Examiner et gérer les résultats

Niveaux de service Standard (ancienne version), Standard, Premium et Enterprise (obsolète)

Le niveau de service Security Command Center Enterprise sera arrêté le 21 mai 2027.

Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium le 21 mai 2027 ou après. Contactez votre responsable de compte ou un spécialiste des ventesGoogle Cloud si vous avez des questions.

Cette page explique comment utiliser les résultats de Security Command Center. Un résultat est un enregistrement que créent les services Security Command Center lorsqu'ils détectent un problème de sécurité. Les résultats sont listés sur la page Résultats. Vous pouvez cliquer sur un résultat pour afficher ses détails et son format JSON complet.

Voici quelques exemples d'actions que vous pouvez effectuer sur la page Résultats :

• Résultats de la requête.
• Inspectez les résultats.
• Ignorer les résultats.
• Ajoutez des marques de sécurité aux résultats.

Pour savoir comment utiliser les résultats de manière programmatique, consultez Bibliothèques clientes Security Command Center.

Remarque : La page Résultats n'affiche pas les détections de menaces ni les alertes créées par les détections optimisées. Pour afficher ces détections et alertes dans la console Security Operations, accédez à Tableaux de bord SIEM. Pour en savoir plus sur cette page de la console, consultez Console Security Operations.

Obtenir les autorisations requises

Cette section liste les rôles IAM dont vous avez besoin pour travailler avec les résultats dans la console.

Rôles IAM de la consoleGoogle Cloud

Pour travailler avec des résultats dans la console Google Cloud , vous avez besoin des rôles IAM suivants.

Assurez-vous de disposer des rôles suivants au niveau de l'organisation :

• Lecteur de résultats du centre de sécurité (roles/securitycenter.findingsViewer)
• Éditeur de résultats du centre de sécurité (roles/securitycenter.findingsEditor)

Vérifier les rôles

1. Dans la console Google Cloud , accédez à la page IAM.

   Accéder à IAM
2. Sélectionnez l'organisation.

3. Dans la colonne Compte principal, recherchez toutes les lignes qui vous identifient ou identifient un groupe dont vous faites partie. Pour savoir à quels groupes vous appartenez, contactez votre administrateur.

4. Pour toutes les lignes qui vous spécifient ou vous incluent, consultez la colonne Rôle pour vous assurer que la liste inclut les rôles requis.

Attribuer les rôles

1. Dans la console Google Cloud , accédez à la page IAM.

   Accéder à IAM
2. Sélectionnez l'organisation.
3. Cliquez sur  Accorder l'accès.

4. Dans le champ Nouveaux comptes principaux, saisissez votre identifiant utilisateur. Il s'agit généralement de l'adresse e-mail d'un compte Google.

5. Cliquez sur Sélectionner un rôle, puis recherchez le rôle.
6. Pour attribuer des rôles supplémentaires, cliquez sur  Ajouter un autre rôle et ajoutez tous les rôles supplémentaires.
7. Cliquez sur Enregistrer.

Pour en savoir plus sur les rôles et les autorisations Security Command Center, consultez IAM pour les activations au niveau de l'organisation.

Afficher les résultats

1. Ouvrez la page Résultats.

2. Dans la console Google Cloud , accédez à la page Résultats de Security Command Center.

   Accéder aux résultats

3. Sélectionnez votre organisation, votre dossier ou votre projet Google Cloud .

   Les résultats qui s'affichent concernent la ressource Google Cloud (organisation, dossier ou projet) que vous sélectionnez. Par exemple, si vous sélectionnez un projet, seuls les résultats associés à ce projet s'affichent. En revanche, si vous sélectionnez un dossier contenant plusieurs projets, les résultats de tous les projets inclus s'affichent.

4. Pour actualiser la liste des résultats dans Résultats de la requête de résultats, cliquez sur autorenewActualiser les résultats.

Ajuster la période pour afficher plus de résultats

Vous pouvez ajuster la période utilisée pour vos requêtes. La période par défaut est Last 7 days.

La plage de dates est basée sur la valeur de l'attribut eventTime des résultats, qui reflète la date à laquelle l'enregistrement des résultats a été mis à jour pour la dernière fois.

Sur la page Résultats de la console Google Cloud , définissez le champ Période.

Trouver des disponibilités

Un résultat est généralement disponible pour que vous puissiez l'interroger dans Security Command Center moins d'une minute après que le service qui le génère l'a stocké dans la base de données des résultats de Security Command Center. Pour en savoir plus sur ce qui se passe après l'activation de Security Command Center, consultez Quand attendre des résultats dans Security Command Center.

Selon votre niveau Security Command Center, les résultats restent disponibles pour que vous puissiez les lister ou les interroger pendant des périodes spécifiques. Pour en savoir plus sur la conservation des données Security Command Center, consultez Conservation des données.

Rechercher et afficher des résultats spécifiques

Par défaut, la page Résultats affiche tous les résultats actifs qui ne sont pas mis en sourdine et qui sont nouveaux ou mis à jour au cours des sept derniers jours. Pour afficher les résultats inactifs ou masqués, sélectionnez Inactif ou Masqué dans le panneau Filtres rapides.

Utiliser des vues filtrées prédéfinies

Pour afficher une catégorie spécifique de résultats, cliquez sur les vues de filtre prédéfinies suivantes qui renvoient une catégorie spécifique de résultats :

• Niveau Standard (ancienne version) : Tous les résultats, Failles et Identité
• Niveau Standard : Tous les résultats, Failles, Identité, Données et Menaces
• Niveau Premium : Tous les résultats, Failles, Identité, Données et Menaces
• Niveau Enterprise : Tous les résultats, Failles, Identité, Menaces et Données

La vue applique et exécute la requête prédéfinie.

Dans Security Command Center Enterprise, cliquez sur Tout afficher pour filtrer les résultats par fournisseur de services cloud : Google Cloud, Amazon Web Services (AWS) ou Microsoft Azure. Pour savoir comment configurer une connexion à d'autres fournisseurs de services cloud, consultez les articles suivants :

• Se connecter à AWS pour collecter des données de configuration et de ressources
• Se connecter à Microsoft Azure pour collecter des données de configuration et de ressources

Utiliser l'éditeur de requête

Cette section décrit les différentes façons de personnaliser la requête de résultats dans la console Google Cloud pour filtrer des résultats spécifiques.

L'exemple suivant est la requête de résultats par défaut :

state="ACTIVE"
AND NOT mute="MUTED"
AND launch_state="LAUNCH_STATE_DEPRECATED"

Pour en savoir plus sur les résultats avec le champ launch_state défini sur LAUNCH_STATE_DEPRECATED, consultez Niveau Standard amélioré et activé automatiquement pour certains clients.

Vous pouvez consulter la requête de résultats actuelle dans le panneau Éditeur de requête. Vous pouvez modifier la requête directement ou sélectionner des filtres prédéfinis pour la créer. Pour en savoir plus, cliquez sur l'onglet correspondant à votre niveau de service.

Sur la page Résultats de la console Google Cloud , vous pouvez effectuer les opérations suivantes :

• Dans le panneau Filtres rapides, sélectionnez un ou plusieurs filtres d'attributs prédéfinis pour les ajouter à une requête. Utilisez le panneau Filtres rapides pour accéder aux options de filtrage générales les plus courantes.
• Dans le menu Ajouter un filtre du panneau Éditeur de requêtes, sélectionnez un ou plusieurs filtres d'attributs prédéfinis pour les ajouter à une requête. Utilisez le menu Ajouter un filtre pour obtenir des filtres plus précis et avancés basés sur des attributs de résultats de niveau inférieur. Pour en savoir plus, consultez Modifier une requête de résultats dans la console.
• Modifiez la requête de résultats directement dans le panneau Éditeur de requête.
• Dans la vue détaillée d'un résultat, dans le menu déroulant d'un attribut spécifique, sélectionnez un filtre prédéfini pour cet attribut afin de l'ajouter à une requête.

Afficher les détails d'un résultat

Pour en savoir plus sur un résultat, ouvrez la vue détaillée en cliquant sur son nom dans la colonne Catégorie des résultats de la requête.

Dans la vue détaillée, vous trouverez des informations essentielles pour comprendre un résultat, examiner une menace ou résoudre une faille.

La vue détaillée des résultats comprend les onglets suivants que vous pouvez sélectionner pour en savoir plus sur un résultat et prendre les mesures appropriées :

• L'onglet Récapitulatif, qui est la vue par défaut, met en évidence les informations et attributs clés concernant le résultat.
• L'onglet Propriétés sources, où vous pouvez consulter les attributs de l'objet sourceProperties du JSON du résultat.
• L'onglet JSON, où vous pouvez consulter le résultat au format JSON complet.

Vous pouvez effectuer certaines actions sur le résultat dans la vue détaillée et trouver des liens vers des informations supplémentaires qui y sont associées.

En savoir plus sur le résultat dans la vue détaillée

La vue détaillée d'un résultat met en évidence les informations importantes à son sujet. Vous pouvez les utiliser pour comprendre et résoudre le problème de sécurité sous-jacent.

Informations de l'onglet Récapitulatif

L'onglet Résumé fournit des informations sur le résultat dans les sections suivantes :

Risque détecté (ou "Aperçu")

Détails sur le résultat détecté, tels que les suivants :

• Niveau de gravité du résultat
• État du résultat, ACTIVE ou INACTIVE
• Tous les champs clés liés au résultat spécifique

Faille

Informations du fichier CVE correspondant à la faille, le cas échéant. La section Faille inclut des informations provenant de l'enregistrement CVE, telles que :

• ID de la CVE
• Score CVE
• Impact
• Activité d'exploitation

Exposition aux attaques

Le score d'exposition aux attaques et l'heure à laquelle il a été calculé pour la dernière fois. En cliquant sur le score, vous ouvrez une représentation visuelle des ressources à forte valeur concernées et du chemin d'attaque associé.

Ressource concernée

Détails sur la ressource associée au résultat, y compris les informations suivantes :

• Nom complet de la ressource concernée
• Fournisseur de services cloud de la ressource
• Contacts techniques et de sécurité

Informations sur la demande

Des informations sur la demande associée au résultat, y compris les suivantes :

• Nom complet de la ressource du système externe associé au résultat
• Groupe attribué à la demande
• Numéro de la demande, qui renvoie à la demande dans la console Security Operations
• État de la demande
• Date et heure de la dernière mise à jour dans le système externe de gestion des demandes
• La date limite à laquelle vous vous êtes engagé à clôturer la demande

Marques de sécurité

Les marques de sécurité associées à ce résultat, le cas échéant.

Étapes suivantes

Conseils sur la marche à suivre pour résoudre le problème détecté. Seuls certains services, tels que Security Health Analytics, fournissent des étapes à suivre.

Liens associés

Liens vers des sources clés d'informations de sécurité en dehors de Security Command Center. Seuls certains services, tels que Event Threat Detection, fournissent des liens associés.

Service de détection

Détails sur le service, ou source, qui a détecté le résultat.

Informations de l'onglet Propriétés sources

Pour certains résultats, le panneau d'informations inclut un onglet Propriétés sources qui met en évidence certaines propriétés de l'objet sourceProperties du fichier JSON du résultat.

Les propriétés sources diffèrent pour chaque résultat et pour chaque service qui s'exécute sur Security Command Center. Rien ne garantit que les propriétés sources sont standardisées pour tous les services. Pour cette raison, nous déconseillons fortement de consommer les propriétés sources de manière programmatique. Si vous souhaitez qu'une propriété source soit standardisée sur tous les services, n'hésitez pas à nous envoyer vos commentaires.

Informations sur l'onglet JSON

L'onglet JSON contient la structure JSON complète du résultat, ce qui peut être utile lorsque vous enquêtez sur un résultat ou que vous recherchez des attributs que vous pouvez utiliser dans vos requêtes de résultats.

Pour copier l'objet JSON dans le presse-papiers, cliquez sur Copier.

La structure JSON d'un résultat contient les objets suivants :

• findings : attributs du résultat. Ces attributs sont standardisés dans tous les services intégrés (également appelés sources de sécurité). Pour en savoir plus, consultez la section Finding.
• resource : attributs de la ressource concernée. Pour en savoir plus, consultez la section Resource.
• sourceProperties : propriétés spécifiques au service du résultat.

Vous pouvez également utiliser l'API ListFindings pour lister les résultats et obtenir leurs définitions JSON.

Afficher les résultats pour les ressources enregistrées auprès d'une application

Niveaux de service Standard (ancienne version), Standard, Premium et Enterprise (abandonné)

Pour filtrer et afficher les résultats liés à une ressource enregistrée dans une application App Hub, procédez comme suit.

• Utilisez le menu Sélectionner une application pour sélectionner une application. Cela ajoute un terme à la requête pour n'afficher que les résultats liés à cette application.

• Dans le panneau Filtres rapides, sélectionnez une ou plusieurs applications dans la section ID d'application.

Lorsque vous sélectionnez un résultat, le panneau Détails du résultat affiche les informations sur l'application à laquelle la ressource est enregistrée.

Passez à l'action concernant un résultat dans la vue détaillée

Vous pouvez effectuer diverses actions sur un résultat depuis la vue détaillée, par exemple le mettre en sourdine. Si vous consultez la vue détaillée du résultat dans la console Google Cloud , vous pouvez également ajouter des attributs du résultat à la requête de résultats actuelle.

Ignorer un résultat dans la vue détaillée

Dans la vue détaillée d'un résultat, vous pouvez l'ignorer ou le réactiver. Vous pouvez également créer une règle qui ignore tous les résultats futurs semblables au résultat actuel.

Pour obtenir des instructions complètes sur le masquage d'un résultat ou la création d'une règle Ignorer, consultez Ignorer les résultats dans Security Command Center.

Ajouter des filtres d'attributs à une requête depuis la vue détaillée

Dans la console Google Cloud , dans la vue détaillée d'un résultat, vous pouvez ajouter des filtres pour les attributs affichés à la requête de résultats actuelle.

Pour ajouter des filtres d'attributs à une requête dans la vue détaillée :

• Sur la page Résultats, cliquez sur le résultat pour afficher ses détails.
• Dans la vue détaillée du résultat, recherchez l'attribut sur lequel vous souhaitez filtrer les données.
• À côté de l'attribut, ouvrez le menu déroulant.
• Sélectionnez un filtre prédéfini pour l'attribut. Le filtre est ajouté à la requête de résultats sur la page Résultats.

Afficher ou copier les noms d'API des attributs dans la vue détaillée d'un résultat

La plupart des attributs de résultats affichés dans la console Google Cloud ont un nom correspondant utilisé dans l'API Security Command Center.

1. Sur la page Résultats, cliquez sur le résultat pour afficher ses détails.

2. Dans la vue détaillée du résultat, vous pouvez trouver et copier le nom d'API correspondant à chaque attribut affiché.

   Le nom d'API équivalent pour chaque attribut est indiqué sur la même ligne que l'attribut. Tous les noms d'API figurent dans la dernière colonne. Par exemple, pour l'attribut State, le nom d'API équivalent est state.

Partager la vue détaillée d'un résultat

Pour partager la vue détaillée d'un résultat, vous pouvez copier l'URL de la page de vue détaillée et la partager avec d'autres utilisateurs.

Pour savoir comment copier l'URL de la vue détaillée d'un résultat, cliquez sur l'onglet correspondant à la console que vous utilisez.

1. Sur la page Résultats, cliquez sur le résultat pour afficher ses détails.
2. Cliquez sur Effectuer une action > Copier le lien.

Remarque : Lorsque vous partagez un lien vers un résultat, tenez compte des rôles IAM des destinataires. S'ils ne disposent pas d'un rôle IAM qui fournit les autorisations appropriées, ils ne peuvent pas afficher le résultat. Pour en savoir plus sur les rôles Security Command Center, consultez Contrôle des accès.

Envoyer des commentaires sur le résultat à Google Cloud

Pour savoir comment envoyer des commentaires sur un résultat, cliquez sur l'onglet correspondant à votre niveau de service.

1. Sur la page Résultats, cliquez sur le résultat pour afficher ses détails.
2. Cliquez sur Effectuer une action > Envoyer des commentaires.
3. Saisissez une description de vos commentaires.
4. Pour inclure une capture d'écran, cliquez sur Effectuer une capture d'écran.
5. Cliquez sur Envoyer.

Afficher les détails d'autres résultats dans les résultats de la requête sur les résultats

Pour afficher les détails des résultats qui précèdent ou suivent celui que vous consultez, utilisez le bouton suivant  ou le bouton précédent  pour accéder au résultat suivant ou précédent, sans avoir à revenir à la page Résultats.

Remarque : L'ordre des résultats affichés lorsque vous cliquez sur ces boutons dépend de l'ordre des résultats dans la requête sur les résultats.

Ajouter des marques de sécurité aux résultats

Une marque de sécurité est un libellé clé-valeur personnalisé que vous pouvez utiliser pour annoter un résultat, l'associer à d'autres résultats qui partagent la même marque de sécurité et interroger les résultats.

Pour obtenir des instructions complètes sur la définition de marques de sécurité pour les résultats ou les composants, consultez Utiliser des marques de sécurité.

Ignorer les résultats dans la console

Vous pouvez désactiver et réactiver les résultats dans les vues suivantes :

• Résultats de la requête sur la page Résultats
• Vue détaillée d'un résultat

Vous pouvez ignorer des résultats individuels ou créer des règles de blocage qui désactivent les résultats actuels et futurs en fonction des filtres que vous définissez.

Les résultats ignorés sont masqués et mis sous silence, mais vous pouvez toujours les afficher en ajoutant le filtre mute="MUTED" à votre requête de résultats. Les résultats ignorés continuent d'être enregistrés à des fins d'audit et de conformité.

Pour obtenir des instructions détaillées sur la façon d'ignorer et de réactiver les résultats, consultez Ignorer les résultats dans Security Command Center.

Modifier l'état d'un résultat

Un résultat peut avoir l'un des deux états suivants : Active ou Inactive.

Un état Active signifie que le problème de sécurité identifié par le résultat persiste dans votre environnement en tant que menace ou faille potentielle.

L'état Inactive signifie que le problème de sécurité a été résolu.

Vous pouvez modifier l'état d'un résultat pour diverses raisons. Par exemple, vous pouvez définir l'état d'un résultat sur Inactive dès qu'il est résolu, afin de ne pas avoir à attendre la prochaine analyse pour que l'état soit modifié.

Pour savoir comment modifier l'état d'un résultat, cliquez sur l'onglet correspondant à votre niveau de service.

1. Dans la console Google Cloud , accédez à la page Résultats de Security Command Center.

   Accéder aux résultats

2. Sélectionnez votre projet ou votre organisation Google Cloud .
3. Dans le panneau Résultats de la requête, sélectionnez le résultat.
4. Dans la barre d'action du panneau Résultats de la requête, cliquez sur Modifier l'état de l'activité.
5. Dans le menu Modifier l'état de l'activité, sélectionnez Actif ou Inactif.

Personnaliser la page des résultats

Pour contrôler l'espace sur votre écran, vous pouvez personnaliser certains des éléments qui s'affichent dans les résultats de requête sur les résultats.

Masquer ou afficher des colonnes dans les résultats de requête sur les conclusions

Dans les résultats de la requête de résultats, vous pouvez masquer n'importe quelle colonne, à l'exception de Catégorie.

Voici des exemples de colonnes disponibles :

• Catégorie : nom du type de résultat.
• Gravité : gravité du résultat. Pour en savoir plus sur les niveaux de gravité des résultats, consultez Classification des résultats par niveau de gravité.
• Étape de l'application : étape du cycle de vie de l'application au cours de laquelle le résultat a été détecté, par exemple Conception ou Exploitation.
• Criticité de l'application : criticité métier de l'application associée au problème.
• Score de combinaison toxique : niveau d'exposition aux attaques pour un résultat de classe Toxic combination.
• Niveau d'exposition aux attaques : niveau d'exposition aux attaques du résultat.
• Heure de l'événement : date et heure de la première détection du résultat ou de sa dernière mise à jour.
• Heure de création : date et heure de création du résultat dans Security Command Center.
• Classe du résultat : classe du résultat, telle que THREAT, VULNERABILITY et MISCONFIGURATION.
• Nom à afficher de la ressource : nom à afficher de la ressource dans laquelle le problème a été détecté.
• Nom complet de la ressource : nom complet de la ressource dans laquelle le problème a été détecté.
• Fournisseur de services cloud pour la ressource : fournisseur de services cloud sur lequel la ressource est hébergée.
• Chemin d'accès à la ressource : chemin d'accès à la ressource dans laquelle le problème a été détecté.
• Type de ressource : type de ressource dans laquelle le problème a été détecté.
• Marques de sécurité : toutes les marques de sécurité ajoutées au résultat.

Pour savoir comment masquer ou afficher les colonnes dans les résultats de requête sur les résultats, cliquez sur l'onglet correspondant à votre niveau de service.

1. À droite de la barre d'action Résultats de la requête de résultats, cliquez sur  Colonnes.
2. Sélectionnez les colonnes que vous souhaitez afficher.
3. Désélectionnez les colonnes que vous souhaitez masquer.
4. Cliquez sur Appliquer pour appliquer les modifications au panneau Résultats de la requête sur les conclusions.

Les sélections de colonnes sont conservées la prochaine fois que vous consultez la page Résultats, même si vous changez de projet ou d'organisation. Pour effacer toutes les sélections de colonnes personnalisées, cliquez sur Effacer les sélections de colonnes.

Masquer ou afficher les panneaux de la page "Résultats"

Pour augmenter l'espace d'affichage dédié à la modification des requêtes ou à la consultation des résultats, vous pouvez masquer ou afficher des panneaux. Pour en savoir plus, cliquez sur l'onglet correspondant à votre niveau de service.

Vous pouvez masquer ou afficher les panneaux suivants :

• Panneau Filtres rapides
• Panneau Éditeur de requête

Pour masquer un panneau, cliquez sur l'icône Afficher/Masquer le panneau,  ou .

Pour afficher le panneau, cliquez à nouveau sur l'icône.

Étapes suivantes

• En savoir plus sur les services de détection
• Découvrez comment utiliser des marques de sécurité.
• Découvrez comment configurer les services Security Command Center.
• Découvrez comment créer un filtre de résultats à l'aide de l'API Security Command Center.