疑難排解步驟

瞭解實用的疑難排解步驟，解決使用 Security Command Center 時發生的下列問題。

啟用 Security Command Center 失敗

如果機構政策依網域限制身分，啟用 Security Command Center 最常會失敗。您和服務帳戶必須屬於允許的網域：

  • 啟用 Security Command Center 前，請務必登入允許網域中的帳戶。
  • 如果您使用@*.gserviceaccount.com服務帳戶，請在允許的網域中，將服務帳戶新增為群組中的身分。

Security Command Center 中的資產未更新

如果您使用 VPC Service Controls，只有在授予 Security Command Center 服務帳戶存取權時，才能探索及更新 Security Command Center 中的資產。

如要啟用資產探索功能，請授予 Security Command Center 服務帳戶存取權。服務帳戶即可完成資產探索，並在 Google Cloud 控制台中顯示資產。服務帳戶名稱的格式為 service-org-organization-id@security-center-api.iam.gserviceaccount.com。

查看、編輯、建立及更新調查結果和資產

您可以在機構、資料夾或專案層級授予 Security Command Center 的 IAM 角色。您能否查看、編輯、建立或更新發現項目、資產和安全性來源，取決於獲准的存取層級。如要進一步瞭解 Security Command Center 角色，請參閱存取控管。

未收到通知或通知延遲

在某些情況下，通知可能會遺漏、捨棄或延遲：

  • NotificationConfig 中可能沒有符合篩選條件的發現項目。如要測試通知，請使用 Security Command Center API 建立發現項目。
  • Security Command Center 服務帳戶必須具備 Pub/Sub 主題的 securitycenter.notificationServiceAgent 角色。服務帳戶名稱的格式為 service-organization-id@gcp-sa-scc-notification.iam.gserviceaccount.com。
    • 如果移除角色，系統就會停用通知發布功能。
    • 如果先移除角色，然後再次授予角色，通知就會延遲。
  • 如果刪除並重新建立 Pub/Sub 主題，系統會捨棄通知。

External Exposure

如果您遇到與 External Exposure 相關的問題或非預期流量，下列各節的疑難排解步驟或許能提供協助。

TsunamiSecurityScanner的403 Forbidden要求記錄檔出現尖峰

您發現面向公眾的端點 (例如 Cloud Run、Google Kubernetes Engine (GKE) 或 Cloud Load Balancing) 的 HTTP 403 Forbidden或 HTTP 401 Unauthorized要求記錄檔出現異常尖峰，且使用者代理程式為 TsunamiSecurityScanner。

原因

當「外部曝光」掃描公開 IP 位址和端點，以偵測曝光的介面和安全漏洞時，服務會使用使用者代理程式字串 TsunamiSecurityScanner 傳送探查要求。

如果端點或服務強制執行存取權控管，例如 Identity and Access Management (IAM) 驗證、Identity-Aware Proxy (IAP) 或 Google Cloud Armor 安全性政策，端點就會拒絕未經驗證的掃描器要求。這些拒絕會產生 HTTP 403 Forbidden 或 HTTP 401 Unauthorized 記錄回應。這是正常現象，表示您的安全控管措施會封鎖未經驗證的存取行為。

診斷與解決問題

如要診斷及解決 TsunamiSecurityScanner 記錄中 HTTP 403 Forbidden 或 HTTP 401 Unauthorized 要求記錄暴增的問題，請按照下列步驟操作：

  1. 如要確認 HTTP 403 要求記錄是否來自掃描器，請在「Logs Explorer」頁面執行下列查詢：

    httpRequest.userAgent="TsunamiSecurityScanner" AND httpRequest.status=403

  2. 確認掃描的服務位於「External Exposure」功能已啟用的專案中。如要進一步瞭解掃描器流量在記錄中的顯示方式，請參閱「在記錄中找出掃描器流量」。

  3. 選用：如果您已設定記錄式快訊，在 HTTP 403 狀態碼觸發時發出通知，請更新快訊查詢，排除掃描器流量：

    NOT httpRequest.userAgent="TsunamiSecurityScanner"

Web Security Scanner

本節提供疑難排解步驟，協助您解決使用 Web Security Scanner 時發生的問題。

Compute Engine 和 GKE 的掃描錯誤

如果掃描網址設定有誤，Web Security Scanner 會拒絕掃描。遭到拒絕的可能原因包括：

網址具有臨時的 IP 位址

將此 IP 位址標示為靜態：

  • 如為單一 VM 上的應用程式，請在 VM 上預留該 IP 位址
  • 如為位於負載平衡器背後的應用程式，請在該負載平衡器上預留 IP 位址。

網址對應至錯誤的 IP 位址

如要修正這項發現項目，請參閱 DNS 註冊商服務提供的操作說明。

網址對應至同個 VM 的臨時 IP 位址

請將此 IP 位址標記為靜態。

網址對應至預留的 IP 位址

如果網址對應至同機構中其他專案預留的 IP 位址，就會發生這個錯誤。如要解決這個問題，請在目標專案中，定義以專案 VM 或 HTTP 負載平衡器為目標的安全掃描作業。

網址對應至多個 IP 位址

請確認對應至此網址的所有 IP 位址皆已保留給同個專案。如有至少一個 IP 位址未保留給相同專案，掃描建立、編輯或更新作業就會失敗。

後續步驟

瞭解 Security Command Center 錯誤。