Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

管理有害組合和瓶頸

本頁面說明如何使用下列頁面，找出有害組合和瓶頸並採取因應措施：

問題，適用於 Premium 和 Enterprise (已淘汰) 服務級別。
案件，適用於 Enterprise (已淘汰) 服務級別。
發現項目，適用於 Premium 和 Enterprise (已淘汰) 服務級別。

事前準備

為確保有害組合和瓶頸偵測結果準確，請確認資安營運元件軟體為最新版本、高價值資源集指定正確，且您具備適當的 IAM 權限。

選用：收集其他雲端的資料

Risk Engine 支援對 Amazon Web Services (AWS) (預先發布版) 和 Microsoft Azure (預先發布版) 的資料執行模擬，找出有害組合和瓶頸。

設定 Security Command Center 與這些雲端服務供應商之間的連線，以便收集資源和設定資料。如要瞭解如何設定連線，請參閱下列資源：

如需支援的資源清單，請參閱「風險引擎功能支援」。

取得必要權限

如要處理有害組合和瓶頸，您必須具備 Security Command Center 和 Google SecOps 功能的存取權限。

Security Command Center IAM 角色

如要取得處理有害組合和瓶頸所需的權限，請要求管理員授予您組織的下列 IAM 角色：

查看攻擊路徑：
- 安全中心管理員檢視者 (roles/securitycenter.adminViewer)
- 安全中心攻擊路徑讀取者 (roles/securitycenter.attackPathsViewer)
- 安全中心發現項目檢視者 (roles/securitycenter.findingsViewer)
查看攻擊路徑發現項目：
- 安全中心管理員檢視者 (roles/securitycenter.adminViewer)
- 安全中心攻擊路徑讀取者 (roles/securitycenter.attackPathsViewer)
- 安全中心發現項目檢視者 (roles/securitycenter.findingsViewer)
查看發現項目：
- 安全中心管理員檢視者 (roles/securitycenter.adminViewer)
- 安全中心發現項目檢視者 (roles/securitycenter.findingsViewer)
忽略發現項目：
- 安全中心管理員檢視者 (roles/securitycenter.adminViewer)
- 安全中心發現項目編輯者 (roles/securitycenter.findingsEditor)
- 安全中心發現項目忽略設定者 (roles/securitycenter.findingsMuteSetter)
查看資源：
- 安全中心管理員檢視者 (roles/securitycenter.adminViewer)
- 安全中心發現項目忽略設定者 (roles/securitycenter.findingsMuteSetter)
編輯發現項目：
- 安全中心管理員檢視者 (roles/securitycenter.adminViewer)
- 安全中心發現項目編輯者 (roles/securitycenter.findingsEditor)
- 安全中心發現項目檢視者 (roles/securitycenter.findingsViewer)

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

如要進一步瞭解 Security Command Center 角色和權限，請參閱「組織層級啟用的 IAM」。

Google SecOps IAM 角色

如要使用 Enterprise (已淘汰) 服務級別處理有害組合和案件，您必須具備下列任一角色：

Chronicle SOAR 安全漏洞管理員 (roles/chronicle.soarVulnerabilityManager)
Chronicle SOAR 威脅管理者 (roles/chronicle.soarThreatManager)
Chronicle SOAR 管理員 (roles/chronicle.soarAdmin)

如要瞭解如何將角色授予使用者，請參閱「使用 IAM 對應及授權使用者」。

安裝最新的資安營運應用實例

如要使用有害組合功能，必須安裝 2024 年 6 月 25 日或之後發布的 SCC Enterprise - Cloud Orchestration and Remediation 用途。

如要瞭解如何安裝用途，請參閱「更新 Enterprise 用途，2024 年 6 月」。

指定高價值資源集

您不必啟用有害組合和瓶頸偵測功能，因為這項功能一律會開啟。風險引擎會自動偵測有害組合和瓶頸，找出可能導致預設高價值資源集受攻擊的因素。

根據預設高價值資源集產生的有害組合和瓶頸發現項目，不太可能準確反映您的安全性優先順序。如要指定高價值資源集包含哪些資源，請在 Google Cloud 控制台建立資源值設定。如需操作說明，請參閱「定義及管理高價值資源集」。

修復有害組合和瓶頸

有害組合和瓶頸可能會讓許多高價值資源暴露在潛在攻擊者面前。請優先修復這類風險，再處理雲端環境中的其他風險。

您可以根據攻擊暴露分數，優先修復有害組合和瓶頸。具體做法取決於您查看有害組合和瓶頸的位置。

如要修補有害組合或瓶頸發現項目，請沿著模擬攻擊路徑，修補潛在的安全漏洞、設定錯誤或外部暴露發現項目。當風險引擎執行後續攻擊路徑模擬，並發現高價值資源的路徑已不存在時，會自動將有害組合或瓶頸發現項目的狀態從 ACTIVE 變更為 INACTIVE。

問題

如果使用 Premium 和 Enterprise (已淘汰) 服務級別，您可以在下列頁面存取風險最高的有害組合和瓶頸 (顯示為問題)：

Enterprise (已淘汰) 服務級別：「風險」 >「總覽」頁面
Premium 服務級別： Security Command Center > Risk Overview

您可以在「Risk> Issues」(風險 > 問題) 頁面，查看所有有害組合和瓶頸。

如要修正問題，請完成下列操作說明：

Premium

查看所有問題

如要查看所有問題，請前往 Security Command Center 的「Issues」(問題) 頁面。
前往「Issues」(問題) 頁面
選取 Google Cloud 組織。

依受攻擊風險分數排序

根據預設，分組問題會依嚴重性排序。在群組中，問題會依受攻擊風險分數排序。如要改為依受攻擊風險分數排序所有問題，請停用「Group by detections」(依偵測結果分組)。
選取問題。
查看問題說明和證據。

取得更多資訊

如有相關發現項目，請查看詳細資料。
如果主要資源在有害組合或瓶頸中有多個重大問題，系統會在「證據」圖表後方顯示訊息。如要盡可能提高修復效率，請按一下這則訊息中的「篩選這項主要資源的問題」，專心解決該資源的問題。如要移除篩選器，請按一下「新增篩選器」旁的返回箭頭。
按一下「Evidence」(證據) 圖表中的「Explore full attack paths」(瞭解完整攻擊路徑)，深入瞭解問題，以及攻擊路徑如何導致高價值資源暴露。
按一下「如何修正」，然後按照指示降低風險。

企業版

查看所有問題

如要查看所有問題，請前往 Security Command Center 的「風險」>「問題」頁面。
前往「問題」
選取 Google Cloud 組織。

依受攻擊風險分數排序

根據預設，分組問題會依嚴重性排序。在群組中，問題會依受攻擊風險分數排序。如要改為依受攻擊風險分數排序所有問題，請停用「Group by detections」(依偵測結果分組)。
選取問題。
查看問題說明和證據。

取得更多資訊

如有相關發現項目，請查看詳細資料。
如果主要資源在有害組合或瓶頸中有多個重大問題，系統會在「Evidence」(證據) 圖表後方顯示訊息。如要盡可能提高修復效率，請按一下這則訊息中的「篩選這項主要資源的問題」，專心解決該資源的問題。如要移除篩選器，請按一下「新增篩選器」旁的返回箭頭。
按一下「Evidence」(證據) 圖表中的「Explore full attack paths」(瞭解完整攻擊路徑)，深入瞭解問題，以及攻擊路徑如何導致高價值資源暴露。
按一下「如何修正」，然後按照指示降低風險。

案件

如果是 Enterprise (已淘汰) 服務級別，您可以前往「Cases」(案件) 頁面，查看所有有害組合案件。瓶頸不會自動產生案件，應在「Issues」(問題) 頁面查看。

如要找出案件中的有害組合，請按照下列指示操作：

在 Google Cloud 控制台，依序前往「Risk」(風險)>「Cases」(案件)。Security Operations 控制台的「Cases」(案件) 頁面隨即開啟。
在案件清單中，按一下「案件篩選器」，開啟篩選器面板。「Case queue filter」(案件佇列篩選器) 面板隨即開啟。
在「Case queue filter」(案件佇列篩選器) 中，指定下列項目： 1. 在「Time frame」(時間範圍) 欄位中，指定案件的有效時間範圍。 1. 將「邏輯運算子」設為「AND」。 1. 在篩選器索引鍵清單方塊中，選取「Tags」(標記)。 1. 將等號運算子設為「is」。 1. 在篩選器值清單方塊中，選取「有害組合」。 1. 按一下「套用」。案件佇列中的案件會更新，只顯示符合指定篩選條件的案件。
按一下「Cases filter」(案件篩選器) 旁邊的「Sort」(排序)，然後選取「Sort by attack exposure (high to low)」(依攻擊風險排序 (由高到低))。
在案件佇列中，按一下要查看的案件。如果是在「清單檢視」中查看案件，請改為點選案件 ID。系統會顯示案件資訊。
按一下「案件總覽」。
在「案件摘要」部分，按照「後續步驟」指南操作。

查看有害組合案件中的相關發現項目

有害組合通常包含一或多個軟體安全漏洞或錯誤設定發現項目。針對每項發現項目，Security Command Center 會自動開啟獨立案件，並執行相關聯的應對手冊。您可以查看這些發現項目的案例，並要求支援單擁有者優先修復，協助解決有害組合。

如要查看有害組合中的相關發現項目，請按照下列步驟操作：

在案件的「案件總覽」分頁中，前往「發現項目」部分。
在「發現項目」部分，查看列出的發現項目。
- 按一下發現項目的案件 ID，即可開啟案件並查看狀態、指派的擁有者和其他案件資訊。
- 按一下受攻擊風險分數，即可查看發現項目的攻擊路徑。
- 如果發現項目有票證 ID，請按一下該 ID 開啟票證。

或者，您也可以在案件的各個警告分頁中查看相關發現項目。

發現項目

有害組合或瓶頸發現項目是 Risk Engine 在雲端環境中偵測到有害組合或瓶頸時，產生的初始記錄。

前往「發現項目」頁面。

前往「發現項目」
選取 Google Cloud 組織。
在「快速篩選器」面板的「發現項目類別」部分，選取「有害組合」或「瓶頸」。「Findings query results」(發現項目查詢結果) 面板會更新，只顯示有害組合或瓶頸發現項目。
如要依嚴重程度排序發現項目，請點選「Attack Exposure Score」(受攻擊風險分數) 欄標題，直到分數遞減排序。
按一下發現項目類別，開啟發現項目詳細資料面板。前往「Next steps」(後續步驟) 部分，並按照指引修復安全性問題。

關閉有害組合案件

如要關閉有害組合案件，可以修復潛在的有害組合，或是在Google Cloud 控制台中忽略相關發現項目。

修復有害組合來關閉案件

修復有害組合中的安全問題後，如果這些問題不再對高價值資源集中的任何資源造成威脅，風險引擎會在下次攻擊路徑模擬期間自動結案，模擬作業最多每 48 小時執行一次。

忽略發現項目來關閉案件

如果貴公司可以接受有害組合帶來的風險，或無法修復有害組合，可以忽略相關發現項目來結案。

如要忽略有害組合發現項目，請按照下列步驟操作：

在 Google Cloud 控制台，依序前往「Risk」(風險)>「Cases」(案件)。
找出並開啟有害組合案件。
按一下相關快訊分頁標籤。
在「發現項目摘要」小工具中，按一下「在 SCC 中探索發現項目」。相關發現項目隨即開啟。
在發現項目詳細資料頁面，使用「忽略選項」忽略發現項目。

您也可以在 Google Cloud 控制台忽略發現項目。詳情請參閱「忽略個別發現項目」。

查看已結案的有害組合案件

案件關閉後，Security Command Center 會將其從「Cases」(案件) 頁面中移除。

如要查看已結案的有害組合案件，請按照下列步驟操作：

前往 Google Cloud 控制台的「Cases」(案件) 頁面。資安營運控制台隨即開啟。
展開「狀態」部分，然後選取「已關閉」。
展開「標記」部分，然後選取「有害組合」。
按一下 [套用]。搜尋結果會顯示已關閉的有害組合案件。