo, acceso al recurso con datos sensibles a través de la suplantación de identidad de la SA | Un grupo de nodos de GKE tiene la capacidad de actuar en nombre de una cuenta de servicio (SA) que otorga acceso a un recurso que contiene datos sensibles. Esto aumenta el riesgo de acceso no autorizado, violaciones de la seguridad de los datos y elevación de privilegios. |
| Grupo de nodos de GKE: Boletín de alto riesgo, acceso directo a un recurso de alto valor | Un grupo de nodos de GKE tiene acceso directo a un recurso de alto valor, lo que aumenta el riesgo de acceso no autorizado, elevación de privilegios y posible vulneración de datos. |
| Grupo de nodos de GKE: Boletín de alto riesgo, acceso directo al recurso con datos sensibles | Un grupo de nodos de GKE tiene acceso directo a un recurso que contiene datos sensibles, lo que aumenta el riesgo de acceso no autorizado, violaciones de la seguridad de los datos y elevación de privilegios. |
| Grupo de nodos de GKE expuesto externamente: Boletín de alto riesgo | Un grupo de nodos de GKE está expuesto de forma externa y se ve afectado por una CVE de alto riesgo. Esto aumenta significativamente el riesgo de ataques remotos, acceso no autorizado y vulneración del sistema. |
| Grupo de nodos de GKE: Boletín de alto riesgo, capacidad de usar la identidad de una cuenta de servicio | Hay un boletín de alto riesgo en un grupo de nodos de GKE que tiene permisos para actuar en nombre de otra cuenta de servicio (SA), lo que aumenta el riesgo de elevación de privilegios y acceso no autorizado a recursos críticos. |
| Grupo de nodos de GKE: Boletín de alto riesgo, permisos directos excesivos | Hay un boletín de alto riesgo en un grupo de nodos de GKE que tiene permisos excesivos en otro recurso, lo que le otorga acceso no deseado. Esto aumenta el riesgo de elevación de privilegios, acceso no autorizado y exposición de datos. |
| Grupo de nodos de GKE: Boletín de alto riesgo, permisos excesivos a través de la suplantación de identidad de la SA | Hay un boletín de alto riesgo en un grupo de nodos de GKE que tiene permisos excesivos en otro recurso a través de la identidad temporal de la cuenta de servicio (SA), lo que aumenta el riesgo de elevación de privilegios y acceso no autorizado. |
| La cuenta de servicio con clave sin rotar tiene permisos excesivos | Una cuenta de servicio usa una clave de larga duración que no se rota con permisos excesivos, lo que aumenta el riesgo de vulneración de credenciales, acceso no autorizado y elevación de privilegios. |
| La cuenta de servicio con clave administrada por el usuario tiene permisos excesivos | Una cuenta de servicio con claves administradas por el usuario y permisos excesivos, lo que aumenta el riesgo de filtración de credenciales y elevación de privilegios. |
| Carga de trabajo de GKE expuesta externamente vulnerable a CVE-2025-49844 (exploit disponible, ejecución remota de código crítica en Redis) | Identifica las cargas de trabajo de GKE expuestas de forma externa que ejecutan Redis y que son vulnerables a la CVE-2025-49844, una falla crítica de ejecución de código remoto con un exploit conocido. |
| Instancia de GCE expuesta externamente vulnerable a CVE-2025-49844 (exploit disponible, ejecución remota de código crítica en Redis) | Identifica las instancias de GCE expuestas externamente que ejecutan Redis y que son vulnerables a la CVE-2025-49844, una falla crítica de ejecución remota de código con un exploit conocido. |
| Carga de trabajo de GKE expuesta externamente vulnerable a CVE-2025-32433 (RCE crítica en Erlang SSH) | Identifica las cargas de trabajo de GKE expuestas de forma externa que ejecutan Erlang SSH y que son vulnerables a la CVE-2025-32433, una falla crítica de ejecución remota de código que los atacantes aprovechan de forma activa. |
| Instancia de GCE expuesta externamente vulnerable a CVE-2025-32433 (RCE crítica en Erlang SSH) | Identifica las instancias de GCE expuestas de forma externa que ejecutan Erlang SSH y que son vulnerables a CVE-2025-32433, una falla crítica de ejecución remota de código que los atacantes aprovechan de forma activa. |
| Carga de trabajo de GKE expuesta externamente vulnerable a CVE-2023-46604 (RCE crítica en Apache ActiveMQ, explotada de forma activa) | Identifica las cargas de trabajo de GKE expuestas de forma externa que ejecutan Apache ActiveMQ y que son vulnerables a CVE-2023-46604, una falla crítica de ejecución remota de código en el protocolo OpenWire que los atacantes aprovechan de forma activa. |
| Instancia de GCE expuesta externamente vulnerable a CVE-2023-46604 (RCE crítica en Apache ActiveMQ, explotada de forma generalizada) | Identifica las instancias de GCE expuestas de forma externa que ejecutan Apache ActiveMQ vulnerables a CVE-2023-46604, una falla crítica de ejecución de código remoto en el protocolo OpenWire que los atacantes aprovechan de forma activa. |
| Instancia de GCE vulnerable a CVE-2025-32463 (Sudo) con exploit conocido | Identifica las instancias de GCE vulnerables a CVE-2025-32463, una falla de elevación de privilegios local en Sudo con un exploit conocido. |
| Instancia de GCE vulnerable a la CVE crítica de Nvidia Container Toolkit (CVE-2025-23266) | Identifica las instancias de GCE que usan cargas de trabajo de GPU vulnerables a la CVE-2025-23266, una falla crítica de elevación de privilegios en NVIDIA Container Toolkit. |
| Instancia de GCE expuesta externamente vulnerable a CVE-2025-59287 de alto riesgo (aprovechada de forma activa, ejecución remota de código crítica en WSUS) | Identifica las instancias de GCE expuestas de forma externa que ejecutan Windows WSUS y que son vulnerables a CVE-2025-59287, una falla crítica de ejecución remota de código que los atacantes aprovechan de forma activa. |
| Vertex AI Workbench: CVE de alto riesgo | Se detectó una CVE de alto riesgo en una instancia de Gemini Enterprise Agent Platform Workbench. Esta vulnerabilidad aumenta el riesgo de acceso no autorizado al entorno de desarrollo, lo que podría exponer los datos de entrenamiento y el código fuente del modelo a la robo de datos. |
| Vertex AI Workbench: CVE de alto riesgo, permisos excesivos | Una instancia de Vertex AI Workbench con una CVE de alto riesgo usa una cuenta de servicio con privilegios excesivos. Esta combinación permite que los atacantes aprovechen la vulnerabilidad para aumentar los privilegios y vulnerar otros recursos de la nube. |
| Agent Runtime: CVE de alto riesgo, identidad de SA con acceso a un recurso de alto valor a través de la suplantación de identidad de SA | Se detectó una CVE de alto riesgo en un agente de IA implementado en Agent Runtime que puede actuar en nombre de una cuenta de servicio con acceso a un recurso crítico. Esta vulnerabilidad aumenta el riesgo de elevación de privilegios y acceso no autorizado a sistemas o datos sensibles. |
| Agent Runtime: CVE de alto riesgo, identidad de SA con acceso al recurso con datos sensibles a través del uso de identidad de SA | Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene acceso a un recurso que contiene datos sensibles a través de la suplantación de identidad de una cuenta de servicio (SA). Esta vulnerabilidad aumenta el riesgo de acceso no autorizado a los datos, la elevación de privilegios y las posibles violaciones de la seguridad de los datos. |
| Agent Runtime: CVE de alto riesgo, identidad de SA con acceso directo a un recurso de alto valor | Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene acceso directo a un recurso de alto valor, lo que aumenta la probabilidad de explotación, acceso no autorizado y vulneración de datos. |
| Agent Runtime: CVE de alto riesgo, identidad de SA con acceso directo al recurso con datos sensibles | Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene acceso directo a un recurso que contiene datos sensibles. Esta vulnerabilidad aumenta el riesgo de acceso no autorizado, violaciones de la seguridad de los datos y elevación de privilegios. |
| Agent Runtime: CVE de alto riesgo, identidad de cuenta de servicio con permisos directos excesivos | Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene permisos excesivos directos en otro recurso, lo que aumenta el riesgo de acceso no autorizado, elevación de privilegios y vulneración de recursos. |
| Agent Runtime: CVE de alto riesgo, identidad de SA con permisos excesivos a través de la suplantación de identidad de SA | Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene permisos excesivos en otro recurso a través de la suplantación de identidad de la cuenta de servicio (SA), lo que aumenta el riesgo de elevación de privilegios y acceso no autorizado. |
| Agent Runtime: CVE de alto riesgo, identidad de cuenta de servicio con capacidad de usar la identidad de la cuenta de servicio | Un agente de IA implementado en Agent Runtime con una CVE de alto riesgo tiene la capacidad de actuar en nombre de otra cuenta de servicio. Esto aumenta significativamente el riesgo de elevación de privilegios, acceso no autorizado y posible vulneración de recursos de la nube críticos. |
| Bucket de Cloud Storage: Es un bucket expuesto públicamente que se usa para la implementación de Agent Runtime | Se usó un bucket de Cloud Storage expuesto públicamente para implementar el agente de IA en Agent Runtime. Esto aumenta el riesgo de filtración de código del agente y de envenenamiento del agente. |
¿Qué sigue?
Administra y soluciona problemas.