Gerenciar combinações ruins e pontos de estrangulamento

O Security Command Center permite identificar e corrigir combinações tóxicas e pontos de gargalo antes que os invasores possam explorar vulnerabilidades compostas para alcançar recursos críticos. É possível investigar e responder a essas exposições usando as seguintes páginas:

  • Problemas, disponível nos níveis de serviço Premium e Enterprise (descontinuado).
  • Casos, disponível no nível de serviço Enterprise (descontinuado).
  • Descobertas, disponível nos níveis de serviço Premium e Enterprise (descontinuado).

Antes de começar

Para garantir que a detecção de combinações tóxicas e pontos de gargalo seja precisa, verifique se o software do componente de operações de segurança está atualizado, se o conjunto de recursos de alto valor está designado com precisão e se você tem as permissões adequadas do IAM.

Opcional: coletar dados de outras nuvens

O Risk Engine permite executar simulações em dados da Amazon Web Services (AWS) (pré-lançamento) e do Microsoft Azure (pré-lançamento) para identificar combinações tóxicas e pontos de estrangulamento.

Configure a conexão do Security Command Center com esses provedores de nuvem para coletar dados de recursos e configuração. Para saber como configurar as conexões, consulte:

Para ver a lista de recursos compatíveis, consulte Suporte a recursos do mecanismo de risco.

Conseguir as permissões necessárias

Para trabalhar com combinações tóxicas e pontos de estrangulamento, você precisa de permissões que concedam acesso aos recursos do Security Command Center e do Google SecOps.

Papéis do IAM do Security Command Center

Para receber as permissões necessárias para trabalhar com combinações tóxicas e pontos de restrição, peça ao administrador que conceda a você os seguintes papéis do IAM na sua organização:

Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias usando papéis personalizados ou outros papéis predefinidos.

Para mais informações sobre os papéis e as permissões do Security Command Center, consulte IAM para ativações no nível da organização.

Papéis do IAM do Google SecOps

Para o nível de serviço Enterprise (descontinuado), para trabalhar com combinações e casos tóxicos, você precisa de um dos seguintes papéis:

  • Gerenciador de vulnerabilidades do Chronicle SOAR (roles/chronicle.soarVulnerabilityManager)
  • Gerenciador de ameaças do Chronicle SOAR (roles/chronicle.soarThreatManager)
  • Administrador do Chronicle SOAR (roles/chronicle.soarAdmin)

Para saber como conceder o papel a um usuário, consulte Mapear e autorizar usuários com o IAM.

Instalar o caso de uso mais recente de operações de segurança

O recurso de combinação tóxica requer a versão de 25 de junho de 2024 ou posterior do caso de uso SCC Enterprise – Orquestração e correção na nuvem.

Para informações sobre como instalar o caso de uso, consulte Atualizar o caso de uso do Enterprise, junho de 2024.

Especificar seu conjunto de recursos de alto valor

Não é necessário ativar a detecção de combinações tóxicas e pontos de estrangulamento, que estão sempre ativados. O mecanismo de risco detecta automaticamente combinações tóxicas e pontos de estrangulamento que expõem um conjunto padrão de recursos de alto valor.

É improvável que as descobertas de combinações tóxicas e pontos de gargalo geradas com base no conjunto de recursos de alto valor padrão reflitam com precisão suas prioridades de segurança. Para especificar quais recursos fazem parte do seu conjunto de recursos de alto valor, crie configurações de valor de recursos no console do Google Cloud . Para instruções, consulte Definir e gerenciar seu conjunto de recursos de alto valor.

Corrigir combinações tóxicas e pontos de estrangulamento

Combinações tóxicas e pontos de estrangulamento podem expor muitos recursos de alto valor a possíveis invasores. É preciso corrigi-los antes de outros riscos nos ambientes de nuvem.

É possível priorizar a ordem em que você corrige combinações tóxicas e pontos de estrangulamento com base na pontuação de exposição a ataques. A maneira de fazer isso muda dependendo de onde você visualiza as combinações ruins e os pontos de estrangulamento.

Para corrigir uma descoberta de combinação tóxica ou de ponto de estrangulamento, corrija as vulnerabilidades, as configurações incorretas ou as descobertas de exposição externa subjacentes ao longo do caminho de ataque simulado. Quando o mecanismo de risco executa uma simulação de caminho de ataque subsequente e identifica que o caminho para os recursos de alto valor não existe mais, ele muda automaticamente o estado da descoberta de combinação tóxica ou ponto de gargalo de ACTIVE para INACTIVE.

Problemas

Para os níveis de serviço Premium e Enterprise (descontinuado), é possível acessar as combinações tóxicas e os pontos de estrangulamento de maior risco (exibidos como problemas) nas seguintes páginas:

  • Nível de serviço Enterprise (descontinuado): página Risco > Visão geral
  • Nível de serviço Premium: Security Command Center > Visão geral de riscos

Todas as combinações tóxicas e pontos de estrangulamento podem ser visualizados na página Risco > Problemas.

Para corrigir um problema, siga estas instruções:

Premium

Ver todos os problemas

  1. Para conferir todos os problemas, acesse a página Problemas do Security Command Center.

    Ver problemas

  2. Selecione sua Google Cloud organização.

Ordenar por pontuação de exposição a ataques

  1. Por padrão, os problemas agrupados são classificados por gravidade. Dentro do grupo, os problemas são classificados por pontuação de exposição a ataques. Para ordenar todos os problemas por pontuação de exposição a ataques, desative a opção Agrupar por detecções.
  2. Selecione um problema.
  3. Revise a descrição e as evidências do problema.

Acessar mais informações

  1. Se houver descobertas relacionadas, confira os detalhes delas.
  2. Se vários problemas críticos forem encontrados em um recurso principal em uma combinação tóxica ou ponto de estrangulamento, uma mensagem vai aparecer após o diagrama Evidência. Para otimizar seus esforços de correção, clique em Filtrar problemas neste recurso principal na mensagem e concentre-se em resolver problemas desse recurso específico. Clique na seta para trás ao lado de Abrir o painel de filtros Adicionar filtro quando quiser remover o filtro.
  3. Clique em Analisar os caminhos de ataque completos no diagrama Evidências para entender melhor o problema e como os caminhos de ataque expõem recursos de alto valor.
  4. Clique em Como corrigir e siga as orientações para reduzir o risco.

Enterprise

Ver todos os problemas

  1. Para ver todos os problemas, acesse a página Risco > Problemas do Security Command Center.

    Ver problemas

  2. Selecione sua Google Cloud organização.

Ordenar por pontuação de exposição a ataques

  1. Por padrão, os problemas agrupados são classificados por gravidade. Dentro do grupo, os problemas são classificados por pontuação de exposição a ataques. Para ordenar todos os problemas por pontuação de exposição a ataques, desative a opção Agrupar por detecções.
  2. Selecione um problema.
  3. Revise a descrição e as evidências do problema.

Acessar mais informações

  1. Se houver descobertas relacionadas, confira os detalhes delas.
  2. Se vários problemas críticos forem encontrados em um recurso principal em uma combinação tóxica ou ponto de estrangulamento, uma mensagem vai aparecer após o diagrama Evidência. Para otimizar seus esforços de correção, clique em Filtrar problemas neste recurso principal na mensagem e concentre-se em resolver problemas desse recurso específico. Clique na seta para trás ao lado de Abrir o painel de filtros Adicionar filtro quando quiser remover o filtro.
  3. Clique em Analisar os caminhos de ataque completos no diagrama Evidências para entender melhor o problema e como os caminhos de ataque expõem recursos de alto valor.
  4. Clique em Como corrigir e siga as orientações para reduzir o risco.

Casos

Para o nível de serviço Enterprise (descontinuado), é possível ver todos os casos de combinação tóxica acessando a página Casos. Os gargalos não geram um caso automaticamente e precisam ser visualizados na página Problemas.

Para encontrar combinações tóxicas em casos, siga estas instruções:

  1. No console do Google Cloud , acesse Risco > Casos. A página do console de operações de segurança Casos é aberta.
  2. Na lista de casos, clique em Abrir o painel de filtros Filtro de casos para abrir o painel de filtros. O painel Filtro da fila de casos é aberto.
  3. No Filtro de fila de casos, especifique o seguinte: 1. No campo Período, especifique o período em que o caso está ativo. 1. Defina o Operador lógico como AND. 1. Na caixa de listagem de chaves de filtro, selecione Tags. 1. Defina o operador de igualdade como é. 1. Na caixa de listagem de valores de filtro, selecione Combinação tóxica. 1. Clique em Aplicar. Os casos na fila são atualizados para mostrar apenas os casos que correspondem ao filtro especificado.
  4. Clique em Classificar ao lado do filtro de casos de Abrir o painel de filtros e selecione Classificar por exposição a ataques (da maior para a menor).
  5. Na fila de casos, clique no caso que você quer ver. Se você estiver visualizando casos na Visualização em lista, clique no ID do caso. As informações do caso são exibidas.
  6. Clique em Caso Visão geral do caso.
  7. Na seção Resumo do caso, siga as orientações em Próximas etapas.

Normalmente, uma combinação tóxica inclui uma ou mais descobertas de uma vulnerabilidade de software ou uma configuração incorreta. Para cada uma dessas descobertas, o Security Command Center abre automaticamente um caso separado e executa os manuais associados. É possível analisar os casos dessas descobertas e pedir aos proprietários dos tíquetes que priorizem a correção para ajudar a resolver a combinação tóxica.

Para analisar as descobertas relacionadas em uma combinação tóxica, siga estas etapas:

  1. Na guia Caso Visão geral do caso, acesse a seção Descobertas.

  2. Na seção Descobertas, analise as descobertas listadas.

    • Clique no ID do caso da descoberta para abrir o caso e ver o status, o proprietário atribuído e outras informações do caso.
    • Clique na pontuação de exposição a ataques para analisar o caminho de ataque da descoberta.
    • Se a descoberta tiver um ID de tíquete, clique nele para abrir o tíquete.

Também é possível ver as descobertas relacionadas nas próprias guias de alerta no caso.

Descobertas

Uma descoberta de combinação tóxica ou ponto de estrangulamento é o registro inicial que o mecanismo de risco gera quando detecta uma combinação tóxica ou um ponto de estrangulamento no ambiente de nuvem.

  1. Acesse a página Descobertas.

    Acessar descobertas

  2. Selecione sua Google Cloud organização.

  3. Na seção Classe de descoberta do painel Filtros rápidos, selecione Combinação tóxica ou Ponto de estrangulamento. O painel Resultados da consulta de descobertas é atualizado para mostrar apenas descobertas de combinações tóxicas ou pontos de restrição.

  4. Para classificar as descobertas por gravidade, clique no cabeçalho da coluna Pontuação de exposição a ataques até que as pontuações estejam em ordem decrescente.

  5. Clique em uma categoria de descoberta para abrir o painel de detalhes. Acesse a seção Próximas etapas e siga as orientações para ajudar a corrigir o problema de segurança.

Encerrar casos de combinação tóxica

Para encerrar um caso de combinação tóxica, corrija a combinação tóxica subjacente ou silencie a descoberta relacionada no console doGoogle Cloud .

Encerrar um caso corrigindo uma combinação tóxica

Depois que você corrigir os problemas de segurança que compõem uma combinação tóxica e eles não expuserem mais nenhum recurso no seu conjunto de recursos de alto valor, o mecanismo de risco vai fechar o caso automaticamente durante a próxima simulação de caminho de ataque, que é executada a cada 48 horas.

Encerrar um caso silenciando a descoberta

Se o risco representado pela combinação tóxica for aceitável para sua empresa ou não for possível corrigir a combinação tóxica, você poderá encerrar o caso silenciando a descoberta relacionada.

Para silenciar uma descoberta de combinação tóxica, siga estas etapas:

  1. No console do Google Cloud , acesse Risco > Casos.
  2. Localize e abra o caso de combinação tóxica.
  3. Clique na guia de alerta relacionada.
  4. No widget Resumo de descobertas, clique em Analisar descobertas no SCC. A descoberta relacionada é aberta.
  5. Use as Opções de silenciamento na página de detalhes da descoberta para silenciá-la.

Também é possível silenciar descobertas no console do Google Cloud . Para mais informações, consulte Ignorar uma descoberta individual.

Ver casos de combinações tóxicas fechados

Quando um caso é encerrado, o Security Command Center o remove da página Casos.

Para ver um caso de combinação tóxica encerrado, siga estas etapas:

  1. No console do Google Cloud , acesse a página Casos. O console de operações de segurança será aberto.
  2. Abra a seção Status e selecione Fechado.
  3. Abra a seção Tags e selecione Combinação tóxica.
  4. Clique em Aplicar. Os casos de combinação tóxica encerrados são exibidos nos resultados da pesquisa.

A seguir