Schädliche Kombinationen und Engstellen verwalten

Auf dieser Seite finden Sie eine Anleitung zum Identifizieren und Beheben von schädlichen Kombinationen und Engpässen mithilfe der folgenden Seiten:

  • Probleme, verfügbar für die Dienststufen „Premium“ und „Enterprise“ (eingestellt)
  • Fälle, verfügbar für die Dienststufe „Enterprise“ (eingestellt)
  • Ergebnisse, verfügbar für die Dienststufen „Premium“ und „Enterprise“ (eingestellt)

Hinweis

Damit schädliche Kombinationen und Engpässe genau erkannt werden, prüfen Sie, ob die Software der Sicherheitsvorgangskomponente auf dem neuesten Stand ist, Ihre Gruppe hochwertiger Ressourcen korrekt festgelegt ist und Sie die richtigen IAM-Berechtigungen haben.

Optional: Daten aus anderen Clouds erfassen

Risk Engine unterstützt die Ausführung von Simulationen auf Daten von Amazon Web Services (AWS) (Vorschau) und Microsoft Azure (Vorschau), um schädliche Kombinationen und Engpässe zu identifizieren.

Konfigurieren Sie die Verbindung von Security Command Center zu diesen Cloud-Anbietern, um Ressourcen- und Konfigurationsdaten zu erfassen. Informationen zum Einrichten der Verbindungen finden Sie unter:

Eine Liste der unterstützten Ressourcen finden Sie unter Unterstützung von Risk Engine-Funktionen.

Erforderliche Berechtigungen abrufen

Für die Arbeit mit schädlichen Kombinationen und Engpässen benötigen Sie Berechtigungen, die Zugriff auf Security Command Center- und Google SecOps-Funktionen gewähren.

Security Command Center-IAM-Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie für die Arbeit mit schädlichen Kombinationen und Engpässen benötigen:

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Weitere Informationen zu Security Command Center-Rollen und -Berechtigungen finden Sie unter IAM für Aktivierungen auf Organisationsebene.

Google SecOps-IAM-Rollen

Für die Dienststufe „Enterprise“ (eingestellt) benötigen Sie eine der folgenden Rollen, um mit schädlichen Kombinationen und Fällen zu arbeiten:

  • Chronicle SOAR Vulnerability Manager (roles/chronicle.soarVulnerabilityManager)
  • Chronicle SOAR Threat Manager (roles/chronicle.soarThreatManager)
  • Chronicle SOAR Admin (roles/chronicle.soarAdmin)

Informationen zum Zuweisen der Rolle zu einem Nutzer finden Sie unter Nutzer mit IAM zuordnen und autorisieren.

Neuesten Anwendungsfall für Sicherheitsvorgänge installieren

Für die Funktion für schädliche Kombinationen ist die Version vom 25. Juni 2024 oder höher des Anwendungsfalls SCC Enterprise – Cloud Orchestration and Remediation erforderlich.

Informationen zum Installieren des Anwendungsfalls finden Sie unter Anwendungsfall für Enterprise aktualisieren, Juni 2024.

Gruppe hochwertiger Ressourcen angeben

Sie müssen die Erkennung von schädlichen Kombinationen und Engpässen nicht aktivieren. Sie ist immer aktiviert. Risk Engine erkennt automatisch schädliche Kombinationen und Engpässe, die eine standardmäßige Gruppe hochwertiger Ressourcen gefährden.

Ergebnisse zu schädlichen Kombinationen und Engpässen, die auf der Grundlage der standardmäßigen Gruppe hochwertiger Ressourcen generiert werden, spiegeln Ihre Sicherheitsprioritäten wahrscheinlich nicht genau wider. Wenn Sie angeben möchten, welche Ressourcen Teil Ihrer Gruppe hochwertiger Ressourcen sind, erstellen Sie Konfigurationen für Ressourcenwerte in der Google Cloud Console. Eine Anleitung finden Sie unter Gruppe hochwertiger Ressourcen definieren und verwalten.

Schädliche Kombinationen und Engpässe beheben

Schädliche Kombinationen und Engpässe können viele hochwertige Ressourcen potenziellen Angreifern zugänglich machen. Sie sollten sie vor anderen Risiken in Ihren Cloud-Umgebungen beheben.

Sie können die Reihenfolge, in der Sie schädliche Kombinationen und Engpässe beheben, anhand ihrer Angriffsrisikobewertung priorisieren. Wie Sie das tun, hängt davon ab, wo Sie schädliche Kombinationen und Engpässe ansehen.

Um ein Ergebnis zu einer schädlichen Kombination oder einem Engpass zu beheben, beheben Sie die zugrunde liegenden Sicherheitslücken, fehlerhaften Konfigurationen oder Ergebnisse zu externen Gefährdungen entlang des simulierten Angriffspfads. Wenn Risk Engine eine nachfolgende Angriffspfad simulation ausführt und feststellt, dass der Pfad zu den hochwertigen Ressourcen nicht mehr vorhanden ist, ändert sie den Status des Ergebnisses zu einer schädlichen Kombination oder einem Engpass automatisch von ACTIVE in INACTIVE.

Probleme

Für die Dienststufen „Premium“ und „Enterprise“ (eingestellt) können Sie auf den folgenden Seiten auf die schädlichen Kombinationen und Engpässe mit dem höchsten Risiko zugreifen (als Problemeangezeigt):

  • Dienststufe „Enterprise“ (eingestellt): Seite Risiko > Übersicht
  • Dienststufe „Premium“: Security Command Center > Risikoübersicht

Alle schädlichen Kombinationen und Engpässe können auf der Seite Risiko> Probleme angesehen werden.

So beheben Sie ein Problem:

Premium

Alle Probleme ansehen

  1. Rufen Sie die Seite Probleme von Security Command Center auf, um alle Probleme anzusehen.

    Zu Problemen

  2. Wählen Sie Ihre Google Cloud Organisation aus.

Nach Angriffsrisikobewertung sortieren

  1. Standardmäßig werden gruppierte Probleme nach Schweregrad eingestuft. Innerhalb der Gruppe werden die Probleme nach Angriffsrisikobewertung eingestuft. Wenn Sie stattdessen alle Probleme nach Angriffsrisikobewertung sortieren möchten, deaktivieren Sie Nach Erkennungen gruppieren.
  2. Wählen Sie ein Problem aus.
  3. Prüfen Sie die Beschreibung und die Beweise für das Problem.

Weitere Informationen aufrufen

  1. Wenn es zugehörige Ergebnisse gibt, rufen Sie die Details auf.
  2. Wenn bei einer primären Ressource in einer schädlichen Kombination oder einem Engpass mehrere kritische Probleme gefunden werden, wird nach dem Diagramm Beweise eine Meldung angezeigt. Um Ihre Bemühungen zur Behebung zu optimieren, klicken Sie Probleme für diese primäre Ressource filtern in dieser Meldung auf, um sich auf die Behebung von Problemen für diese bestimmte Ressource zu konzentrieren. Klicken Sie auf den Zurück pfeil neben Filterleiste öffnen Filter hinzufügen , wenn Sie den Filter entfernen möchten.
  3. Klicken Sie im Diagramm Beweise auf Vollständige Angriffspfade untersuchen , um das Problem genau zu verstehen und zu erfahren, wie die Angriffspfade hochwertige Ressourcen gefährden.
  4. Klicken Sie auf Problemlösung und folgen Sie der Anleitung, um das Risiko zu minimieren.

Enterprise

Alle Probleme ansehen

  1. Rufen Sie die Seite Risiko > Probleme von Security Command Center auf, um alle Probleme anzusehen.

    Zu Problemen

  2. Wählen Sie Ihre Google Cloud Organisation aus.

Nach Angriffsrisikobewertung sortieren

  1. Standardmäßig werden gruppierte Probleme nach Schweregrad eingestuft. Innerhalb der Gruppe werden die Probleme nach Angriffsrisikobewertung eingestuft. Wenn Sie stattdessen alle Probleme nach Angriffsrisikobewertung sortieren möchten, deaktivieren Sie Nach Erkennungen gruppieren.
  2. Wählen Sie ein Problem aus.
  3. Prüfen Sie die Beschreibung und die Beweise für das Problem.

Weitere Informationen aufrufen

  1. Wenn es zugehörige Ergebnisse gibt, rufen Sie die Details auf.
  2. Wenn bei einer primären Ressource in einer schädlichen Kombination oder einem Engpass mehrere kritische Probleme gefunden werden, wird nach dem Diagramm Beweise eine Meldung angezeigt. Um Ihre Bemühungen zur Behebung zu optimieren, klicken Sie Probleme für diese primäre Ressource filtern in dieser Meldung auf, um sich auf die Behebung von Problemen für diese bestimmte Ressource zu konzentrieren. Klicken Sie auf den Zurück pfeil neben Filterleiste öffnen Filter hinzufügen , wenn Sie den Filter entfernen möchten.
  3. Klicken Sie im Diagramm Beweise auf Vollständige Angriffspfade untersuchen , um das Problem genau zu verstehen und zu erfahren, wie die Angriffspfade hochwertige Ressourcen gefährden.
  4. Klicken Sie auf Problemlösung und folgen Sie der Anleitung, um das Risiko zu minimieren.

Fälle

Für die Dienststufe „Enterprise“ (eingestellt) können Sie alle Fälle zu schädlichen Kombinationen auf der Seite Fälle ansehen. Für Engpässe wird nicht automatisch ein Fall erstellt. Sie sollten auf der Seite Probleme angesehen werden.

So finden Sie schädliche Kombinationen in Fällen:

  1. Rufen Sie in der Google Cloud Console Risiko > Fälle auf. Die Seite Fälle der Security Operations-Konsole wird geöffnet.
  2. Klicken Sie in der Liste der Fälle auf Filterleiste öffnen Fälle filtern, um den Filterbereich zu öffnen. Der Bereich Filter für Fallwarteschlange wird geöffnet.
  3. Geben Sie im Bereich Filter für Fallwarteschlange Folgendes an: 1. Geben Sie im Feld Zeitraum den Zeitraum an, in dem der Fall aktiv ist. 1. Setzen Sie Logischer Operator auf UND. 1. Wählen Sie im Listenfeld für den Filterschlüssel Tags aus. 1. Setzen Sie den Gleichheitsoperator auf ist. 1. Wählen Sie im Listenfeld für den Filterwert Schädliche Kombination aus. 1. Klicken Sie auf Übernehmen. Die Fälle in der Fallwarteschlange werden aktualisiert und es werden nur die Fälle angezeigt, die dem von Ihnen angegebenen Filter entsprechen.
  4. Klicken Sie neben Filterleiste öffnen Fälle filtern auf Sortieren und wählen Sie Nach Angriffsrisiko sortieren (absteigend) aus.
  5. Klicken Sie in der Fallwarteschlange auf den Fall, den Sie sehen möchten. Wenn Sie Fälle in der Listenansicht ansehen, klicken Sie stattdessen auf die Fall-ID. Die Fallinformationen werden angezeigt.
  6. Klicken Sie auf Fall Fallübersicht.
  7. Folgen Sie im Bereich Fallzusammenfassung der Anleitung unter Nächste Schritte.

In der Regel enthält eine schädliche Kombination ein oder mehrere Ergebnisse zu einer Software-Sicherheitslücke oder einer fehlerhaften Konfiguration. Für jedes dieser Ergebnisse öffnet Security Command Center automatisch einen separaten Fall und führt die zugehörigen Playbooks aus. Sie können die Fälle für diese Ergebnisse prüfen und die Ticketinhaber bitten, die Behebung zu priorisieren, um die schädliche Kombination zu beheben.

So prüfen Sie die zugehörigen Ergebnisse in einer schädlichen Kombination:

  1. Rufen Sie auf dem Tab Fall Fallübersicht eines Falls den Bereich Ergebnisse auf.

  2. Prüfen Sie im Bereich Ergebnisse die aufgeführten Ergebnisse.

    • Klicken Sie auf die Fall-ID des Ergebnisses, um den Fall zu öffnen und den Status, den zugewiesenen Inhaber und andere Fallinformationen anzusehen.
    • Klicken Sie auf die Angriffsrisikobewertung, um den Angriffspfad für das Ergebnis zu prüfen.
    • Wenn das Ergebnis eine Ticket-ID hat, klicken Sie darauf, um das Ticket zu öffnen.

Alternativ können Sie zugehörige Ergebnisse auf eigenen Benachrichtigungstabs im Fall ansehen.

Ergebnisse

Ein Ergebnis zu einer schädlichen Kombination oder einem Engpass ist der erste Eintrag, den Risk Engine generiert, wenn eine schädliche Kombination oder ein Engpass in Ihrer Cloud-Umgebung erkannt wird.

  1. Rufen Sie die Seite Ergebnisse auf.

    Zu Ergebnissen

  2. Wählen Sie Ihre Google Cloud Organisation aus.

  3. Wählen Sie im Bereich Ergebnisklasse des Bereichs Schnellfilter die Option Schädliche Kombination oder Engpass aus. Der Bereich Ergebnisse der Ergebnisabfrage wird aktualisiert und es werden nur Ergebnisse zu schädlichen Kombinationen oder Engpässen angezeigt.

  4. Wenn Sie die Ergebnisse nach Schweregrad sortieren möchten, klicken Sie auf die Spaltenüberschrift Angriffsrisikobewertung , bis die Bewertungen in absteigender Reihenfolge angezeigt werden.

  5. Klicken Sie auf eine Ergebniskategorie, um den Bereich mit den Ergebnisdetails zu öffnen. Rufen Sie den Bereich Nächste Schritte auf und folgen Sie der Anleitung, um das Sicherheitsproblem zu beheben.

Fälle zu schädlichen Kombinationen schließen

Sie können einen Fall für eine schädliche Kombination schließen, indem Sie entweder die zugrunde liegende schädliche Kombination beheben oder das zugehörige Ergebnis in der Google Cloud Console ausblenden.

Fall schließen, indem eine schädliche Kombination behoben wird

Nachdem Sie die Sicherheitsprobleme behoben haben, die eine schädliche Kombination ausmachen, und sie keine Ressourcen mehr in Ihrer Gruppe hochwertiger Ressourcen gefährden, schließt Risk Engine den Fall automatisch bei der nächsten Angriffspfadsimulation, die bis zu alle 48 Stunden ausgeführt wird.

Fall schließen, indem das Ergebnis ausgeblendet wird

Wenn das Risiko, das von der schädlichen Kombination ausgeht, für Ihr Unternehmen akzeptabel ist oder Sie die schädliche Kombination nicht beheben können, können Sie den Fall schließen, indem Sie das zugehörige Ergebnis ausblenden.

So blenden Sie ein Ergebnis zu einer schädlichen Kombination aus:

  1. Rufen Sie in der Google Cloud Console Risiko > Fälle auf.
  2. Suchen und öffnen Sie den Fall zu der schädlichen Kombination.
  3. Klicken Sie auf den zugehörigen Benachrichtigungstab.
  4. Klicken Sie im Widget Ergebnisübersicht auf Ergebnisse in SCC untersuchen. Das zugehörige Ergebnis wird geöffnet.
  5. Verwenden Sie die Ausblendungsoptionen auf der Seite mit den Ergebnisdetails, um das Ergebnis auszublenden.

Sie können Ergebnisse auch in der Google Cloud Console ausblenden. Weitere Informationen finden Sie unter Einzelnes Ergebnis ausblenden.

Geschlossene Fälle zu schädlichen Kombinationen ansehen

Wenn ein Fall geschlossen wird, entfernt Security Command Center ihn von der Seite Fälle.

So sehen Sie einen geschlossenen Fall zu einer schädlichen Kombination:

  1. Rufen Sie in der Google Cloud Console die Seite Fälle auf. Die Security Operations-Konsole wird geöffnet.
  2. Maximieren Sie den Bereich Status und wählen Sie dann Geschlossen aus.
  3. Maximieren Sie den Bereich Tags und wählen Sie dann Schädliche Kombination aus.
  4. Klicken Sie auf Übernehmen. Geschlossene Fälle zu schädlichen Kombinationen werden in den Suchergebnissen angezeigt.

Nächste Schritte