Schädliche Kombinationen und Engstellen verwalten

Mit dem Security Command Center können Sie toxische Kombinationen und Engpässe identifizieren und beheben, bevor Angreifer zusammengesetzte Sicherheitslücken ausnutzen können, um auf kritische Assets zuzugreifen. Auf den folgenden Seiten können Sie diese Offenlegungen untersuchen und darauf reagieren:

  • Probleme, verfügbar in den Dienststufen Premium und Enterprise (eingestellt).
  • Fälle, die in der Enterprise-Dienststufe (eingestellt) verfügbar sind.
  • Ergebnisse, verfügbar in den Dienststufen Premium und Enterprise (eingestellt).

Hinweis

Damit die Erkennung von toxischen Kombinationen und Chokepoints korrekt ist, müssen Sie prüfen, ob die Software der SecOps-Komponente auf dem neuesten Stand ist, ob Ihr Set mit hochwertigen Ressourcen korrekt festgelegt ist und ob Sie die richtigen IAM-Berechtigungen haben.

Optional: Daten aus anderen Clouds erfassen

Die Risk Engine unterstützt die Ausführung von Simulationen mit Daten von Amazon Web Services (AWS) (Vorabversion) und Microsoft Azure (Vorabversion), um toxische Kombinationen und Engpässe zu identifizieren.

Konfigurieren Sie die Verbindung von Security Command Center zu diesen Cloud-Anbietern, um Ressourcen- und Konfigurationsdaten zu erfassen. Informationen zum Einrichten der Verbindungen finden Sie hier:

Eine Liste der unterstützten Ressourcen finden Sie unter Unterstützung von Risk Engine-Funktionen.

Erforderliche Berechtigungen einholen

Wenn Sie mit toxischen Kombinationen und Chokepoints arbeiten möchten, benötigen Sie Berechtigungen, die Zugriff auf die Funktionen von Security Command Center und Google SecOps gewähren.

IAM-Rollen für Security Command Center

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie für die Arbeit mit toxischen Kombinationen und Chokepoints benötigen:

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Weitere Informationen zu Rollen und Berechtigungen im Security Command Center finden Sie unter IAM für Aktivierungen auf Organisationsebene.

Google SecOps-IAM-Rollen

Für die Servicestufe „Enterprise (eingestellt)“ benötigen Sie eine der folgenden Rollen, um mit schädlichen Kombinationen und Fällen zu arbeiten:

  • Chronicle SOAR Vulnerability Manager (roles/chronicle.soarVulnerabilityManager)
  • Chronicle SOAR Threat Manager (roles/chronicle.soarThreatManager)
  • Chronicle SOAR-Administrator (roles/chronicle.soarAdmin)

Informationen zum Zuweisen der Rolle zu einem Nutzer finden Sie unter Nutzer mit IAM zuordnen und autorisieren.

Neuesten Anwendungsfall für Security Operations installieren

Für die Funktion „Toxische Kombination“ ist die Version vom 25. Juni 2024 oder höher des Anwendungsfalls SCC Enterprise – Cloud-Orchestrierung und -Abhilfe erforderlich.

Informationen zur Installation des Anwendungsfalls finden Sie unter Enterprise-Anwendungsfall aktualisieren, Juni 2024.

Satz hochwertiger Ressourcen angeben

Sie müssen die Erkennung von toxischen Kombinationen und Chokepoints nicht aktivieren, da sie immer aktiviert ist. Die Risk Engine erkennt automatisch schädliche Kombinationen und Engpässe, die einen Standardsatz hochwertiger Ressourcen gefährden.

Ergebnisse zu toxischen Kombinationen und Chokepoints, die auf Grundlage des Standard-Ressourcensatzes mit hohem Wert generiert werden, spiegeln Ihre Sicherheitsprioritäten wahrscheinlich nicht genau wider. Wenn Sie angeben möchten, welche Ressourcen zu Ihrem Satz hochwertiger Ressourcen gehören, erstellen Sie in der Google Cloud Console Konfigurationen für den Wert von Ressourcen. Eine Anleitung finden Sie unter Satz hochwertiger Ressourcen definieren und verwalten.

Schädliche Kombinationen und Engpässe beheben

Schädliche Kombinationen und Chokepoints können viele hochwertige Ressourcen potenziellen Angreifern aussetzen. Sie sollten diese vor anderen Risiken in Ihren Cloud-Umgebungen beheben.

Sie können die Reihenfolge, in der Sie schädliche Kombinationen und Chokepoints beheben, anhand des Angriffsrisikowerts priorisieren. Die Vorgehensweise hängt davon ab, wo Sie sich schädliche Kombinationen und Chokepoints ansehen.

Wenn Sie ein Ergebnis zu einer schädlichen Kombination oder einem Chokepoint beheben möchten, müssen Sie die zugrunde liegenden Sicherheitslücken, Fehlkonfigurationen oder Ergebnisse zu externen Bedrohungen entlang des simulierten Angriffspfads beheben. Wenn die Risk Engine eine nachfolgende Angriffspfadsimulation ausführt und feststellt, dass der Pfad zu den hochwertigen Ressourcen nicht mehr vorhanden ist, ändert sie den Status des Ergebnisses für die toxische Kombination oder den Chokepoint automatisch von ACTIVE in INACTIVE.

Probleme

In den Dienststufen „Premium“ und „Enterprise (eingestellt)“ können Sie auf den folgenden Seiten auf die toxischen Kombinationen und Chokepoints mit dem höchsten Risiko (als Probleme angezeigt) zugreifen:

  • Enterprise-Dienststufe (eingestellt): Seite Risiko > Übersicht
  • Premium-Dienststufe: Security Command Center > Risikoübersicht

Alle schädlichen Kombinationen und Chokepoints können auf der Seite Risiko > Probleme eingesehen werden.

So beheben Sie ein Problem:

Premium

Alle Probleme ansehen

  1. Wenn Sie alle Probleme sehen möchten, rufen Sie im Security Command Center die Seite Probleme auf.

    Zu „Probleme“

  2. Wählen Sie Ihre Google Cloud -Organisation aus.

Nach Angriffsbewertung sortieren

  1. Gruppierte Probleme werden standardmäßig nach Schweregrad sortiert. Innerhalb der Gruppe werden die Probleme nach dem Angriffsrisiko sortiert. Wenn Sie stattdessen alle Probleme nach der Angriffsbewertung sortieren möchten, deaktivieren Sie Nach Erkennungen gruppieren.
  2. Wählen Sie ein Problem aus.
  3. Sehen Sie sich die Beschreibung des Problems und die Nachweise an.

Weitere Informationen

  1. Wenn es ähnliche Ergebnisse gibt, rufen Sie die Details auf.
  2. Wenn mehrere kritische Probleme bei einer primären Ressource in einer toxischen Kombination oder einem Engpass gefunden werden, wird nach dem Diagramm Nachweise eine Meldung angezeigt. Wenn Sie die Behebung von Problemen optimieren möchten, klicken Sie in dieser Nachricht auf Probleme für diese primäre Ressource filtern, um sich auf die Behebung von Problemen für diese bestimmte Ressource zu konzentrieren. Klicken Sie auf den Zurückpfeil neben Filterleiste öffnen Filter hinzufügen, um den Filter zu entfernen.
  3. Klicken Sie im Diagramm Nachweise auf Vollständige Angriffspfade ansehen, um das Problem genauer zu verstehen und zu sehen, wie die Angriffspfade hochwertige Ressourcen gefährden.
  4. Klicken Sie auf Problemlösung und folgen Sie der Anleitung, um das Risiko zu minimieren.

Enterprise

Alle Probleme ansehen

  1. Wenn Sie alle Probleme sehen möchten, rufen Sie im Security Command Center die Seite Risiko > Probleme auf.

    Zu „Probleme“

  2. Wählen Sie Ihre Google Cloud -Organisation aus.

Nach Angriffsbewertung sortieren

  1. Gruppierte Probleme werden standardmäßig nach Schweregrad sortiert. Innerhalb der Gruppe werden die Probleme nach dem Angriffsrisiko sortiert. Wenn Sie stattdessen alle Probleme nach der Angriffsbewertung sortieren möchten, deaktivieren Sie Nach Erkennungen gruppieren.
  2. Wählen Sie ein Problem aus.
  3. Sehen Sie sich die Beschreibung des Problems und die Nachweise an.

Weitere Informationen

  1. Wenn es ähnliche Ergebnisse gibt, rufen Sie die Details auf.
  2. Wenn bei einer primären Ressource in einer toxischen Kombination oder einem Engpass mehrere kritische Probleme gefunden werden, wird nach dem Diagramm Nachweise eine Meldung angezeigt. Wenn Sie die Behebung von Problemen optimieren möchten, klicken Sie in dieser Nachricht auf Probleme für diese primäre Ressource filtern, um sich auf die Behebung von Problemen für diese bestimmte Ressource zu konzentrieren. Klicken Sie auf den Zurückpfeil neben Filterleiste öffnen Filter hinzufügen, um den Filter zu entfernen.
  3. Klicken Sie im Diagramm Nachweise auf Vollständige Angriffspfade ansehen, um das Problem genauer zu verstehen und zu sehen, wie die Angriffspfade hochwertige Ressourcen gefährden.
  4. Klicken Sie auf Problemlösung und folgen Sie der Anleitung, um das Risiko zu minimieren.

Fälle

In der Dienststufe „Enterprise (eingestellt)“ können Sie alle Fälle zu schädlichen Kombinationen auf der Seite Fälle aufrufen. Engpässe generieren nicht automatisch einen Fall und sollten auf der Seite Probleme angezeigt werden.

So finden Sie schädliche Kombinationen in Fällen:

  1. Rufen Sie in der Google Cloud Console Risiko > Fälle auf. Die Seite Fälle der Security Operations-Konsole wird geöffnet.
  2. Klicken Sie in der Liste der Anfragen auf Filterleiste öffnen Anfragenfilter, um den Filterbereich zu öffnen. Der Bereich Filter für Fallwarteschlange wird geöffnet.
  3. Geben Sie im Filter für die Fallwarteschlange Folgendes an: 1. Geben Sie im Feld Zeitraum den Zeitraum an, in dem der Fall aktiv ist. 1. Legen Sie für Logischer Operator den Wert AND fest. 1. Wählen Sie im Listenfeld für den Filterschlüssel Tags aus. 1. Legen Sie den Gleichheitsoperator auf ist fest. 1. Wählen Sie im Listenfeld für den Filterwert die Option Toxische Kombination aus. 1. Klicken Sie auf Anwenden. Die Fälle in der Fallwarteschlange werden aktualisiert und es werden nur noch die Fälle angezeigt, die dem von Ihnen angegebenen Filter entsprechen.
  4. Klicken Sie neben dem Filter für Fälle Filterleiste öffnen auf Sortieren und wählen Sie Nach Angriffsrisiko sortieren (absteigend) aus.
  5. Klicken Sie in der Fallwarteschlange auf den Fall, den Sie sich ansehen möchten. Wenn Sie Fälle in der Listenansicht aufrufen, klicken Sie stattdessen auf die Fall-ID. Die Fallinformationen werden angezeigt.
  6. Klicken Sie auf Fall Fallübersicht.
  7. Folgen Sie im Abschnitt Fallzusammenfassung der Anleitung unter Nächste Schritte.

In der Regel enthält eine schädliche Kombination ein oder mehrere Ergebnisse zu einer Software-Sicherheitslücke oder einer fehlerhaften Konfiguration. Für jedes dieser Ergebnisse öffnet das Security Command Center automatisch einen separaten Fall und führt die zugehörigen Playbooks aus. Sie können die Fälle für diese Ergebnisse prüfen und die Ticketinhaber bitten, die Behebung zu priorisieren, um die schädliche Kombination zu beheben.

So prüfen Sie die zugehörigen Ergebnisse in einer schädlichen Kombination:

  1. Rufen Sie auf dem Tab Fall Fallübersicht eines Falls den Bereich Ergebnisse auf.

  2. Sehen Sie sich im Bereich Ergebnisse die aufgelisteten Ergebnisse an.

    • Klicken Sie auf die Fall-ID des Ergebnisses, um den Fall zu öffnen und seinen Status, den zugewiesenen Inhaber und andere Fallinformationen aufzurufen.
    • Klicken Sie auf die Angriffsrisikobewertung, um den Angriffspfad für das Ergebnis zu prüfen.
    • Wenn das Ergebnis eine Ticket-ID hat, klicken Sie darauf, um das Ticket zu öffnen.

Alternativ können Sie sich zugehörige Ergebnisse auf den entsprechenden Benachrichtigungs-Tabs im Fall ansehen.

Ergebnisse

Ein Ergebnis für eine toxische Kombination oder einen Chokepoint ist der erste Eintrag, den die Risk Engine generiert, wenn sie eine toxische Kombination oder einen Chokepoint in Ihrer Cloud-Umgebung erkennt.

  1. Rufen Sie die Seite Ergebnisse auf.

    Zu Ergebnissen

  2. Wählen Sie Ihre Google Cloud -Organisation aus.

  3. Wählen Sie im Bereich Schnellfilter im Abschnitt Ergebnisklasse die Option Toxische Kombination oder Chokepoint aus. Im Bereich Ergebnisse der Ergebnisabfrage werden nur die Ergebnisse zu schädlichen Kombinationen oder Engpässen angezeigt.

  4. Wenn Sie die Ergebnisse nach Schweregrad sortieren möchten, klicken Sie auf die Spaltenüberschrift Angriffsrisikobewertung, bis die Bewertungen in absteigender Reihenfolge angezeigt werden.

  5. Klicken Sie auf eine Ergebniskategorie, um den Bereich mit den Ergebnisdetails zu öffnen. Gehen Sie zum Abschnitt Nächste Schritte und folgen Sie der Anleitung, um das Sicherheitsproblem zu beheben.

Fälle zu schädlichen Kombinationen schließen

Sie können einen Fall für eine schädliche Kombination schließen, indem Sie entweder die zugrunde liegende schädliche Kombination beheben oder das zugehörige Ergebnis in derGoogle Cloud -Console ausblenden.

Anfrage durch Beheben einer schädlichen Kombination schließen

Nachdem Sie die Sicherheitsprobleme behoben haben, die eine schädliche Kombination ausmachen, und diese keine Ressourcen mehr in Ihrer Gruppe hochwertiger Ressourcen gefährden, schließt die Risk Engine den Fall automatisch während der nächsten Angriffspfadsimulation, die alle 48 Stunden ausgeführt wird.

Anfrage durch Ausblenden des Ergebnisses schließen

Wenn das Risiko, das von der schädlichen Kombination ausgeht, für Ihr Unternehmen akzeptabel ist oder Sie die schädliche Kombination nicht beheben können, können Sie den Fall schließen, indem Sie das zugehörige Ergebnis ausblenden.

So blenden Sie ein Ergebnis zu einer schädlichen Kombination aus:

  1. Rufen Sie in der Google Cloud Console Risiko > Fälle auf.
  2. Suchen und öffnen Sie den Fall zu schädlichen Kombinationen.
  3. Klicken Sie auf den Tab für die entsprechende Benachrichtigung.
  4. Klicken Sie im Widget Ergebniszusammenfassung auf Ergebnisse in SCC ansehen. Das zugehörige Ergebnis wird geöffnet.
  5. Verwenden Sie die Ausblendungsoptionen auf der Seite mit den Ergebnisdetails, um das Ergebnis auszublenden.

Sie können Ergebnisse auch in der Google Cloud Console ausblenden. Weitere Informationen finden Sie unter Einzelnes Ergebnis ausblenden.

Geschlossene Fälle zu schädlichen Kombinationen ansehen

Wenn ein Fall geschlossen wird, wird er im Security Command Center von der Seite Fälle entfernt.

So rufen Sie einen geschlossenen Fall zu einer schädlichen Kombination auf:

  1. Rufen Sie in der Google Cloud Console die Seite Anfragen auf. Die Security Operations-Konsole wird geöffnet.
  2. Maximieren Sie den Bereich Status und wählen Sie Geschlossen aus.
  3. Maximieren Sie den Bereich Tags und wählen Sie Toxische Kombination aus.
  4. Klicken Sie auf Übernehmen. Geschlossene Fälle zu schädlichen Kombinationen werden in den Suchergebnissen angezeigt.

Nächste Schritte