Sicherheitslückenbewertung für Google Cloud aktivieren und verwenden

Mit der Sicherheitslückenbewertung für Google Cloud können Sie Software-Sicherheitslücken in Google Cloud-Ressourcen erkennen, ohne Agents installieren zu müssen. Die Arten der gescannten Ressourcen hängen von der Security Command Center-Dienststufe ab und umfassen Folgendes:

  • Compute Engine-VM-Instanzen ausführen
  • Knoten in GKE Standard-Clustern
  • Container, die in GKE Standard- und GKE Autopilot-Clustern ausgeführt werden.

Bei der Sicherheitslückenbewertung für Google Cloud werden die Laufwerke Ihrer VM-Instanz geklont, in einer anderen sicheren VM-Instanz bereitgestellt und mit SCALIBR gescannt. Der VM-Instanzklon hat die folgenden Eigenschaften:

  • Sie wird in derselben Region wie die Quell-VM-Instanz erstellt.
  • Es wird in einem Google-Projekt erstellt, sodass keine zusätzlichen Kosten für Sie anfallen.

Unterschiede bei den Funktionen zwischen den Dienststufen

Die folgenden Funktionen der Sicherheitslückenbewertung für Google Cloud variieren je nach Service-Tier:

  • Die Scanfrequenz
  • Welche Ergebnisse werden mit Mandiant-CVE-Bewertungsdaten angereichert?
  • Die Zeit, bis ein Ergebnis mit INACTIVE markiert wird

Weitere Informationen zu diesen Unterschieden finden Sie unter Von der Sicherheitslückenbewertung für Google Cloudgenerierte Ergebnisse.

Beschränkungen

Berücksichtigen Sie beim Identifizieren der Ressourcen, die Sie scannen möchten, Folgendes:

  • Die Security Command Center-Dienstkonten müssen in der Lage sein, Projekt-VM-Instanzen aufzulisten und ihre Festplatten in Google-Projekte zu klonen. Achten Sie darauf, dass Sicherheits- und Richtlinienkonfigurationen wie Einschränkungen für Organisationsrichtlinien den Zugriff und das Scannen dieser Ressourcen durch den Dienst-Agent nicht beeinträchtigen.

    Als Lösung empfehlen wir, die Organisation google.com mit der Organisations-ID 433637338589 den Richtlinien für die Zulassungsliste hinzuzufügen. Im Folgenden finden Sie ein Beispiel dafür, wie Sie die Organisation auf die Zulassungsliste setzen: 

    name: organizations/Org-A/policies/compute.storageResourceUseRestrictions
spec:
  rules:
  – values:
    allowedValues:
    - under:organizations/433637338589

    Weitere Informationen finden Sie unter Übersicht über Organisationsrichtlinien.

  • Wenn Sie VM-Instanzen mit nichtflüchtigen Speichern scannen, die mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer Managed Encryption Keys, CMEK) verschlüsselt sind, muss der Schlüssel in derselben Region wie das Laufwerk gespeichert werden. Dies ist entweder der globale Standort oder derselbe geografische Standort wie das Laufwerk, wenn multiregionale Schlüssel verwendet werden.

  • Die Sicherheitslückenbewertung für Google Cloud unterstützt das Scannen von Containern auf GKE-Knoten, die für die Verwendung lokaler SSD-Laufwerke für sitzungsspezifischen Speicher konfiguriert sind, nicht. Der Scanner basiert auf dem Klonen nichtflüchtiger Speicher. Da Compute Engine keine Snapshots von physisch angehängten lokalen SSDs erstellen kann, werden auf lokalen SSDs gespeicherte Container-Images nicht gescannt.

  • Die Sicherheitslückenbewertung für Google Cloud unterstützt das Scannen von mit CMEK verschlüsselten Laufwerken, die sich in VPC Service Controls-Perimetern befinden, nicht.

  • Die Sicherheitslückenbewertung für Google Cloud unterstützt keine VM-Instanzen mit nichtflüchtigen Speichern, die mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln (CSEK) verschlüsselt sind.

  • Die Sicherheitslückenbewertung für Google Cloud scannt nur VFAT-, EXT2-, EXT4-, XFS- und NTFS-Festplattenpartitionen.

  • Bei der Sicherheitslückenbewertung für Google Cloud werden beim Scannen von GKE-Clustern keine Clusterlabels in die Ergebnisse aufgenommen.

  • Die Sicherheitslückenbewertung für Google Cloud scannt keine Confidential Computing-VMs und Confidential Google Kubernetes Engine-Knoten.

Überlegungen beim Upgraden und Downgraden von Service-Tiers

Wenn Sie das Servicelevel wechseln, ändern sich die Funktionen der Sicherheitslückenbewertung für Google Cloud in die Funktionen, die im aktiven Servicelevel unterstützt werden.

Ergebnisse, die durch die vorherige Aktivierung generiert wurden, bleiben für den Zeitraum aktiv, der durch die vorherige Service-Stufe definiert ist. Wenn Sie beispielsweise von der Premium- auf die Standardstufe downgraden, bleiben die auf der Premium-Stufe generierten Ergebnisse 72 Stunden (3 Tage) lang aktiv. Neue Ergebnisse, die in der Standardstufe generiert werden, bleiben 195 Stunden lang aktiv.

Hinweis

Wenn Sie VPC Service Controls-Perimeter eingerichtet haben, erstellen Sie die erforderlichen Regeln für ein- und ausgehenden Traffic.

Berechtigungen zum Aktivieren der Sicherheitslückenbewertung für Google Cloud

Die erforderlichen Berechtigungen hängen von der Aktivierungsstufe von Security Command Center ab. Informationen zu den für die Aktivierung der Premium-Stufe erforderlichen Berechtigungen finden Sie unter Security Command Center Premium-Stufe für eine Organisation aktivieren.

Aktivierungen der Standardstufe auf Organisationsebene

Zum Aktivieren der Sicherheitslückenbewertung für Google Cloud mit einer Aktivierung auf Standardebene auf Organisationsebene benötigen Sie die folgenden IAM-Rollen:

  • Sicherheitscenter-Administrator (roles/securitycenter.admin)

  • Eine der folgenden Rollen:

    • Sicherheitsadministrator (roles/iam.securityAdmin)
    • Organisationsadministrator (roles/resourcemanager.organizationAdmin)

Aktivierungen der Premium- oder Standardstufe auf Projektebene

Wenn Security Command Center nur auf Projektebene aktiviert ist, benötigen Sie die folgenden IAM-Rollen, um die Sicherheitslückenbewertung für Google Cloud in einem Projekt zu aktivieren:

  • Sicherheitscenter-Administrator (roles/securitycenter.admin)
  • Sicherheitsadministrator (roles/iam.securityAdmin)

Dienst-Agents zum Scannen von Festplatten

Für die Sicherheitslückenbewertung für den Dienst Google Cloud werden Security Command Center-Dienst-Agents für die Identität und die Berechtigung für den Zugriff auf Google Cloud -Ressourcen verwendet.

Bei der Aktivierung von Security Command Center auf Organisationsebene verwendet Sicherheitslückenbewertung für Google Cloud den folgenden Dienst-Agent:

service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com

Bei der Aktivierung von Security Command Center auf Projektebene verwendet die Sicherheitslückenbewertung for Google Cloud den folgenden Dienst-Agenten:

service-project-PROJECT_NUMBER@security-center-api.iam.gserviceaccount.com

Sicherheitslückenbewertung für Google Cloudaktivieren oder deaktivieren

In den Premium- und Enterprise-Versionen ist die Sicherheitslückenbewertung für Google Cloud automatisch für alle VM-Instanzen aktiviert, sofern möglich.

Im Standard-Tarif müssen Sie die Sicherheitslückenbewertung für Google Cloud auf Organisations-, Ordner- oder Projektebene manuell aktivieren.

So ändern Sie die Einstellungen für die Sicherheitslückenbewertung für Google Cloud :

  1. Rufen Sie in der Google Cloud Console die Seite Risikoübersicht auf:

    Zur Risikoübersicht

  2. Wählen Sie eine Organisation aus, in der Sie die Sicherheitslückenbewertung für Google Cloudaktivieren möchten.

  3. Klicken Sie auf Einstellungen.

  4. Klicken Sie im Bereich Vulnerability Assessment (Sicherheitslückenbewertung) auf Einstellungen verwalten.

  5. Aktivieren oder deaktivieren Sie auf dem Tab Google Cloud in der Spalte Agentless Vulnerability Assessment (Agentenlose Sicherheitslückenbewertung) die Sicherheitslückenbewertung für Google Cloud auf Organisations-, Ordner- oder Projektebene. Niedrigere Ebenen können den Wert von höheren Ebenen übernehmen.

Mit CMEK verschlüsselte Laufwerke scannen

Damit Vulnerability Assessment für Google Cloud mit CMEK verschlüsselte Laufwerke scannen kann, müssen Sie den folgenden Dienst-Agents die Rolle „Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler“ (roles/cloudkms.cryptoKeyEncrypterDecrypter) zuweisen:

service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com

service-PROJECT_ID@compute-system.iam.gserviceaccount.com

Wenn Sie den folgenden Dienst-Agent haben, müssen Sie ihm auch die Rolle zuweisen:

service-org-ORGANIZATION_ID@ctd-ia-org-sa-prod.iam.gserviceaccount.com

Berechtigungen auf Schlüsselebene konfigurieren

  1. Rufen Sie die Seite Sicherheit > Schlüsselverwaltung auf.
  2. Wählen Sie den Schlüsselbund aus, der den Schlüssel enthält.
  3. Wählen Sie den Schlüssel aus.
  4. Klicken Sie im Infofeld auf Berechtigungen.
  5. Geben Sie den Namen des Dienst-Agents ein, den Sie im Feld Neue Hauptkonten eingegeben haben.
  6. Wählen Sie im Menü Rolle auswählen die Option Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler aus.
  7. Klicken Sie auf Speichern.

Schlüsselberechtigungen auf Projektebene konfigurieren

  1. Rufen Sie IAM & Verwaltung > IAM auf.
  2. Klicken Sie auf Zugriff erlauben.
  3. Geben Sie den Namen des Dienst-Agents ein, den Sie im Feld Neue Hauptkonten eingegeben haben.
  4. Wählen Sie im Menü Rolle auswählen die Option Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler aus.

Damit die Scans korrekt ausgeführt werden, muss sich der Schlüssel in derselben Region wie das Laufwerk befinden. Die Sicherheitslückenbewertung für Google Cloud versucht, mit CMEK verschlüsselte Laufwerke zu scannen. Wenn Sie die erforderlichen Berechtigungen nicht erteilen,wird in Google Cloud das folgende Audit-Log generiert: Cloud KMS error when using key.

Ergebnisse der Sicherheitslückenbewertung für Google Cloud

Die Sicherheitslückenbewertung für den Dienst Google Cloud generiert ein Ergebnis in Security Command Center, wenn Folgendes erkannt wird:

  • Software-Sicherheitslücken auf einer Compute Engine-VM-Instanz.
  • Softwarelücken auf Knoten in einem GKE-Cluster oder in Containern, die in GKE ausgeführt werden.

  • Sicherheitslücken in Container-Images für die folgenden Ressourcen:

    • GKE-Pods
    • App Engine-Dienste
    • Cloud Run-Dienste und -Jobs

Scanfrequenz

Die Häufigkeit der Scans variiert je nach Dienststufe:

Standardstufe Premium- und Enterprise-Stufen
Einmal pro Woche Etwa alle 12 Stunden

Schweregrad der erstellten Ergebnisse

Bei der Sicherheitslückenbewertung für Google Cloud werden Ergebnisse mit den folgenden Schweregraden veröffentlicht, die je nach Service-Tier variieren:

Standardstufe Premium- und Enterprise-Stufen
Ergebnisse mit Schweregrad „Critical“ Ergebnisse mit Schweregrad „Critical“ und „High“

Lebenszyklus von Ergebnissen

Wenn bei der Sicherheitslückenbewertung für Google Cloud ein Ergebnis erstellt wird, bleibt es für den folgenden aktiven Zeitraum im Status ACTIVE. Dieser Zeitraum variiert je nach Service-Tier:

Standardstufe Premium- und Enterprise-Stufen
195 Stunden 72 Stunden (3 Tage)

Wenn Sicherheitslückenbewertung for Google Cloud das Ergebnis innerhalb des Zeitraums mit dem Status Aktiv (basierend auf der Service-Stufe) noch einmal erkennt, wird der Zähler zurückgesetzt und das Ergebnis bleibt für einen weiteren Zeitraum mit dem Status Aktiv im Status ACTIVE.

Wenn bei der Sicherheitslückenbewertung für Google Cloud das Ergebnis innerhalb des Zeitraums mit dem aktiven Status (basierend auf der Service-Stufe) nicht noch einmal erkannt wird, wird das Ergebnis von der Sicherheitslückenbewertung für Google Cloud aufINACTIVEgesetzt. Bei der Sicherheitslückenbewertung für Google Cloud wird das Ergebnis unter den folgenden Bedingungen nicht erkannt:

  • Die Bedingung, die das Ergebnis verursacht hat, wurde behoben.
  • Die VM-Instanz wurde beendet.
  • Die VM-Instanz oder das Projekt wird gelöscht.

Weitere Informationen zu Aktualisierungen von Ergebnissen beim Löschen einer Ressource finden Sie unter Übersicht über den Lebenszyklus von Ergebnissen.

In Ergebnissen verfügbare Informationen

Die Ergebnisse enthalten die folgenden allgemeinen Informationen:

  • Eine Beschreibung der Sicherheitslücke, einschließlich der folgenden Informationen:
    • Das Softwarepaket, das die Sicherheitslücke enthält, und sein Speicherort
    • Informationen aus dem zugehörigen CVE-Eintrag
    • Eine Bewertung der Schwere der Sicherheitslücke durch Security Command Center
  • Falls verfügbar, Schritte zur Behebung des Problems, einschließlich des Patches oder Versionsupgrades zur Behebung der Sicherheitslücke

  • Die folgenden Attributwerte:

    • Kurs: Vulnerability
    • Cloud-Dienstanbieter: Google Cloud
    • Quelle: Vulnerability Assessment
    • Kategorie: Einer der folgenden Werte:
      • Container Image Vulnerability
      • OS vulnerability
      • Software vulnerability

Bestimmte Ergebnisse, die je nach Service-Tier variieren, werden mit Informationen zu den Auswirkungen und der Ausnutzbarkeit einer CVE mithilfe von Mandiant-CVE-Bewertungen angereichert.

Standardstufe Premium- und Enterprise-Stufen
CVEs mit dem Schweregrad „Kritisch“ enthalten Informationen zur Mandiant-Bewertung CVEs mit kritischem oder hohem Schweregrad enthalten Informationen zur Mandiant-Bewertung.

Ergebnisse, die in den Premium- und Enterprise-Dienststufen generiert werden, enthalten die folgenden Informationen:

  • Eine Bewertung der Angriffsgefahr, die Ihnen hilft, Abhilfemaßnahmen zu priorisieren.
  • Eine visuelle Darstellung des Pfads, den ein Angreifer zu hochwertigen Ressourcen nehmen könnte, die durch die Sicherheitslücke gefährdet sind.

Ergebnisse zu erkannten Software-Sicherheitslücken

Ergebnisse für erkannte Software-Sicherheitslücken enthalten die folgenden zusätzlichen Informationen:

  • Der vollständige Ressourcenname der betroffenen VM-Instanz oder des betroffenen GKE-Clusters.

  • Informationen zum betroffenen Objekt, wenn sich das Ergebnis auf eine GKE-Arbeitslast bezieht, z. B.:

    • CronJob
    • DaemonSet
    • Deployment
    • Job
    • Pod
    • ReplicationController
    • ReplicaSet
    • StatefulSet

Da mit der Sicherheitslückenbewertung für Google Cloud dieselbe Sicherheitslücke in mehreren Containern erkannt werden kann, werden Sicherheitslücken mit der Sicherheitslückenbewertung für Google Cloud auf GKE-Arbeitslast- oder Pod-Ebene zusammengefasst. In einem Ergebnis können mehrere Werte in einem einzelnen Feld enthalten sein, z. B. im Feld files.elem.path.

Ergebnisse zu erkannten Sicherheitslücken in Container-Images

Ergebnisse für erkannte Sicherheitslücken in Container-Images enthalten die folgenden zusätzlichen Informationen:

  • Der vollständige Ressourcenname des Container-Images
  • Wenn das anfällige Image in einem der folgenden Dienste ausgeführt wird, enthält der Befund eine Anzahl der betroffenen Laufzeitressourcen:
    • GKE-Pod
    • App Engine
    • Cloud Run-Dienst und -Überarbeitung
    • Cloud Run-Job und -Ausführung

Aufbewahrung von Ergebnissen

Informationen dazu, wie lange Ergebnisse aufbewahrt werden, finden Sie unter Datenaufbewahrung für Ergebnisse.

Paketstandort

Der Dateispeicherort einer Sicherheitslücke in einem Ergebnis bezieht sich entweder auf die Binär- oder die Paketmetadatendateien. Diese Informationen hängen vom SCALIBR-Extractor ab, der von der Sicherheitslückenbewertung für Google Cloud verwendet wird. Bei Sicherheitslücken, die von Sicherheitslückenbewertung für Google Cloudin einem Container gefunden werden, ist dies der Pfad innerhalb des Containers.

Die folgende Tabelle enthält Beispiele für die Positionen von Sicherheitslücken für verschiedene SCALIBR-Extraktoren.

SCALIBR-Extraktor Paketstandort
Debian-Paket (dpkg) /var/lib/dpkg/status
Go-Binärdatei /usr/bin/google_osconfig_agent
Java-Archiv /opt/datadog-agent/embedded/lib/python3.9/site-packages/org.jpype.jar
PHP /var/www/html/vkumark/backend_api/composer.lock
Python /usr/lib/google-cloud-sdk/platform/bundledpythonunix/lib/python3.11/site-packages/cryptography-42.0.5.dist-info/METADATA
Ruby /usr/lib/ruby/gems/2.7.0/specifications/default/benchmark-0.1.0.gemspec

Ergebnisse in der Console ansehen

Sie können die Ergebnisse der Sicherheitslückenbewertung für Google Cloud in der Google Cloud -Konsole ansehen. Prüfen Sie vorher, ob Sie die erforderlichen Rollen haben.

So prüfen Sie die Ergebnisse der Sicherheitslückenbewertung für Google Cloud in der Google Cloud Console:

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse von Security Command Center auf.

    Zu Ergebnissen

  2. Wählen Sie Ihr Google Cloud Projekt oder Ihre Organisation aus.
  3. Wählen Sie im Abschnitt Schnellfilter im Unterabschnitt Anzeigename der Quelle die Option Sicherheitslückenbewertung aus. Die Ergebnisse der Ergebnisabfrage werden aktualisiert, sodass nur die Ergebnisse aus dieser Quelle angezeigt werden.
  4. Klicken Sie in der Spalte Kategorie auf den Namen des Ergebnisses, um die Details eines bestimmten Ergebnisses aufzurufen. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.
  5. Sehen Sie sich auf dem Tab Zusammenfassung die Details des Ergebnisses an, einschließlich Informationen dazu, was erkannt wurde, welche Ressource betroffen ist und – falls verfügbar – welche Schritte Sie unternehmen können, um das Problem zu beheben.
  6. Optional: Klicken Sie auf den Tab JSON, um die vollständige JSON-Definition des Ergebnisses aufzurufen.