Attivare e utilizzare la valutazione delle vulnerabilità per Google Cloud

La Valutazione di vulnerabilità per Google Cloud ti aiuta a scoprire le vulnerabilità del software nelle risorse Google Cloudsenza installare agenti. I tipi di risorse sottoposte a scansione dipendono dal livello di servizio Security Command Center e includono quanto segue:

  • Istanze VM di Compute Engine in esecuzione
  • Nodi nei cluster GKE Standard
  • Container in esecuzione nei cluster GKE Standard e GKE Autopilot.

La valutazione di vulnerabilità per Google Cloud funziona clonando i dischi delle istanze VM, montandoli in un'altra istanza VM sicura ed eseguendo la scansione con SCALIBR. Il clone dell'istanza VM ha le seguenti proprietà:

  • Viene creato nella stessa regione dell'istanza VM di origine.
  • Viene creato in un progetto di proprietà di Google, quindi non comporta costi aggiuntivi.

Differenze di funzionalità tra i livelli di servizio

Le seguenti funzionalità di Valutazione di vulnerabilità per Google Cloud variano a seconda del livello di servizio:

  • La frequenza di scansione
  • I risultati arricchiti con i dati di valutazione CVE di Mandiant
  • Il tempo prima che un risultato venga contrassegnato come INACTIVE

Per ulteriori informazioni su queste differenze, consulta Risultati generati dalla Valutazione di vulnerabilità per Google Cloud.

Limitazioni

Quando identifichi le risorse di cui vuoi eseguire la scansione, tieni presente quanto segue:

  • Gli agenti di servizio Security Command Center devono essere in grado di elencare le istanze VM del progetto e clonare i relativi dischi nei progetti di proprietà di Google. Assicurati che le configurazioni di sicurezza e delle policy, come i vincoli delle policy dell'organizzazione, non interferiscano con la capacità dell'agente di servizio di accedere a queste risorse ed eseguirne la scansione.

    Come soluzione, ti consigliamo di aggiungere l'organizzazione google.com, utilizzando l'ID organizzazione 433637338589, alle policy delle liste consentite. Di seguito è riportato un esempio di come aggiungere l'organizzazione alla lista consentita: 

    name: organizations/Org-A/policies/compute.storageResourceUseRestrictions
spec:
  rules:
  – values:
    allowedValues:
    - under:organizations/433637338589

    Per saperne di più, consulta la panoramica delle policy dell'organizzazione.

  • Quando esegui la scansione delle istanze VM con dischi permanenti criptati con chiavi di crittografia gestite dal cliente (CMEK), la chiave deve essere archiviata nella stessa regione del disco. Quando utilizzi chiavi multi-regionali, si tratta della località globale o della stessa località geografica del disco.

  • La valutazione di vulnerabilità per Google Cloud non supporta la scansione dei container sui nodi GKE che sono configurati per utilizzare i dischi SSD locali per lo spazio di archiviazione temporaneo. Lo scanner si basa sulla clonazione dei dischi permanenti. Poiché Compute Engine non può creare snapshot degli SSD locali collegati fisicamente, le immagini container archiviate sugli SSD locali non vengono sottoposte a scansione.

  • La valutazione di vulnerabilità per Google Cloud non supporta la scansione dei dischi crittografati con CMEK che si trovano all'interno dei perimetri dei Controlli di servizio VPC.

  • La valutazione di vulnerabilità per Google Cloud non supporta le istanze VM con Persistent Disk che sono crittografati con chiavi di crittografia fornite dal cliente (CSEK).

  • La valutazione di vulnerabilità per Google Cloud esegue la scansione solo delle partizioni del disco VFAT, EXT2, EXT4, XFS e NTFS.

  • La valutazione di vulnerabilità per Google Cloud non include le etichette dei cluster nei risultati quando esegue la scansione dei cluster GKE.

  • La valutazione di vulnerabilità per Google Cloud non esegue la scansione delle macchine virtuali Confidential Computing e dei nodi Confidential Google Kubernetes Engine.

Considerazioni sull'upgrade e sul downgrade dei livelli di servizio

Quando passi da un livello di servizio all'altro, le funzionalità di Valutazione di vulnerabilità per Google Cloud cambiano in quelle supportate nel livello di servizio attivo.

I risultati generati dall'attivazione precedente rimarranno attivi per il periodo definito dal livello di servizio precedente. Ad esempio, quando esegui il downgrade dal livello Premium al livello Standard, i risultati generati nel livello Premium rimangono attivi per 25 ore. I nuovi risultati generati nel livello Standard rimangono attivi per 195 ore.

Prima di iniziare

Se hai configurato i perimetri dei Controlli di servizio VPC , crea le regole in entrata e in uscita richieste.

Autorizzazioni per abilitare la valutazione di vulnerabilità per Google Cloud

Le autorizzazioni richieste dipendono dal livello di attivazione di Security Command Center. Per informazioni sulle autorizzazioni richieste per le attivazioni di Security Command Center Premium, consulta Attivare Security Command Center Premium per un'organizzazione.

Attivazioni a livello di organizzazione del livello Standard

Per abilitare la valutazione di vulnerabilità per Google Cloud con un'attivazione del livello Standard a livello di organizzazione, devi disporre dei seguenti ruoli IAM:

  • Amministratore Centro sicurezza (roles/securitycenter.admin)

  • Uno dei seguenti ruoli:

    • Amministratore sicurezza (roles/iam.securityAdmin)
    • Amministratore dell'organizzazione (roles/resourcemanager.organizationAdmin)

Attivazioni a livello di progetto del livello Premium o Standard

Per abilitare la valutazione di vulnerabilità per Google Cloud in un progetto quando Security Command Center è attivato solo a livello di progetto, devi disporre dei seguenti ruoli IAM:

  • Amministratore Centro sicurezza (roles/securitycenter.admin)
  • Amministratore sicurezza (roles/iam.securityAdmin)

Agenti di servizio per la scansione dei dischi

Il servizio di valutazione di vulnerabilità per Google Cloud utilizza gli agenti di servizio Security Command Center per l'identità e le autorizzazioni ad accedere alle Google Cloud risorse.

Per le attivazioni di Security Command Center a livello di organizzazione, la valutazione di vulnerabilità per Google Cloud utilizza il seguente service agent:

service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com

Per le attivazioni di Security Command Center a livello di progetto, la Valutazione di vulnerabilità per Google Cloud utilizza il seguente service agent:

service-project-PROJECT_NUMBER@security-center-api.iam.gserviceaccount.com

Abilitare o disabilitare la valutazione di vulnerabilità per Google Cloud

Nei livelli Premium ed Enterprise, la valutazione di vulnerabilità per Google Cloud è abilitata automaticamente per tutte le istanze VM, ove possibile.

Nel livello Standard, devi abilitare manualmente la valutazione di vulnerabilità per Google Cloud a livello di organizzazione, cartella o progetto.

Per modificare le impostazioni di Valutazione di vulnerabilità per Google Cloud :

  1. Nella Google Cloud console, vai alla pagina Panoramica dei rischi:

    Vai alla panoramica dei rischi

  2. Seleziona un'organizzazione in cui abilitare la valutazione di vulnerabilità per Google Cloud.

  3. Fai clic su Impostazioni.

  4. Nella sezione Valutazione di vulnerabilità, fai clic su Gestisci impostazioni.

  5. Nella scheda Google Cloud , abilita o disabilita la valutazione di vulnerabilità per Google Cloud a livello di organizzazione, cartella o progetto dalla Valutazione delle vulnerabilità senza agenti colonna. I livelli inferiori possono ereditare il valore dai livelli superiori.

Eseguire la scansione dei dischi criptati con CMEK

Per consentire alla valutazione di vulnerabilità per Google Cloud di eseguire la scansione dei dischi crittografati con CMEK, devi concedere il ruolo Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) ai seguenti service agent:

service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com

service-PROJECT_ID@compute-system.iam.gserviceaccount.com

Se hai il seguente agente di servizio, devi concedere il ruolo anche a questo agente:

service-org-ORGANIZATION_ID@ctd-ia-org-sa-prod.iam.gserviceaccount.com

Configurare le autorizzazioni a livello di chiave

  1. Vai alla pagina Sicurezza > Gestione delle chiavi.
  2. Seleziona il keyring contenente la chiave.
  3. Seleziona la chiave.
  4. Nel riquadro delle informazioni, fai clic su Autorizzazioni.
  5. Inserisci il nome dell'agente di servizio che hai inserito nel campo Nuove entità.
  6. Nel menu Seleziona un ruolo, seleziona Cloud KMS CryptoKey Encrypter/Decrypter.
  7. Fai clic su Salva.

Configurare le autorizzazioni delle chiavi a livello di progetto

  1. Vai a IAM e amministrazione > IAM.
  2. Fai clic su Concedi l'accesso.
  3. Inserisci il nome dell'agente di servizio che hai inserito nel campo Nuove entità.
  4. Nel menu Seleziona un ruolo, seleziona Cloud KMS CryptoKey Encrypter/Decrypter.

Affinché le scansioni vengano eseguite correttamente, la chiave deve trovarsi nella stessa regione del disco. Valutazione di vulnerabilità per Google Cloud tenta di eseguire la scansione dei dischi crittografati con CMEK. Se non concedi le autorizzazioni richieste, Google Cloud genera il seguente errore nel log di audit: Cloud KMS error when using key.

Risultati generati dalla Valutazione di vulnerabilità per Google Cloud

Il servizio Valutazione di vulnerabilità per Google Cloud genera un risultato in Security Command Center quando rileva quanto segue:

  • Vulnerabilità del software in un'istanza VM di Compute Engine.
  • Vulnerabilità del software sui nodi di un cluster GKE o sui container in esecuzione su GKE.

  • Vulnerabilità delle immagini container nelle seguenti risorse:

    • Pod GKE
    • Servizi App Engine
    • Servizi e job Cloud Run

Frequenza di scansione

La frequenza delle scansioni varia in base al livello di servizio:

Livello Standard Livelli Premium ed Enterprise
Una volta alla settimana Circa ogni 12 ore

Gravità dei risultati creati

La valutazione di vulnerabilità per Google Cloud pubblica i risultati con le seguenti gravità, che variano in base al livello di servizio:

Livello Standard Livelli Premium ed Enterprise
Risultati con gravità Critical Risultati con gravità Critical e High

Ciclo di vita dei risultati

Quando la Valutazione di vulnerabilità per Google Cloud crea un risultato, questo rimane nello stato ACTIVE per il seguente periodo di stato attivo, che varia in base al livello di servizio:

Livello Standard Livelli Premium ed Enterprise
195 ore 25 ore

Se la Valutazione di vulnerabilità per Google Cloud rileva di nuovo il risultato entro il periodo di stato attivo (in base al livello di servizio), il contatore viene reimpostato e il risultato rimane nello stato ACTIVE per un altro periodo di stato attivo.

Se la Valutazione di vulnerabilità per Google Cloud non rileva di nuovo il risultato entro il periodo distato attivo (in base al livello di servizio), la Valutazione di vulnerabilità per Google Cloud imposta il risultato suINACTIVE. La valutazione di vulnerabilità per Google Cloud non rileverà il risultato nelle seguenti condizioni:

  • La condizione che ha causato il risultato è stata corretta.
  • L'istanza VM è stata arrestata.
  • L'istanza VM o il progetto è stato eliminato.

Per saperne di più sugli aggiornamenti dei risultati quando una risorsa viene eliminata, consulta Panoramica del ciclo di vita dei risultati.

Informazioni disponibili nei risultati

I risultati contengono le seguenti informazioni comuni:

  • Una descrizione della vulnerabilità, incluse le seguenti informazioni:
    • Il pacchetto software contenente la vulnerabilità e la sua posizione
    • Informazioni dal record CVE associato
    • Una valutazione di Security Command Center della gravità della vulnerabilità
  • Se disponibili, i passaggi per risolvere il problema, inclusa la patch o l'upgrade della versione per risolvere la vulnerabilità

  • I seguenti valori delle proprietà:

    • Classe: Vulnerability
    • Provider di servizi cloud: Google Cloud
    • Origine: Vulnerability Assessment
    • Categoria: uno dei seguenti valori:
      • Container Image Vulnerability
      • OS vulnerability
      • Software vulnerability

Alcuni risultati, che variano in base al livello di servizio, sono arricchiti con informazioni sull'impatto e sull'exploitability di un CVE utilizzando le valutazioni CVE di Mandiant.

Livello Standard Livelli Premium ed Enterprise
I CVE con gravità Critical includono le informazioni di valutazione di Mandiant I CVE con gravità Critical o High includono le informazioni di valutazione di Mandiant assessment

I risultati generati nei livelli di servizio Premium ed Enterprise includono le seguenti informazioni:

  • Un punteggio di esposizione agli attacchi che ti aiuta a dare la priorità alla correzione.
  • Una rappresentazione visiva del percorso che un utente malintenzionato potrebbe intraprendere per accedere alle risorse di alto valore esposte dalla vulnerabilità.

Risultati per le vulnerabilità del software rilevate

I risultati per le vulnerabilità del software rilevate contengono le seguenti informazioni aggiuntive:

  • Il nome completo della risorsa dell'istanza VM o del cluster GKE interessato.

  • Informazioni sull'oggetto interessato quando il risultato riguarda un carico di lavoro GKE, ad esempio:

    • CronJob
    • DaemonSet
    • Deployment
    • Job
    • Pod
    • ReplicationController
    • ReplicaSet
    • StatefulSet

Poiché la Valutazione di vulnerabilità per Google Cloud può identificare la stessa vulnerabilità in più container, la Valutazione di vulnerabilità per Google Cloud aggrega le vulnerabilità a livello di carico di lavoro GKE o di pod. In un risultato, potresti visualizzare più valori in un singolo campo, ad esempio nel campo files.elem.path.

Risultati per le vulnerabilità delle immagini container rilevate

I risultati per le vulnerabilità delle immagini container rilevate contengono le seguenti informazioni aggiuntive:

  • Il nome completo della risorsa dell'immagine container
  • Se l'immagine vulnerabile è in esecuzione su uno dei seguenti servizi, il risultato include un conteggio delle risorse di runtime interessate:
    • Pod GKE
    • App Engine
    • Servizio e revisione Cloud Run
    • Job ed esecuzione Cloud Run

Conservazione dei risultati

Per informazioni sul periodo di conservazione dei risultati, consulta Conservazione dei dati per i risultati.

Località pacchetto

La posizione del file di una vulnerabilità in un risultato si riferisce ai file binari o ai file di metadati del pacchetto. Queste informazioni dipendono dall' estrattore SCALIBR utilizzato dalla Valutazione di vulnerabilità per Google Cloud . Per le vulnerabilità che la Valutazione di vulnerabilità per Google Cloudtrova in un container, questo è il percorso all'interno del container.

La tabella seguente mostra esempi di posizioni delle vulnerabilità per vari estrattori SCALIBR.

Estrattore SCALIBR Località pacchetto
Pacchetto Debian (dpkg) /var/lib/dpkg/status
Binario Go /usr/bin/google_osconfig_agent
Archivio Java /opt/datadog-agent/embedded/lib/python3.9/site-packages/org.jpype.jar
PHP /var/www/html/vkumark/backend_api/composer.lock
Python /usr/lib/google-cloud-sdk/platform/bundledpythonunix/lib/python3.11/site-packages/cryptography-42.0.5.dist-info/METADATA
Ruby /usr/lib/ruby/gems/2.7.0/specifications/default/benchmark-0.1.0.gemspec

Esaminare i risultati nella console

Puoi visualizzare i risultati della Valutazione di vulnerabilità per Google Cloud nella Google Cloud console. Prima di farlo, assicurati di disporre dei ruoli appropriati.

Per esaminare i risultati della Valutazione di vulnerabilità per Google Cloud nella Google Cloud console:

  1. Nella Google Cloud console, vai alla pagina Risultati di Security Command Center.

    Vai ai risultati

  2. Seleziona il tuo Google Cloud progetto o la tua organizzazione.
  3. Nella sezione Filtri rapidi, nella sottosezione Nome visualizzato origine, seleziona Valutazione di vulnerabilità. I risultati della query sui risultati vengono aggiornati per mostrare solo i risultati da questa origine.
  4. Per visualizzare i dettagli di un risultato specifico, fai clic sul nome del risultato nella colonna Categoria. Si apre il riquadro dei dettagli del risultato e viene visualizzata la scheda Riepilogo.
  5. Nella scheda Riepilogo , esamina i dettagli del risultato, incluse le informazioni su ciò che è stato rilevato, la risorsa interessata e, se disponibili, i passaggi che puoi intraprendere per correggere il risultato.
  6. (Facoltativo) Per visualizzare la definizione JSON completa del risultato, fai clic sulla scheda JSON.