Aturan grafik keamanan yang telah ditentukan sebelumnya

Paket layanan Premium dan Enterprise (Tidak digunakan lagi)

Paket layanan Security Command Center Enterprise akan dihentikan pada 21 Mei 2027. Jika organisasi Anda menggunakan paket layanan Enterprise, organisasi tersebut akan otomatis beralih ke paket layanan Premium pada atau setelah 21 Mei 2027. Hubungi Account Representative atau Google Cloud spesialis penjualan jika ada pertanyaan.

Grafik keamanan adalah database grafik yang menggunakan node untuk mengidentifikasi resource cloud seperti aset, identitas, aplikasi, dan data. Edge grafik menentukan hubungan risiko antara resource tersebut mengikuti aturan deteksi. Saat risiko hubungan ditemukan, grafik keamanan akan menghasilkan masalah.

Security Command Center menggunakan aturan grafik keamanan yang telah ditetapkan untuk mengidentifikasi masalah yang berpotensi membahayakan resource Anda.

Tabel berikut menentukan aturan ini. Untuk mengetahui informasi tentang cara menyelidiki masalah, lihat Mengelola dan memperbaiki masalah.

Catatan: Cluster atau workload Google Kubernetes Engine (GKE), atau instance Compute Engine (GCE) dianggap terekspos secara eksternal jika ada jalur jaringan yang dapat dideteksi dari internet publik. Eksposur ini ditentukan oleh status keterjangkauan jaringan resource:

• Dapat dijangkau: Resource dapat diakses sepenuhnya dari internet publik.
• Dapat dijangkau sebagian: Resource dapat dijangkau dari subset rentang IP publik, meskipun rentang lainnya diblokir.

Menetapkan cluster ke pribadi memastikan node tidak memiliki alamat IP publik, tetapi tidak selalu mencegah semua eksposur eksternal. Misalnya, cluster pribadi masih dapat dijangkau oleh Load Balancer, atau jika Jaringan yang Diizinkan mengizinkan rentang IP eksternal tertentu. Untuk mengetahui informasi selengkapnya, lihat Kebijakan firewall dan Aturan firewall VPC.

Untuk memeriksa apakah resource Anda terekspos secara eksternal, Anda dapat menggunakan kueri grafik di Penelusuran grafik Security Command Center. Untuk mengetahui informasi selengkapnya, lihat Menjelajahi grafik keamanan menggunakan kueri.

Filter tabel ini:

Aturan	Deskripsi
Instance GCE: CVE berisiko tinggi, akses ke resource bernilai tinggi melalui peniruan identitas SA	CVE berisiko tinggi telah terdeteksi di instance Compute Engine yang dapat meniru akun layanan (SA) dengan akses ke resource penting. Kerentanan ini meningkatkan risiko eskalasi hak istimewa dan akses tidak sah ke data atau sistem sensitif.
Instance GCE: CVE berisiko tinggi, akses ke resource dengan data sensitif melalui peniruan identitas SA	Instance Compute Engine dengan CVE berisiko tinggi memiliki akses ke resource yang berisi data sensitif menggunakan peniruan identitas akun layanan (SA). Kerentanan ini meningkatkan risiko akses data yang tidak sah, eskalasi hak istimewa, dan potensi pelanggaran data.
Instance GCE: CVE berisiko tinggi, akses langsung ke resource bernilai tinggi	Instance Compute Engine dengan CVE berisiko tinggi memiliki akses langsung ke resource bernilai tinggi, sehingga meningkatkan kemungkinan eksploitasi, akses tidak sah, dan penyusupan data.
Instance GCE: CVE berisiko tinggi, akses langsung ke resource dengan data sensitif	Instance Compute Engine dengan CVE berisiko tinggi memiliki akses langsung ke resource yang berisi data sensitif. Kerentanan ini meningkatkan risiko akses tidak sah, pelanggaran data, dan eskalasi hak istimewa.
Instance GCE yang Terekspos Secara Eksternal: CVE berisiko tinggi, eksploitasi tersedia	Instance Compute Engine terekspos secara eksternal dan terpengaruh oleh CVE berisiko tinggi dengan eksploitasi yang diketahui. Hal ini secara signifikan meningkatkan risiko serangan jarak jauh, akses tidak sah, dan penyusupan sistem.
Instance GCE: CVE berisiko tinggi, kemampuan untuk meniru identitas SA	Instance Compute Engine terpengaruh oleh CVE berisiko tinggi dan memiliki kemampuan untuk meniru akun layanan (SA) lain. Hal ini secara signifikan meningkatkan risiko eskalasi hak istimewa, akses tidak sah, dan potensi penyusupan resource cloud yang penting.
Instance GCE: CVE berisiko tinggi, izin langsung yang berlebihan	Instance Compute Engine dengan CVE berisiko tinggi memiliki izin berlebihan langsung pada resource lain, sehingga meningkatkan risiko akses tidak sah, eskalasi hak istimewa, dan penyusupan resource.
Instance GCE: CVE berisiko tinggi, izin berlebihan melalui peniruan identitas SA	Instance Compute Engine dengan CVE berisiko tinggi memiliki izin berlebihan pada resource lain melalui peniruan identitas akun layanan (SA), sehingga meningkatkan risiko eskalasi akses dan akses tidak sah.
Workload GKE yang Diekspos Secara Eksternal: CVE berisiko tinggi, eksploitasi tersedia	Workload GKE terekspos secara eksternal dan terpengaruh oleh CVE berisiko tinggi dengan eksploitasi yang diketahui. Hal ini secara signifikan meningkatkan risiko serangan jarak jauh, akses tidak sah, dan penyusupan sistem.
Node Pool GKE: Buletin Berisiko Tinggi, akses ke resource bernilai tinggi melalui peniruan identitas SA	Node pool GKE memiliki kemampuan untuk meniru identitas akun layanan (SA) yang memberikan akses ke resource bernilai tinggi. Hal ini meningkatkan risiko eskalasi hak istimewa, akses tidak sah, dan penyusupan data.
Node Pool GKE: Buletin Berisiko Tinggi, akses ke resource dengan data sensitif melalui peniruan identitas SA	Node pool GKE memiliki kemampuan untuk meniru identitas akun layanan (SA) yang memberikan akses ke resource yang berisi data sensitif. Hal ini meningkatkan risiko akses tidak sah, pelanggaran data, dan eskalasi hak istimewa.
Node Pool GKE: Buletin berisiko tinggi, akses langsung ke resource bernilai tinggi	Node pool GKE memiliki akses langsung ke resource bernilai tinggi, sehingga meningkatkan risiko akses tidak sah, eskalasi hak istimewa, dan potensi penyusupan data.
Node Pool GKE: Buletin Berisiko Tinggi, akses langsung ke resource dengan data sensitif	Node pool GKE memiliki akses langsung ke resource yang berisi data sensitif, sehingga meningkatkan risiko akses tidak sah, pelanggaran data, dan eskalasi hak istimewa.
Node Pool GKE yang Terekspos secara Eksternal: Buletin Risiko Tinggi	Node pool GKE terekspos secara eksternal dan terpengaruh oleh CVE berisiko tinggi. Hal ini secara signifikan meningkatkan risiko serangan jarak jauh, akses yang tidak sah, dan penyusupan sistem.
Node Pool GKE: Buletin Berisiko Tinggi, kemampuan untuk meniru identitas SA	Ada buletin berisiko tinggi di node pool GKE yang memiliki izin untuk meniru identitas akun layanan (SA) lain, sehingga meningkatkan risiko eskalasi hak istimewa dan akses tidak sah ke resource penting.
Node Pool GKE: Buletin Berisiko Tinggi, izin langsung yang berlebihan	Ada buletin berisiko tinggi di node pool GKE yang memiliki izin berlebihan pada resource lain, sehingga memberikan akses yang tidak diinginkan. Hal ini meningkatkan risiko eskalasi hak istimewa, akses yang tidak sah, dan eksposur data.
Node Pool GKE: Buletin Berisiko Tinggi, izin berlebihan melalui peniruan identitas SA	Ada buletin berisiko tinggi di node pool GKE yang memiliki izin berlebihan pada resource lain melalui peniruan identitas akun layanan (SA), sehingga meningkatkan risiko eskalasi hak istimewa dan akses tidak sah.
Akun layanan dengan kunci yang tidak dirotasi memiliki izin yang berlebihan	Akun layanan menggunakan kunci yang berumur panjang dan tidak dirotasi dengan izin yang berlebihan, sehingga meningkatkan risiko penyusupan kredensial, akses tidak sah, dan eskalasi hak istimewa.
Akun layanan dengan kunci yang dikelola pengguna memiliki izin berlebihan	Akun layanan dengan kunci yang dikelola pengguna dan izin berlebihan, yang meningkatkan risiko kebocoran kredensial dan eskalasi hak istimewa.
Workload GKE yang terekspos secara eksternal rentan terhadap CVE-2025-49844 (eksploitasi tersedia, eksekusi kode jarak jauh yang kritis di Redis)	Mengidentifikasi workload GKE yang terekspos secara eksternal dan menjalankan Redis yang rentan terhadap CVE-2025-49844, yaitu kelemahan eksekusi kode jarak jauh yang kritis dengan eksploitasi yang diketahui.
Instance GCE yang terekspos secara eksternal dan rentan terhadap CVE-2025-49844 (eksploitasi tersedia, eksekusi kode jarak jauh yang kritis di Redis)	Mengidentifikasi instance GCE yang terekspos secara eksternal yang menjalankan Redis dan rentan terhadap CVE-2025-49844, yaitu kelemahan eksekusi kode jarak jauh yang kritis dengan eksploitasi yang diketahui.
Workload GKE yang terekspos secara eksternal rentan terhadap CVE-2025-32433 (RCE kritis di Erlang SSH)	Mengidentifikasi workload GKE yang terekspos secara eksternal dan menjalankan Erlang SSH yang rentan terhadap CVE-2025-32433, yaitu kelemahan eksekusi kode jarak jauh yang kritis dan dieksploitasi secara aktif oleh penyerang.
Instance GCE yang terekspos secara eksternal dan rentan terhadap CVE-2025-32433 (RCE kritis di Erlang SSH)	Mengidentifikasi instance GCE yang terekspos secara eksternal yang menjalankan Erlang SSH yang rentan terhadap CVE-2025-32433, yaitu kelemahan eksekusi kode jarak jauh kritis yang dieksploitasi secara aktif oleh penyerang.
Workload GKE yang terekspos secara eksternal rentan terhadap CVE-2023-46604 (RCE kritis di Apache ActiveMQ, dieksploitasi secara luas)	Mengidentifikasi workload GKE yang terekspos secara eksternal yang menjalankan Apache ActiveMQ yang rentan terhadap CVE-2023-46604, yaitu kelemahan eksekusi kode jarak jauh yang kritis dalam protokol OpenWire yang dieksploitasi secara aktif oleh penyerang.
Instance GCE yang terekspos secara eksternal dan rentan terhadap CVE-2023-46604 (RCE kritis di Apache ActiveMQ, yang dieksploitasi di lingkungan umum)	Mengidentifikasi instance GCE yang terekspos secara eksternal yang menjalankan Apache ActiveMQ yang rentan terhadap CVE-2023-46604, yaitu kelemahan eksekusi kode jarak jauh yang kritis dalam protokol OpenWire yang secara aktif dieksploitasi oleh penyerang.
Instance GCE rentan terhadap CVE-2025-32463 (Sudo) dengan eksploitasi yang diketahui	Mengidentifikasi instance GCE yang rentan terhadap CVE-2025-32463, yaitu kelemahan eskalasi hak istimewa lokal di Sudo dengan eksploitasi yang diketahui.
Instance GCE rentan terhadap CVE Nvidia Container Toolkit Kritis (CVE-2025-23266)	Mengidentifikasi instance GCE yang menggunakan workload GPU yang rentan terhadap CVE-2025-23266, yaitu kelemahan eskalasi hak istimewa yang kritis di NVIDIA Container Toolkit.
Instance GCE yang terekspos secara eksternal rentan terhadap CVE-2025-59287 berisiko tinggi (dieksploitasi di alam liar, eksekusi kode jarak jauh yang kritis di WSUS)	Mengidentifikasi instance GCE yang terekspos secara eksternal yang menjalankan Windows WSUS yang rentan terhadap CVE-2025-59287, yaitu kelemahan eksekusi kode jarak jauh yang serius yang dieksploitasi secara aktif oleh penyerang.
Vertex AI Workbench: CVE berisiko tinggi	CVE berisiko tinggi telah terdeteksi di instance Gemini Enterprise Agent Platform Workbench. Kerentanan ini meningkatkan risiko akses tidak sah ke lingkungan pengembangan, yang berpotensi mengekspos data pelatihan dan kode sumber model ke pemindahan yang tidak sah.
Vertex AI Workbench: CVE berisiko tinggi, izin berlebihan	Instance Vertex AI Workbench dengan CVE berisiko tinggi menggunakan akun layanan dengan hak istimewa berlebih. Kombinasi ini memungkinkan penyerang mengeksploitasi kerentanan untuk meningkatkan hak istimewa dan membahayakan resource cloud lainnya.
Agent Runtime: CVE berisiko tinggi, identitas SA dengan akses ke resource bernilai tinggi melalui peniruan identitas SA	CVE berisiko tinggi telah terdeteksi pada Agen AI yang di-deploy ke Agent Runtime yang dapat meniru identitas akun layanan dengan akses ke resource penting. Kerentanan ini meningkatkan risiko eskalasi akses dan akses tidak sah ke data atau sistem sensitif.
Agent Runtime: CVE berisiko tinggi, identitas SA dengan akses ke resource yang berisi data sensitif melalui peniruan identitas SA	Agen AI yang di-deploy ke Agent Runtime dengan CVE berisiko tinggi memiliki akses ke resource yang berisi data sensitif melalui peniruan identitas akun layanan (SA). Kerentanan ini meningkatkan risiko akses data yang tidak sah, eskalasi hak istimewa, dan potensi pelanggaran data.
Agent Runtime: CVE berisiko tinggi, identitas SA dengan akses langsung ke resource bernilai tinggi	Agen AI yang di-deploy ke Agent Runtime dengan CVE berisiko tinggi memiliki akses langsung ke resource bernilai tinggi, sehingga meningkatkan kemungkinan eksploitasi, akses tidak sah, dan penyusupan data.
Agent Runtime: CVE berisiko tinggi, identitas SA dengan akses langsung ke resource yang berisi data sensitif	Agen AI yang di-deploy ke Agent Runtime dengan CVE berisiko tinggi memiliki akses langsung ke resource yang berisi data sensitif. Kerentanan ini meningkatkan risiko akses tidak sah, pelanggaran data, dan eskalasi hak istimewa.
Agent Runtime: CVE berisiko tinggi, identitas SA dengan izin langsung yang berlebihan	Agen AI yang di-deploy ke Agent Runtime dengan CVE berisiko tinggi memiliki izin berlebihan langsung pada resource lain, sehingga meningkatkan risiko akses tidak sah, eskalasi hak istimewa, dan penyusupan resource.
Agent Runtime: CVE berisiko tinggi, identitas SA dengan izin berlebihan melalui peniruan identitas SA	Agen AI yang di-deploy ke Agent Runtime dengan CVE berisiko tinggi memiliki izin berlebihan pada resource lain melalui peniruan identitas akun layanan (SA), sehingga meningkatkan risiko eskalasi hak istimewa dan akses tidak sah.
Agent Runtime: CVE berisiko tinggi, identitas SA dengan kemampuan untuk meniru identitas SA	Agen AI yang di-deploy ke Agent Runtime dengan CVE berisiko tinggi memiliki kemampuan untuk meniru identitas akun layanan lain. Hal ini secara signifikan meningkatkan risiko eskalasi hak istimewa, akses tidak sah, dan potensi penyusupan resource cloud yang penting.
Bucket Cloud Storage: Bucket yang terekspos secara publik yang digunakan untuk deployment Agent Runtime	Bucket Cloud Storage yang terekspos secara publik digunakan untuk men-deploy Agen AI ke Agent Runtime. Hal ini meningkatkan risiko kebocoran kode agen dan peracunan agen.

Langkah berikutnya

Mengelola dan memperbaiki masalah