O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Referência de práticas recomendadas do Google Cloud

O Workload Manager verifica o estado dos seus recursos em relação às práticas recomendadas atualizadas e ajuda a melhorar a qualidade, a confiabilidade e o desempenho das cargas de trabalho em execução no Google Cloud.

Este documento lista as práticas recomendadas compatíveis com o Workload Manager para avaliar as cargas de trabalho em execução no Google Cloud. Para saber mais sobre o Workload Manager, consulte Visão geral do produto.

Níveis de gravidade

Quando você executa uma avaliação, o Gerenciador de cargas de trabalho compara o estado atual dos recursos com as práticas recomendadas. Se um recurso não obedecer a uma prática recomendada selecionada, o Workload Manager vai atribuir a ele um nível de gravidade que indica o quanto o recurso está fora da conformidade. O console Google Cloud marca cada recurso não compatível com um ícone. A tabela a seguir explica esses ícones, os níveis de gravidade correspondentes, como a configuração atual do recurso pode afetar sua carga de trabalho e as recomendações para modificar o recurso e aderir às práticas recomendadas.

Nível de gravidade	Impactos	Recomendação
Crítico	Confiabilidade do sistema, interrupções não planejadas, configuração incompatível	Resolva o problema o mais rápido possível para evitar um impacto na disponibilidade do sistema e na integridade dos dados devido a um alto risco de interrupção não planejada.
Alta	Desempenho degradado, estabilidade do sistema	Resolver durante a próxima janela de manutenção planejada.
Médio	Desempenho e capacidade de suporte abaixo do ideal	Resolva assim que possível.
Baixo	Comportamento informativo e não essencial	Embora não seja necessária uma resolução, revisar essa prática recomendada pode fornecer insights úteis.

Práticas recomendadas compatíveis

O Workload Manager ajuda a avaliar os seguintes tipos de carga de trabalho para garantir que eles sigam as práticas recomendadas do Google Cloud :

Google Cloud (Geral): práticas recomendadas para serviços principais do Google Cloud .
MySQL: práticas recomendadas para implantações de banco de dados MySQL.
- Geral
Redis: práticas recomendadas para implantações do Redis.
- Geral
SAP: práticas recomendadas para sistemas SAP.
SQL Server: práticas recomendadas para implantações de banco de dados do SQL Server.
OpenShift: práticas recomendadas para clusters do Red Hat OpenShift.

As seções a seguir listam as práticas recomendadas compatíveis com suas cargas de trabalho executadas no Google Cloud.

Há um total de 627 regras de práticas recomendadas disponíveis.

Contagem de regras por práticas recomendadas

Categoria	Contagem de regras
Chaves de API	4
Transparência no acesso	1
AlloyDB para PostgreSQL	4
Apigee X	1
Artifact Registry	1
BigQuery	10
Cloud Bigtable	3
Cloud Build	1
Cloud DNS	3
Cloud Functions	3
Cloud Key Management Service	14
Cloud Load Balancing	4
Cloud Logging	3
Cloud Pub/Sub	7
Cloud Router	6
Cloud Run	3
Cloud SQL	35
Cloud Spanner	6
Cloud Storage	20
Cloud VPN	4
Composer	1
Compute Engine	95
Dataproc	2
Filestore	5
Firestore	1
Plataforma de agentes do Gemini Enterprise	18
Workbench da Gemini Enterprise Agent Platform	11
Google Kubernetes Engine	55
IAM	75
Memorystore para Memcache	2
Memorystore for Redis	8
Memorystore for Redis Cluster	3
NetApp Volumes	1
Rede	5
Serviço de política da organização	58
Resource Manager	3
SecOps	1
Secret Manager	2
Security Command Center	1
Proteção de Dados Sensíveis	1
MySQL: geral	7
OpenShift: otimização de custos	1
OpenShift: eficiência operacional	6
OpenShift: confiabilidade	5
OpenShift: segurança	6
Redis: geral	7
SAP: geral	14
SAP: HANA	10
SAP: HANA Insights	18
SAP: práticas recomendadas de segurança do HANA	19
SAP: alta disponibilidade	33
SAP: NetWeaver	3
SQL Server: otimização de custos	2
SQL Server: cluster de failover	2
SQL Server: desempenho	10
SQL Server: estabilidade	3
Total	627

As práticas recomendadas são marcadas para ajudar você a identificar as áreas de foco:

As regras de confiabilidade, segurança e FinOps são mapeadas para os pilares do Well-Architected Framework do Google Cloud.
CSPR: Revisão de postura de segurança na nuvem.
MVSP: Postura de segurança mínima viável.

Selecione uma ou mais categorias de regras para filtrar a lista a seguir.

Práticas recomendadas do Google Cloud: chaves de API (4 resultados)

Chave de API sem restrição

Gravidade:
Média

Tags: IAM, chave de API, segurança, CSPR, CoNa

Recurso: apikeys.googleapis.com/Key

Detalhes
Verifica se todas as chaves de API têm restrições aplicadas, evitando o uso indevido que pode levar a violações de segurança, acesso aos dados não autorizado e custos inesperados.
Chave de API sem restrição de serviço

Gravidade:
Média

Tags: IAM, chave de API, segurança, CSPR, CoNa

Recurso: apikeys.googleapis.com/Key

Detalhes
Garante que as chaves de API estejam restritas a serviços específicos, evitando possíveis usos indevidos que podem levar à ativação não autorizada de APIs, vulnerabilidades de segurança e custos inesperados.
Chave de API com mais de 90 dias

Gravidade:
Baixa

Tags: IAM, chave de API, segurança, CSPR

Recurso: apikeys.googleapis.com/Key

Detalhes
Impõe uma política de rotação de 90 dias para chaves de API, minimizando o risco de segurança de credenciais perdidas, vazadas ou comprometidas.
Chaves de API

Gravidade:
Média

Tags: IAM, chave de API, segurança, CSPR

Recurso: apikeys.googleapis.com/Key

Detalhes
Sinaliza a existência de qualquer chave de API para incentivar o uso de métodos de autenticação mais seguros, como contas de serviço, reduzindo assim o risco associado a credenciais estáticas e de longa duração.

Práticas recomendadas do Google Cloud: Transparência no acesso (1 resultado)

A transparência no acesso da organização está ativada.

Gravidade:
Média

Tags: Transparência no acesso, serviceusage, segurança, compliance

Recurso: serviceusage.googleapis.com/Service

Detalhes
Verifica se o serviço de Transparência no acesso está ativado. A Transparência no acesso fornece registros das ações realizadas pela equipe do Google ao acessar seu conteúdo.

Práticas recomendadas do Google Cloud: AlloyDB para PostgreSQL (4 resultados)

Backups automáticos do cluster do Alloy desativados

Gravidade:
Média

Tags: AlloyDB, Backup, Confiabilidade, Custo, BCDR, Proteção de dados, CSPR

Recurso: alloydb.googleapis.com/Cluster

Detalhes
Verifica se os clusters do AlloyDB têm uma política de backup automatizada ativada, garantindo que os dados críticos estejam protegidos contra perda e possam ser recuperados rapidamente para manter a continuidade dos negócios e a confiabilidade do serviço.
Backups contínuos do cluster do AlloyDB não ativados

Gravidade:
Média

Tags: AlloyDB, Backup, BCDR, DataProtection, Reliability, Cost, CSPR

Recurso: alloydb.googleapis.com/Cluster

Detalhes
Verifica se os clusters do AlloyDB têm backup contínuo ativado, oferecendo recuperação pontual (PITR) crucial para proteger contra perda de dados e garantir a continuidade dos negócios.
Política de manutenção do cluster do Alloy

Gravidade:
Alta

Tags: confiabilidade, operações, BCDR, CSPR

Recurso: alloydb.googleapis.com/Cluster

Detalhes
Verifica se os clusters do AlloyDB têm uma política de atualização de manutenção definida. Ao definir uma política de manutenção, as organizações podem programar atualizações fora dos horários de pico para minimizar interrupções. A ausência dessa política implica um tempo padrão que pode coincidir com períodos operacionais críticos.
IP público da instância do Alloy

Gravidade:
Alta

Tags: AlloyDB, Segurança, Rede, CSPR

Recurso: alloydb.googleapis.com/Instance

Detalhes
Verifica se as instâncias do AlloyDB têm IP público ativado. Os IPs públicos expõem a instância à Internet, aumentando a superfície de ataque. É recomendável usar IPs particulares.

Práticas recomendadas do Google Cloud: Apigee X (1 resultado)

Instâncias multirregionais da Apigee

Gravidade:
Alta

Tags: confiabilidade, API, Apigee, alta disponibilidade, BCDR, CoNa

Recurso: apigee_Organization_RESOURCE_INSTANCE

Detalhes
Verifica se uma organização da Apigee X tem instâncias da Apigee implantadas em pelo menos duas regiões diferentes. A implantação multirregional da Apigee garante redundância do gateway de API, baixa latência e proteção contra interrupções regionais.

Práticas recomendadas do Google Cloud: Artifact Registry (1 resultado)

Artifact Registry multirregional

Gravidade:
Alta

Tags: confiabilidade, disponibilidade, BCDR

Recurso: artifactregistry.googleapis.com/Repository

Detalhes
Verifica se os repositórios do Artifact Registry estão configurados para usar um local multirregional (por exemplo, us, europe, asia). Usar locais multirregionais garante que os artefatos sejam replicados em várias regiões geográficas, aumentando significativamente a disponibilidade e a resiliência contra interrupções regionais.

Práticas recomendadas do Google Cloud: BigQuery (10 resultados)

CMEK do conjunto de dados do BigQuery desativada

Gravidade:
Média

Tags: BigQuery, conjunto de dados, criptografia, CMEK, segurança, CSPR

Recurso: bigquery.googleapis.com/Dataset

Detalhes
Verifica se os conjuntos de dados do BigQuery estão criptografados usando chaves de criptografia gerenciadas pelo cliente (CMEK) do Cloud KMS. Embora o BigQuery criptografe os dados em repouso por padrão com chaves gerenciadas pelo Google, a CMEK oferece um controle mais refinado sobre o gerenciamento de chaves, incluindo rotação, controle de acesso e registro de auditoria. Essa regra inspeciona o campo defaultEncryptionConfiguration na configuração dos conjuntos de dados. Uma violação é acionada se esse campo estiver ausente ou se existir, mas não tiver uma propriedade "kmsKeyName". A ausência de "defaultEncryptionConfiguration" ou "kmsKeyName" significa que o conjunto de dados não está usando a CMEK para criptografia, o que pode afetar a conformidade e a postura de segurança.
Conjunto de dados do BigQuery sem rótulos

Gravidade:
Baixa

Tags: BigQuery, conjunto de dados, rótulos, organização, FinOps, gerenciamento, CSPR

Recurso: bigquery.googleapis.com/Dataset

Detalhes
Verifica se um conjunto de dados do BigQuery tem rótulos aplicados. Os rótulos são pares de chave-valor definidos pelo usuário que ajudam a organizar e gerenciar recursos no Google Cloud. Elas são usadas para filtragem, agrupamento e relatórios de custos. Essa regra verifica a presença do campo "rótulos" no conjunto de dados. Uma violação é acionada se o campo "labels" estiver ausente ou vazio.
O conjunto de dados do BigQuery não tem tags de recursos

Gravidade:
Baixa

Tags: BigQuery, conjunto de dados, tags, organização, gerenciamento, controle de acesso, FinOps, CSPR, CoNa, MVSP

Recurso: bigquery.googleapis.com/Dataset

Detalhes
Verifica se um conjunto de dados do BigQuery tem tags de recursos aplicadas. As tags de recursos são pares de chave-valor gerenciados pelo Resource Manager. Eles são usados para fins organizacionais mais amplos, incluindo a integração com outros serviços do Google Cloud e sistemas externos (por exemplo, para controle de acesso via vinculações de tag). Essa regra verifica a presença do campo "resourceTags". Uma violação será gerada se o campo "tags" estiver ausente ou vazio.
Multirregião do conjunto de dados do BigQuery

Gravidade:
Alta

Tags: confiabilidade, BigQuery, multirregião, alta disponibilidade, BCDR

Recurso: bigquery.googleapis.com/Dataset

Detalhes
Verifica se os conjuntos de dados do BigQuery estão configurados com um local multirregional (como "US" ou "EU") para garantir alta resiliência e redundância de dados em todas as regiões. Os conjuntos de dados regionais (configurações com um hífen) não atendem a esse padrão.
Conjunto de dados público do BigQuery

Gravidade:
Alta

Tags: BigQuery, conjunto de dados, segurança, privacidade, custo, confiabilidade, CSPR

Recurso: bigquery.googleapis.com/Dataset

Detalhes
Verifica se os conjuntos de dados do BigQuery não estão expostos publicamente. Conjuntos de dados expostos publicamente podem levar a vazamentos de dados não intencionais e possíveis violações de privacidade. O BigQuery oferece controles de acesso granulares por papéis do IAM, e os conjuntos de dados precisam ser restritos apenas a usuários e contas de serviço autorizados. Essa regra verifica a presença de allUsers ou allAuthenticatedUsers na lista de controle de acesso dos conjuntos de dados, o que concede acesso público. A ausência dessas entradas indica que o conjunto de dados não está acessível ao público.
CMEK da tabela do BigQuery

Gravidade:
Média

Tags: BigQuery, tabela, criptografia, CMEK, KMS, segurança, compliance, CSPR

Recurso: bigquery.googleapis.com/Table

Detalhes
Verifica se as tabelas do BigQuery estão criptografadas usando chaves de criptografia gerenciadas pelo cliente (CMEK) no Cloud KMS. Por padrão, o BigQuery criptografa dados em repouso usando chaves gerenciadas pelo Google. A CMEK oferece um controle mais granular sobre as chaves de criptografia, permitindo que as organizações gerenciem a rotação de chaves, o acesso e a auditoria. Essa regra examina o campo "encryptionConfiguration" na configuração das tabelas. Se esse campo estiver ausente ou existir, mas não contiver um kmsKeyName, isso indica que a tabela não está usando a CMEK para criptografia.
Expiração da tabela do BigQuery

Gravidade:
Baixa

Tags: BigQuery, tabela, expiração, ciclo de vida dos dados, otimização de custos, governança de dados, CSPR

Recurso: bigquery.googleapis.com/Table

Detalhes
Verifica se uma tabela do BigQuery tem um prazo de validade definido. Definir um prazo de validade para as tabelas é uma prática recomendada para gerenciar o ciclo de vida dos dados e controlar os custos de armazenamento, especialmente para tabelas temporárias ou de staging. Essa regra examina o campo "expirationTime" na configuração das tabelas. Se expirationTime for nulo (ou estiver faltando, o que é tratado da mesma forma em Rego), isso indica que a tabela não tem um tempo de expiração definido, e uma violação é gerada. Um tempo de expiração explícito é uma boa prática para a governança de dados.
Tabela do BigQuery sem rótulos

Gravidade:
Baixa

Tags: BigQuery, tabela, rótulos, organização, FinOps, gerenciamento, CSPR

Recurso: bigquery.googleapis.com/Table

Detalhes
Verifica se uma tabela do BigQuery tem rótulos aplicados. Os rótulos são pares de chave-valor definidos pelo usuário que ajudam a organizar e gerenciar recursos no Google Cloud. Elas são usadas para filtragem, agrupamento e relatórios de custos. Essa regra verifica a presença do campo "labels" na tabela. Uma violação é acionada se o campo "labels" estiver ausente ou vazio.
Tags de recursos ausentes na tabela do BigQuery

Gravidade:
Baixa

Tags: BigQuery, tabela, tags, organização, gerenciamento, controle de acesso, FinOps, CSPR, CoNa, MVSP

Recurso: bigquery.googleapis.com/Table

Detalhes
Verifica se uma tabela do BigQuery tem tags de recursos aplicadas. As tags de recursos são pares de chave-valor gerenciados pelo Resource Manager. Eles são usados para fins organizacionais mais amplos, incluindo a integração com outros serviços do Google Cloud e sistemas externos (por exemplo, para controle de acesso via vinculações de tag). Essa regra verifica a presença do campo "resourceTags". Uma violação será gerada se o campo "resourceTags" estiver ausente ou vazio.
Partição da tabela do BigQuery

Gravidade:
Baixa

Tags: BigQuery, tabela, partição, expiração, DataLifecycle, CostOptimization, TimePartitioning, CSPR

Recurso: bigquery.googleapis.com/Table

Detalhes
Verifica se uma tabela do BigQuery com particionamento por tempo tem um prazo de validade de partição definido. O prazo de validade da partição exclui automaticamente as partições mais antigas que a duração especificada. Isso é fundamental para gerenciar custos de armazenamento e o ciclo de vida dos dados, especialmente em conjuntos de dados grandes de séries temporais. Essa regra examina o campo "timePartitioning" e, especificamente, o campo "expirationMs" dentro de "timePartitioning". Se timePartitioning ou expirationMs estiverem ausentes ou se não forem um número inteiro positivo, isso indica que a validade da partição não está configurada corretamente, e uma violação será gerada.

Práticas recomendadas do Google Cloud: Cloud Bigtable (3 resultados)

Redundância de cluster do Bigtable

Gravidade:
Alta

Tags: confiabilidade, banco de dados, Bigtable, alta disponibilidade, BCDR

Recurso: bigtableadmin_Instance_RESOURCE_CLUSTER

Detalhes
Verifica se as instâncias do Bigtable têm clusters implantados em três ou mais regiões diferentes. A redundância de cluster multirregional garante 99, 999% de disponibilidade, recuperação de desastres robusta e acesso de baixa latência para aplicativos distribuídos globalmente.
Replicação da instância do Bigtable ativada

Gravidade:
Alta

Tags: confiabilidade, banco de dados, Bigtable, replicação, alta disponibilidade

Recurso: bigtableadmin_Instance_RESOURCE_CLUSTER

Detalhes
Verifica se as instâncias do Bigtable têm a replicação ativada, garantindo que elas tenham clusters implantados em pelo menos duas zonas ou regiões diferentes. A replicação é essencial para alta disponibilidade, failover e recuperação de desastres.
Roteamento de vários clusters do perfil do Bigtable

Gravidade:
Alta

Tags: Reliability, HighAvailability, BCDR, Bigtable

Recurso: bigtableadmin.googleapis.com/AppProfile

Detalhes
Verifica se os perfis de aplicativo do Bigtable usam multi_cluster_routing_use_any para ativar o failover automático e garantir alta disponibilidade. Usar o roteamento de cluster único cria um ponto único de falha, arriscando interrupções no serviço se o cluster específico ficar indisponível.

Práticas recomendadas do Google Cloud: Cloud Build (1 resultado)

Redundância do pool do Cloud Build

Gravidade:
Média

Tags: confiabilidade, segurança, CloudBuild, alta disponibilidade, BCDR

Recurso: cloudresourcemanager_Project_RESOURCE_WORKERPOOL

Detalhes
Verifica se os pools de workers particulares do Cloud Build estão implantados em pelo menos duas regiões diferentes. A implantação de pools de trabalhadores particulares em várias regiões garante que os fluxos de trabalho de CI/CD possam fazer failover se um serviço de build regional sofrer uma interrupção.

Práticas recomendadas do Google Cloud: Cloud DNS (3 resultados)

Registro de política de DNS

Gravidade:
Média

Tags: DNS, política, geração de registros, segurança, auditoria, VPC, CSPR, CoNa, MVSP

Recurso: dns.googleapis.com/Policy

Detalhes
Verifica se a geração de registros está ativada para uma política do Cloud DNS. As políticas de DNS definem regras para o comportamento de resolução de DNS, geralmente usadas para encaminhamento de saída ou buscas de DNS particulares. Ao ativar a geração de registros, as consultas processadas pela política são registradas, o que é essencial para auditoria de segurança e solução de problemas de resolução de DNS nas suas redes VPC. Essa regra examina o campo "enableLogging" na configuração da política de DNS. Uma violação será gerada se "enableLogging" estiver ausente ou for "false".
DNSSEC público da zona de DNS

Gravidade:
Alta

Tags: DNS, DNSSEC, Security, ManagedZone, Public, CSPR, CoNa

Recurso: dns.googleapis.com/ManagedZone

Detalhes
Verifica se o DNSSEC (Extensões de Segurança do Sistema de Nomes de Domínio) está ativado para uma zona pública gerenciada no Cloud DNS. O DNSSEC adiciona uma camada de segurança ao assinar digitalmente os registros DNS, evitando ataques de spoofing e envenenamento de cache. Essa regra examina o campo "dnssecConfig" na configuração das zonas gerenciadas. Se dnssecConfig estiver ausente ou se o estado dele for "off" ou estiver ausente, isso indica que a DNSSEC não está ativada. Uma violação será gerada se o DNSSEC não estiver ativado para zonas públicas. Essa regra filtra para afetar apenas as zonas gerenciadas em que a visibilidade está definida como pública.
Geração de registros públicos da zona de DNS

Gravidade:
Média

Tags: DNS, ManagedZone, Logging, Security, Auditing, Public, CSPR, CoNa, MVSP

Recurso: dns.googleapis.com/ManagedZone

Detalhes
Verifica se o registro em registros está ativado para uma zona gerenciada pública do Cloud DNS. Ao ativar o registro em registros DNS, as consultas recebidas pelos servidores de nomes das zonas são registradas, o que é essencial para auditoria de segurança, solução de problemas e conformidade. Essa regra examina o campo "loggingConfig" na configuração das zonas gerenciadas. Uma violação será gerada se a visibilidade das zonas for pública e loggingConfig estiver ausente ou se loggingConfig.enableLogging estiver ausente ou for "false".

Práticas recomendadas do Google Cloud: Cloud Functions (3 resultados)

Cloudfunctions ingress gclb

Gravidade:
Alta

Tags: Reliability, Security, Network, HighAvailability

Recurso: cloudfunctions.googleapis.com/Function

Detalhes
Verifica se as Cloud Functions têm configurações de entrada definidas como ALLOW_INTERNAL_AND_GCLB. Essa configuração restringe o acesso ao tráfego interno e ao Google Cloud Load Balancing, que é um requisito para implementar alta disponibilidade multirregional usando balanceadores de carga externos globais, evitando o acesso público direto.
Instância mínima da função

Gravidade:
Média

Tags: confiabilidade, desempenho, sem servidor

Recurso: cloudfunctions.googleapis.com/Function

Detalhes
Garante que o Cloud Functions tenha a configuração "minInstances" definida como um valor maior que 0. Essa configuração evita inicializações a frio, garantindo desempenho consistente e latência reduzida durante picos de tráfego, mantendo as instâncias em modo de espera e prontas.
Funções multirregionais do projeto

Gravidade:
Alta

Tags: confiabilidade, sem servidor, CloudFunctions, alta disponibilidade, BCDR

Recurso: cloudresourcemanager_Project_RESOURCE_FUNCTION

Detalhes
Verifica se um projeto tem o Cloud Functions implantado em pelo menos duas regiões diferentes. A implantação multirregional do função do Cloud garante a redundância do aplicativo sem servidor e o failover sem problemas em caso de interrupção regional.

Práticas recomendadas do Google Cloud: Cloud Key Management Service (14 resultados)

Nível de proteção de chave criptográfica do Cloud KMS hsm

Gravidade:
Média

Tags: KMS, CryptoKey, Security, HSM, ProtectionLevel, Encryption, CSPR, CoNa

Recurso: cloudkms.googleapis.com/CryptoKey

Detalhes
Verifica se o nível de proteção de uma CryptoKey do Cloud KMS está definido como HSM. O protectionLevel determina onde as operações criptográficas são realizadas. HSM significa que elas ocorrem em um módulo de segurança de hardware. O HSM oferece um nível mais alto de segurança. Essa regra verifica o campo "versionTemplate.protectionLevel". Uma violação será gerada se o protectionLevel for HSM. Embora o nível de proteção SOFTWARE seja aceitável para alguns casos de uso, o HSM geralmente é recomendado para requisitos de segurança mais altos.
Software de nível de proteção de chave criptográfica do Cloud KMS

Gravidade:
Média

Tags: KMS, CryptoKey, Security, HSM, ProtectionLevel, Encryption, CSPR, CoNa

Recurso: cloudkms.googleapis.com/CryptoKey

Detalhes
Verifica se o nível de proteção de uma CryptoKeys do Cloud KMS está definido como SOFTWARE. O protectionLevel determina onde as operações criptográficas são realizadas. SOFTWARE significa que as operações ocorrem no software, enquanto HSM significa que elas ocorrem em um módulo de segurança de hardware. O HSM oferece um nível mais alto de segurança. Essa regra verifica o campo "versionTemplate.protectionLevel". Uma violação será gerada se o protectionLevel for SOFTWARE. Embora o nível de proteção SOFTWARE seja aceitável para alguns casos de uso, o HSM geralmente é recomendado para requisitos de segurança mais altos.
Rotação simétrica de chave criptográfica do Cloud KMS

Gravidade:
Alta

Tags: KMS, CryptoKey, Rotation, Security, Encryption, Symmetric, KeyRotation, CSPR, CoNa

Recurso: cloudkms.googleapis.com/CryptoKey

Detalhes
Verifica se uma CryptoKey do Cloud KMS com o algoritmo GOOGLE_SYMMETRIC_ENCRYPTION e o estado ENABLED tem a rotação de chaves configurada. A rotação regular de chaves é uma prática recomendada de segurança essencial. Essa regra verifica o seguinte: 1. estado. O estado das chaves é "ENABLED". 2. Finalidade: a finalidade das chaves é ENCRYPT_DECRYPT. 3. versionTemplate.algorithm O algoritmo é GOOGLE_SYMMETRIC_ENCRYPTION. 4. "rotationPeriod" ou "nextRotationTime": se um desses campos estiver faltando, isso indica que a rotação não está configurada e uma violação será gerada. A ausência de rotação aumenta significativamente o risco se uma chave for comprometida.
Resolvadores redundantes de conexão EKM do Cloud KMS

Gravidade:
Alta

Tags: Reliability, Security, KMS, ExternalKey, HighAvailability

Recurso: cloudkms.googleapis.com/EkmConnection

Detalhes
Garante que as conexões do External Key Manager (EKM) tenham resoluções de serviço redundantes para evitar falhas nas operações criptográficas durante interrupções de endpoints.
Pasta de chaves do Cloud KMS exposta publicamente

Gravidade:
Alta

Tags: IAM, Compute Engine, imagem, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Detecta chaves do KMS expostas publicamente em uma pasta para evitar acesso não autorizado e descriptografia de dados sensíveis, protegendo assim seus recursos de informações críticas e mitigando riscos de violação.
Organização de chaves do Cloud KMS exposta publicamente

Gravidade:
Alta

Tags: IAM, Compute Engine, imagem, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Verifique se as chaves de criptografia do KMS da sua organização não estão expostas publicamente por políticas do IAM, protegendo dados sensíveis contra acesso não autorizado e evitando violações de dados dispendiosas.
Projeto de chave do Cloud KMS exposto publicamente

Gravidade:
Alta

Tags: IAM, Compute Engine, imagem, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Proteja dados críticos e mantenha a conformidade evitando a exposição pública de chaves do KMS, o que restringe as operações criptográficas apenas a identidades autorizadas e reduz os riscos de acesso não autorizado e violações de dados.
Chave do Cloud KMS exposta publicamente

Gravidade:
Alta

Tags: IAM, Compute Engine, imagem, segurança, CSPR, CoNa

Recurso: cloudkms.googleapis.com/CryptoKey

Detalhes
Essa regra identifica chaves do KMS expostas publicamente, impedindo a descriptografia não autorizada de dados para proteger informações sensíveis, garantir a integridade de dados e evitar violações dispendiosas.
Finalidade da chave simétrica do Cloud KMS

Gravidade:
Baixa

Tags: KMS, CryptoKey, Security, Encryption, CSPR, CoNa

Recurso: cloudkms.googleapis.com/CryptoKey

Detalhes
Verifica se a finalidade da CryptoKey do Cloud KMS está definida como ENCRYPT_DECRYPT. Embora o KMS ofereça suporte a outras finalidades, como assinatura ou descriptografia assimétrica, essa regra impõe chaves de criptografia simétrica como base. Se chaves assimétricas forem necessárias para cargas de trabalho específicas, essa regra poderá gerar falsos positivos e precisará ser ajustada de acordo.
Keyring do Cloud KMS exposto publicamente

Gravidade:
Alta

Tags: IAM, Compute Engine, imagem, segurança, CSPR, CoNa

Recurso: cloudkms.googleapis.com/KeyRing

Detalhes
Evite o acesso não autorizado a dados criptografados sensíveis garantindo que as políticas do IAM do keyring do KMS não concedam permissões públicas, protegendo assim a confidencialidade e a integridade dos dados.
Rotação de chaves do Cloud KMS desativada

Gravidade:
Média

Tags: KMS, KeyRotation, Security, Cryptography, Compliance, Reliability, CSPR, CoNa

Recurso: cloudkms.googleapis.com/CryptoKey

Detalhes
Verifica se as chaves do serviço de gerenciamento de chaves (KMS) do Google Cloud têm a rotação automática de chaves ativada. A rotação regular de chaves é uma prática recomendada de segurança essencial para limitar o impacto potencial de uma chave comprometida. Se uma chave for comprometida, a rotação vai limitar o tempo que um invasor pode usá-la. Essa regra sinaliza chaves do KMS que não têm a rotação ativada. Períodos de rotação mais curtos geralmente são preferíveis para aumentar a segurança.
Rotação de chaves do Cloud KMS ativada há um ano

Gravidade:
Média

Tags: KMS, KeyRotation, Security, Cryptography, Compliance, Reliability, CSPR, CoNa

Recurso: cloudkms.googleapis.com/CryptoKey

Detalhes
Verifica se as chaves do Google Cloud Key Management Service (KMS) têm a rotação de chaves automática ativada e se o período de rotação está dentro de um limite aceitável (não superior a 365 dias). A rotação regular de chaves é uma prática recomendada de segurança essencial para limitar o impacto potencial de uma chave comprometida. Se uma chave for comprometida, a rotação vai limitar o tempo que um invasor pode usá-la. Essa regra sinaliza chaves do KMS que não têm a rotação ativada ou têm um período de rotação superior a 365 dias. Períodos de rotação mais curtos geralmente são preferíveis para aumentar a segurança.
Keyring multirregional do Cloud KMS

Gravidade:
Alta

Tags: confiabilidade, BCDR, disponibilidade, resiliência

Recurso: cloudkms.googleapis.com/KeyRing

Detalhes
Verifica se os KeyRings do Cloud KMS estão configurados para disponibilidade multirregional ou global, maximizando a resiliência contra interrupções regionais. As chaves armazenadas em uma única região não são replicadas em várias áreas geográficas, criando um único ponto de falha durante incidentes regionais.
Papel de proprietário do Cloud KMS

Gravidade:
Média

Tags: KMS, Security, CSPR

Recurso: cloudkms_CryptoKey_RESOURCE_IAM_POLICY_1

Detalhes
Restringir a função de Proprietário altamente permissiva em projetos do KMS protege as chaves criptográficas contra ações acidentais ou maliciosas, aumentando a segurança de dados e a estabilidade operacional.

Práticas recomendadas do Google Cloud: Cloud Load Balancing (4 resultados)

Nível de rede da regra de encaminhamento do Compute

Gravidade:
Alta

Tags: confiabilidade, rede, balanceamento de carga, NetworkTier, desempenho

Recurso: compute.googleapis.com/ForwardingRule

Detalhes
Verifica se as regras de encaminhamento (usadas pelos balanceadores de carga) estão configuradas para usar o nível de rede Premium. O roteamento do nível Premium envia o tráfego pelo backbone da rede global de alta velocidade do Google em vez da Internet pública, garantindo confiabilidade máxima, baixa latência e garantias de SLA.
Calcular a distribuição de zonas do serviço de back-end regional do Compute

Gravidade:
Alta

Tags: Reliability, Network, LoadBalancing, HighAvailability

Recurso: compute.googleapis.com/RegionBackendService

Detalhes
Verifica se os serviços de back-end regionais (usados por balanceadores de carga internos) têm back-ends distribuídos em pelo menos duas zonas diferentes na região. A distribuição de back-end em várias zonas garante alta disponibilidade e capacidade de failover durante falhas temporárias zonais.
Distribuição de back-end global

Gravidade:
Alta

Tags: confiabilidade, rede, balanceamento de carga, alta disponibilidade, BCDR

Recurso: compute_BackendService_RESOURCE_RELATIONSHIP

Detalhes
Verifica se os back-ends do balanceamento de carga global estão distribuídos em pelo menos duas regiões e duas zonas. A distribuição de back-end multirregional e multizonal garante alta disponibilidade, tolerância a falhas e failover sem problemas em caso de interrupção regional ou zonal.
Verificação de integridade do pool de destino ativada

Gravidade:
Alta

Tags: Reliability, Network, LoadBalancing, HighAvailability

Recurso: compute.googleapis.com/TargetPool

Detalhes
Verifique se os pools de destino (balanceadores de carga de rede) têm verificações de integridade ativadas para evitar o roteamento de tráfego para back-ends de VM não íntegros.

Práticas recomendadas do Google Cloud: Cloud Logging (3 resultados)

Coletor de registros

Gravidade:
Média

Tags: geração de registros, segurança, compliance, CSPR, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_5

Detalhes
Sinaliza projetos do Google Cloud que não têm coletores de registros válidos configurados em nenhum nível de pasta/organização/projeto.
Multirregião do bucket de registros

Gravidade:
Média

Tags: confiabilidade, segurança, registros, alta disponibilidade, BCDR

Recurso: logging.googleapis.com/LogBucket

Detalhes
Verifica se os buckets do Cloud Logging estão configurados em locais multirregionais ou globais (por exemplo, "global", "us", "eu") para garantir alta disponibilidade e resiliência contra interrupções regionais. Os buckets de registros regionais estão sujeitos a perda de dados se a região sofrer uma interrupção.
Coletor de geração de registros não agregado na pasta ou organização

Gravidade:
Média

Tags: geração de registros, segurança, CSPR

Recurso: logging.googleapis.com/LogSink

Detalhes
Identifica coletores de registro no nível da pasta ou da organização que não estão configurados como agregados. Os coletores agregados são essenciais no nível da pasta/organização para centralizar registros de todos os projetos e recursos filhos para auditoria e operações de segurança.

Práticas recomendadas do Google Cloud: Cloud Pub/Sub (7 resultados)

Pub/Sub sub espera exponencial

Gravidade:
Alta

Tags: Pub/Sub, assinatura, confiabilidade, resiliência, CSPR

Recurso: pubsub.googleapis.com/Subscription

Detalhes
Verifica se as assinaturas do Pub/Sub estão configuradas com uma política de novas tentativas com espera exponencial. Para isso, confere a presença das configurações retryPolicy, minimumBackoff e maximumBackoff. Implementar a espera exponencial é crucial para a estabilidade do sistema, porque evita que falhas de assinantes causem tempestades de novas tentativas imediatas e descoordenadas que podem sobrecarregar o sistema de mensagens durante interrupções temporárias.
Tópico de mensagens inativas da assinatura do Pub/Sub configurado

Gravidade:
Média

Tags: Reliability, Messaging, DisasterRecovery, Resiliency

Recurso: pubsub.googleapis.com/Subscription

Detalhes
Verifique se as assinaturas do Pub/Sub têm um tópico de mensagens inativas configurado para isolar mensagens não processáveis e evitar o bloqueio do fluxo.
Deadletter da assinatura do Pub/Sub

Gravidade:
Média

Tags: Pub/Sub, Subscription, DeadLetter, Reliability, Messaging, ErrorHandling, CSPR

Recurso: pubsub.googleapis.com/Subscription

Detalhes
Verifica se uma assinatura do Pub/Sub tem um tópico de mensagens inativas configurado. Um tópico de mensagens inativas (DLT) é essencial para lidar com falhas na entrega de mensagens. Quando uma mensagem não pode ser entregue a um assinante após várias tentativas, ela pode ser enviada a uma DLT, evitando a perda de mensagens e permitindo a análise de problemas de entrega. Essa regra examina o campo "deadLetterPolicy" na configuração de assinaturas. Se "deadLetterPolicy" estiver ausente ou existir, mas não tiver um campo "deadLetterTopic", a regra vai gerar uma violação. Usar uma DLT é uma prática recomendada para o processamento confiável de mensagens.
Política de nova tentativa de assinatura do Pub/Sub configurada

Gravidade:
Média

Tags: confiabilidade, mensagens, resiliência

Recurso: pubsub.googleapis.com/Subscription

Detalhes
Verifique se as assinaturas do Pub/Sub têm políticas de repetição personalizadas configuradas com espera exponencial para lidar com falhas temporárias de maneira adequada.
Retenção de mensagens do tópico do Pub/Sub

Gravidade:
Alta

Tags: confiabilidade, proteção de dados, Pub/Sub, CoNa

Recurso: pubsub.googleapis.com/Topic

Detalhes
Verifica se os tópicos do Pub/Sub têm uma duração de retenção de mensagens configurada. A retenção de mensagens garante que elas sejam mantidas por um período especificado, garantindo a disponibilidade mesmo quando os assinantes estão temporariamente indisponíveis ou para reprodução histórica.
Política do Cloud Storage para mensagens do tópico do Pub/Sub

Gravidade:
Média

Tags: confiabilidade, segurança, Pub/Sub, residência de dados, compliance, CoNa

Recurso: pubsub.googleapis.com/Topic

Detalhes
Verifica se os tópicos do Pub/Sub estão configurados com uma política de armazenamento de mensagens que restringe a persistência de mensagens a regiões específicas. Restringir o armazenamento de mensagens a regiões certificadas evita violações de compliance e garante o respeito aos requisitos de residência de dados.
Esquema de tópicos do Pub/Sub

Gravidade:
Média

Tags: PubSub, Messaging, Schema, DataGovernance, Reliability

Recurso: pubsub.googleapis.com/Topic

Detalhes
Verifica se os tópicos do Pub/Sub têm um esquema configurado. A aplicação de um esquema garante a qualidade de dados e impede que mensagens malformadas interrompam os consumidores downstream.

Práticas recomendadas do Google Cloud: Cloud Router (6 resultados)

O roteador do Compute anuncia todas as sub-redes

Gravidade:
Média

Tags: confiabilidade, rede, Cloud Router, roteamento

Recurso: compute.googleapis.com/Router

Detalhes
Verifica se os Cloud Routers estão configurados para anunciar todas as sub-redes (usando o modo de divulgação DEFAULT ou CUSTOM com o grupo ALL_SUBNETS). Isso garante que as novas sub-redes sejam anunciadas automaticamente para redes locais, evitando falhas de conectividade.
bfd ativado no roteador do Compute Engine

Gravidade:
Alta

Tags: Reliability, Network, BGP, BFD, HighAvailability

Recurso: compute.googleapis.com/Router

Detalhes
Verifica se a detecção de encaminhamento bidirecional (BFD) está ativada em todos os peers do BGP de um Cloud Router. O BFD oferece detecção de falha de link em menos de um segundo para garantir failover rápido do BGP e alta disponibilidade.
Sinal de atividade do BGP do roteador do Compute Engine

Gravidade:
Média

Tags: Reliability, Network, BGP, Keepalive, HighAvailability

Recurso: compute.googleapis.com/Router

Detalhes
Verifica se o timer de sinal de atividade do BGP está configurado para exatamente 20 segundos no Cloud Router. Um intervalo de sinal de atividade de 20 segundos garante a detecção oportuna de falhas de peering e uma convergência BGP previsível.
Redundância de peering BGP do roteador do Compute Engine

Gravidade:
Alta

Tags: confiabilidade, rede, Cloud Router, BGP, redundância

Recurso: compute.googleapis.com/Router

Detalhes
Verifica se os Cloud Routers têm pelo menos dois pares do BGP configurados. Sessões BGP redundantes garantem alta disponibilidade e evitam interrupções de roteamento durante a manutenção ou falhas de rede.
Roteadores multirregionais do projeto

Gravidade:
Alta

Tags: confiabilidade, rede, roteador, alta disponibilidade, BCDR

Recurso: cloudresourcemanager_Project_RESOURCE_ROUTER

Detalhes
Verifica se um projeto tem Cloud Routers implantados em pelo menos duas regiões diferentes. A implantação multirregional do Cloud Router garante redundância de rede híbrida (VPN, Interconnect, NAT) e protege contra interrupções regionais.
Redundância de roteadores regionais do projeto

Gravidade:
Alta

Tags: confiabilidade, rede, Cloud Router, redundância, alta disponibilidade

Recurso: cloudresourcemanager_Project_RESOURCE_ROUTER

Detalhes
Verifica se, para cada região em que os Cloud Routers são implantados em um projeto, há pelo menos dois Cloud Routers configurados. A redundância do roteador regional garante alta disponibilidade para conectividade híbrida (VPN/Interconnect) e evita pontos únicos de falha.

Práticas recomendadas do Google Cloud: Cloud Run (3 resultados)

Executar a entrada do balanceador de carga global

Gravidade:
Alta

Tags: confiabilidade, alta disponibilidade, rede, Cloud Run

Recurso: run.googleapis.com/Service

Detalhes
Garante que os serviços do Cloud Run estejam configurados para aceitar tráfego apenas de fontes internas e do Cloud Load Balancing. Essa restrição força o tráfego a passar por um balanceador de carga externo global, que é um pré-requisito para alcançar a alta disponibilidade, a tolerância a falhas e a latência otimizada de uma arquitetura multirregional.
Executar instância mínima do serviço

Gravidade:
Alta

Tags: confiabilidade, latência, sem servidor, Cloud Run

Recurso: run.googleapis.com/Service

Detalhes
Garante que os serviços do Cloud Run configurem um número mínimo de instâncias maior que zero. Essa configuração é essencial para aplicativos sensíveis à latência, evitando inicializações a frio e mantendo a disponibilidade imediata. O problema surge quando a anotação autoscaling.knative.dev/minScale está ausente (padrão 0) ou definida explicitamente como 0.
Serviço do Cloud Run sem saída de VPC

Gravidade:
Média

Tags: CloudRun, Serverless, VPC, Rede, Security, Egress, CSPR, CoNa, MVSP

Recurso: run.googleapis.com/Service

Detalhes
Verifica se um serviço do Cloud Run está configurado para usar o acesso VPC sem servidor no tráfego de saída. O roteamento do tráfego de saída por um conector VPC permite que os serviços do Cloud Run acessem recursos internos com segurança e pode ser usado para rotear o tráfego pelo Cloud NAT para um IP estático de saída. Uma violação ocorre se a anotação run.googleapis.com/vpc-access-connector estiver faltando.

Práticas recomendadas do Google Cloud: Cloud SQL (35 resultados)

Backup multirregional do Cloud SQL

Gravidade:
Média

Tags: confiabilidade, backup

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se os backups de instâncias do Cloud SQL estão configurados para armazenamento multirregional. Por padrão, os backups são armazenados na mesma região da instância, o que não oferece proteção contra interrupções regionais. Configurar o armazenamento multirregional garante a disponibilidade de dados e a continuidade dos negócios durante esses eventos.
Certificado da autoridade de certificação da instância do Cloud SQL inválido

Gravidade:
Alta

Tags: CloudSQL, Segurança, Certificado, Expiração, Confiabilidade, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica o status de expiração do certificado da autoridade certificadora (CA) para instâncias do Cloud SQL. A rotação regular de certificados de CA e a garantia de que eles não expiraram é uma prática recomendada de segurança essencial. Um certificado de CA expirado pode interromper as conexões do cliente com o banco de dados, causando inatividade do aplicativo. Essa regra verifica duas coisas principais: 1. Se houver um certificado de CA para a instância (indicando que o SSL/TLS provavelmente está configurado, o que é recomendado). 2. Se o prazo de validade (expirationTime) dos certificados de CA atuais estiver no futuro. Uma violação será gerada se nenhum certificado de CA for encontrado ou se o certificado encontrado estiver expirado (expirationTime no passado). A regra usa a hora atual (obtida via time.now_ns()) para realizar a verificação de expiração. O tempo é convertido em segundos desde a época para comparação.
Proteção contra exclusão de instâncias do Cloud SQL

Gravidade:
Alta

Tags: banco de dados, segurança, confiabilidade, proteção de dados, CSPR, CoNa

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Cloud SQL têm a proteção contra exclusão ativada para evitar exclusão acidental e possível perda de dados. Quando "settings.deletionProtectionEnabled" é definido como "false" ou não está configurado, o banco de dados fica vulnerável à remoção imediata por erro humano ou scripts de automação.
Janela de manutenção da instância do Cloud SQL

Gravidade:
Alta

Tags: confiabilidade, operações, manutenção, BCDR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Cloud SQL têm uma janela de manutenção configurada, garantindo que as atualizações do sistema sejam programadas fora dos horários de pico para minimizar o impacto nos negócios e evitar inatividade inesperada.
PITR da instância do Cloud SQL desativada

Gravidade:
Média

Tags: CloudSQL, Instance, Backup, PITR, Recovery, Reliability, DataProtection, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Cloud SQL têm a recuperação pontual (PITR) ativada. A PITR permite restaurar o banco de dados para um momento específico, oferecendo recursos cruciais de recuperação de dados. Essa regra verifica diretamente a configuração "pointInTimeRecoveryEnabled" em "backupConfiguration". Se "pointInTimeRecoveryEnabled" for "false" ou não estiver presente, isso indica que a PITR não está ativada.
Redimensionamento automático do Cloud Storage da instância do Cloud SQL

Gravidade:
Média

Tags: CloudSQL, Instance, Storage, AutoResize, Reliability, Availability, Performance, Cost, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Cloud SQL têm o redimensionamento automático de armazenamento ativado. Ao ativar o storageAutoResize, a capacidade de armazenamento das instâncias aumenta automaticamente conforme necessário, evitando possíveis erros de falta de armazenamento e inatividade. Sem o redimensionamento automático, a instância pode ficar indisponível se ficar sem espaço de armazenamento. Essa regra verifica a presença e o valor da configuração storageAutoResize na configuração das instâncias. Se "storageAutoResize" for "false" ou não estiver presente, isso indica que o redimensionamento automático do armazenamento está desativado, o que pode causar problemas operacionais. Ativar esse recurso é fundamental para manter a confiabilidade e a disponibilidade do banco de dados.
Arquivo local do Cloud SQL MySQL ativado

Gravidade:
Média

Tags: CloudSQL, MySQL, Instance, Security, Flags, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Ativar o local_infile no Cloud SQL para MySQL pode expor o servidor a exploits de leitura de arquivos. Desative-o, a menos que seja absolutamente necessário.
Cloudsql mysql skip show database

Gravidade:
Média

Tags: CloudSQL, MySQL, Instance, Security, Flags, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Garante que a flag skip_show_database esteja ativada (definida como "on") para instâncias do Cloud SQL para MySQL. Ativar essa flag impede que os usuários usem o comando SHOW DATABASES, a menos que tenham o privilégio SHOW DATABASES. Isso aumenta a segurança ao limitar a capacidade dos usuários de descobrir nomes de bancos de dados, reduzindo o risco de tentativas de acesso não autorizado e divulgação de informações. É uma forma de segurança por obscuridade.
Registro de consulta lenta do MySQL do Cloud SQL desativado

Gravidade:
Média

Tags: CloudSQL, MySQL, Instance, Performance, Flags, Performance, Troubleshooting, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a flag de banco de dados slow_query_log está ativada (definida como "on") para instâncias do Cloud SQL para MySQL. Ao ativar essa flag, você ativa o registro de consulta lenta, que registra instruções SQL que excedem um limite de tempo de execução definido (controlado por long_query_time). O registro de consulta lenta é uma ferramenta essencial para identificar gargalos de performance, otimizar consultas e resolver problemas de desempenho do banco de dados. Desativar essa flag dificulta o diagnóstico e a resolução de problemas de consultas lentas.
Cloudsql sem backup automático

Gravidade:
Alta

Tags: confiabilidade, BCDR, proteção de dados, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Cloud SQL têm backups automatizados ativados, garantindo que os dados críticos possam ser recuperados em caso de corrupção, exclusão ou falha no serviço. Ao desativar os backups automáticos, você não poderá fazer a recuperação pontual.
A política de senha do Cloud SQL não está ativada

Gravidade:
Alta

Tags: CloudSQL, Instance, Security, Password, Reliability, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Cloud SQL têm uma política de validação de senha ativada. Para práticas recomendadas de segurança, é altamente recomendável definir uma política de validação de senhas. Confiar no padrão ou não definir a validação de senha aumenta significativamente o risco de acesso não autorizado e possíveis violações de dados. Essa regra verifica se não há validação de senha. Se a validação de senha não for aplicada à instância, isso indica uma possível vulnerabilidade de segurança.
Pontos de verificação de registros do Cloud SQL pgsql

Gravidade:
Média

Tags: CloudSQL, PostgreSQL, confiabilidade, desempenho, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Garante que a flag de banco de dados log_checkpoints esteja ativada (definida como "on") para instâncias do Cloud SQL para PostgreSQL. Os pontos de verificação são pontos críticos na sequência do registro de transações em que o PostgreSQL grava todos os buffers de dados sujos no disco e atualiza o arquivo de controle. Os pontos de verificação de geração de registros fornecem informações valiosas para monitorar o tempo de recuperação do banco de dados, diagnosticar problemas de desempenho relacionados a E/S e entender a atividade de gravação. Desativar essa flag pode dificultar a solução de problemas e a análise de recuperação.
Conexões de registros pgsql do Cloud SQL desativadas

Gravidade:
Média

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Security, Troubleshooting, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a flag de banco de dados log_connections está ativada (definida como "on") para instâncias do Cloud SQL para PostgreSQL. Quando ativada, essa flag registra cada tentativa de conexão bem-sucedida ao servidor de banco de dados, incluindo o nome de usuário e o endereço IP do cliente. Essas informações são cruciais para auditoria de segurança, rastreamento de acesso ao banco de dados e solução de problemas relacionados à conexão. Ele complementa a flag "log_disconnections", que registra o fim das sessões. Essa regra sinaliza instâncias em que o registro de conexões está desativado.
Desconexões de registros pgsql do Cloud SQL desativadas

Gravidade:
Média

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Security, Troubleshooting, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a flag de banco de dados log_disconnections está ativada (definida como "on") para instâncias do Cloud SQL para PostgreSQL. Quando ativada, essa flag registra o fim de cada sessão do cliente, incluindo a duração da sessão. Essas informações são úteis para auditoria, análise de segurança (por exemplo, detecção de padrões de conexão incomuns) e solução de problemas relacionados à conexão. Ele complementa a flag log_connections, que registra o início das conexões. Essa regra sinaliza instâncias em que o registro de desconexão está desativado.
Nível de detalhes do erro de registro do Cloud SQL pgsql

Gravidade:
Média

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Troubleshooting, Debugging, Reliability, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Garante que a flag de banco de dados log_error_verbosity para instâncias do Cloud SQL para PostgreSQL esteja definida como padrão ou detalhada. Essa flag controla a quantidade de detalhes incluídos nas mensagens de erro gravadas no registro do servidor. Definir como "padrão" ou "detalhado" fornece mais informações para solução de problemas e depuração em comparação com a configuração "concisa", que minimiza os detalhes. Registros de erros mais detalhados podem ajudar muito a diagnosticar a causa raiz dos problemas do banco de dados.
Nome do host do registro pgsql do Cloud SQL

Gravidade:
Média

Tags: CloudSQL, PostgreSQL, Instance, Logging, Troubleshooting, Security, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Garante que a flag de banco de dados log_hostname esteja ativada (definida como "on") para instâncias do Cloud SQL para PostgreSQL. Quando ativada, essa flag registra os nomes de host dos clientes conectados, além dos endereços IP. Registrar nomes de host pode ser útil para solução de problemas, auditoria de segurança e identificação da origem das conexões. Isso pode ser especialmente útil em ambientes em que os endereços IP mudam com frequência (por exemplo, devido ao DHCP) ou em que vários clientes se conectam do mesmo endereço IP (por exemplo, por um proxy ou NAT). No entanto, ativar essa opção pode causar uma pequena sobrecarga de desempenho devido ao nome do host.
Espera de bloqueio de registros pgsql do Cloud SQL

Gravidade:
Média

Tags: CloudSQL, Performance, Reliability, PostgreSQL, Instance, Logging, Flags, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Garante que a flag de banco de dados log_lock_waits esteja ativada (definida como "on") para instâncias do Cloud SQL para PostgreSQL. Ao ativar essa flag, você registra longas esperas de bloqueio, que geralmente indicam gargalos de desempenho ou problemas de simultaneidade no banco de dados. Ao monitorar esses registros, os administradores podem identificar e resolver as causas principais de consultas lentas ou problemas de desempenho do aplicativo. Essa abordagem proativa ajuda a manter a integridade e a capacidade de resposta do banco de dados.
Duração mínima do registro pgsql do Cloud SQL desativada

Gravidade:
Média

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Performance, Troubleshooting, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a flag de banco de dados log_min_duration_statement está definida como 1 (desativada) em instâncias do Cloud SQL para PostgreSQL. Essa flag controla o tempo mínimo de execução (em milissegundos) que uma instrução precisa levar antes de ser registrada. Definir como 1 desativa o registro da duração das instruções, dificultando o monitoramento e a solução de problemas de desempenho. Em geral, é recomendável definir um limite específico (por exemplo, 2.000 para 2 segundos) para capturar consultas lentas sem sobrecarregar os registros. Essa regra sinaliza instâncias em que o registro de instruções com base na duração está desativado.
O erro mínimo do registro pgsql do Cloud SQL está muito alto

Gravidade:
Média

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Troubleshooting, Security, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a flag de banco de dados log_min_error_statement está definida como "error", "log", "fatal" ou "panic" para instâncias do Cloud SQL para PostgreSQL. Essa flag controla o nível de gravidade das instruções SQL registradas como erros. Definir como "error" ou um nível mais estrito (log, fatal, panic) garante que todas as instruções que causam erros sejam registradas, o que é crucial para solução de problemas, auditoria e análise de segurança. Configurações menos rigorosas que "Erro" (por exemplo, "Aviso", "Notificação") podem não capturar todas as condições de erro, dificultando o diagnóstico e a resolução de problemas. Essa regra sinaliza instâncias com uma configuração menos rigorosa do que "erro".
Cloudsql pgsql log min messages non default

Gravidade:
Média

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Logging, Troubleshooting, Reliability, CSPR, CoNa

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a flag de banco de dados log_min_messages está definida como o valor padrão (aviso) para instâncias do Cloud SQL para PostgreSQL. Essa flag controla o nível de gravidade das mensagens gravadas no registro do servidor. Embora o padrão (aviso) seja geralmente adequado, é recomendável ajustar essa configuração com base nas suas necessidades operacionais específicas e no nível de detalhes de registro desejado. Definir um nível mais detalhado (por exemplo, aviso, informação, depuração) pode fornecer mais informações para a solução de problemas, enquanto definir um nível menos detalhado (por exemplo, erro, registro, fatal, pânico) pode reduzir o volume de registros. Essa regra sinaliza instâncias em que a configuração não é a padrão (aviso). É uma decisão de política se é necessário aplicar o padrão ou permitir desvios.
Instrução de log pgsql do Cloud SQL

Gravidade:
Média

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Troubleshooting, Performance, Security, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a flag de banco de dados log_statement está configurada com um valor diferente de "none" para instâncias do Cloud SQL para PostgreSQL. A flag log_statement controla quais instruções SQL são registradas. O registro adequado de instruções SQL é crucial para auditoria, análise de segurança, solução de problemas de desempenho e depuração. Definir valores como ddl, mod ou all (dependendo das suas necessidades) fornece insights valiosos sobre a atividade do banco de dados. Uma configuração "Nenhum" desativa completamente o registro de instruções, prejudicando esses recursos importantes.
Arquivos temporários de log pgsql do Cloud SQL

Gravidade:
Média

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Garante que a flag de banco de dados log_temp_files esteja ativada (definida como um valor diferente de zero) para instâncias do Cloud SQL para PostgreSQL. Essa flag controla o registro do uso de arquivos temporários. Definir um valor diferente de 0 (que desativa o registro) permite monitorar o tamanho e o número de arquivos temporários criados por consultas. A criação excessiva de arquivos temporários pode indicar consultas ineficientes, configurações de work_mem mal ajustadas ou possíveis gargalos de desempenho. A análise desses registros pode ajudar a otimizar o desempenho da consulta e a utilização de recursos. Um valor de 0 desativa o registro em registros, enquanto valores positivos indicam um limite em KB.
Máximo de conexões do Cloudsql pgsql

Gravidade:
Média

Tags: CloudSQL, confiabilidade, desempenho, SQL, PostgreSQL, instância, conexões, flags, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Garante que a flag de banco de dados max_connections esteja configurada explicitamente para instâncias do Cloud SQL para PostgreSQL. Definir um valor adequado para max_connections é crucial para o gerenciamento de recursos e para evitar o esgotamento das conexões. Sem um limite definido, um aumento repentino nas solicitações de conexão pode sobrecarregar o banco de dados, levando à degradação do desempenho ou à negação de serviço. O valor ideal depende do tamanho da instância e da carga de trabalho.
Cloudsql pgsql pgaudit desativado

Gravidade:
Média

Tags: CloudSQL, PostgreSQL, Instância, Auditoria, Flags, Segurança, Auditoria, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a flag cloudsql.enable_pgaudit está ativada (definida como "on") para instâncias do Cloud SQL para PostgreSQL. Essa flag ativa a extensão pgaudit, que oferece recursos detalhados de registro de auditoria de sessão e objeto. Com o pgaudit, é possível rastrear atividades específicas do banco de dados, como operações SELECT, INSERT, UPDATE e DELETE, e configurar regras de auditoria granulares com base em usuários, papéis e objetos. Isso é crucial para auditoria de segurança, compliance e análise forense.
Acesso público do Cloud SQL

Gravidade:
Alta

Tags: CloudSQL, Instance, Security, Rede, CSPR, MVSP

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Detecta instâncias do Cloud SQL configuradas para permitir conexões de qualquer endereço IP (0.0.0.0/0) nas redes autorizadas. Expor uma instância de banco de dados à Internet pública é um risco de segurança grave e deve ser evitado, a menos que seja absolutamente necessário e com extrema cautela. A acessibilidade pública aumenta muito a superfície de ataque, tornando a instância vulnerável a acesso não autorizado, ataques de força bruta e violações de dados. O acesso deve ser restrito a intervalos ou endereços IP específicos e conhecidos.
O Cloud SQL exige SSL

Gravidade:
Alta

Tags: CloudSQL, Instance, Security, SSL, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Aplica o uso de conexões SSL/TLS para todos os clientes que se conectam a essa instância do Cloud SQL. Exigir SSL/TLS criptografa os dados em trânsito, protegendo contra escutas e ataques man-in-the-middle. Essa é uma prática recomendada de segurança essencial para qualquer banco de dados que processe informações sensíveis. Sem SSL/TLS, os dados são transmitidos em texto simples.
A senha raiz do Cloud SQL não foi definida

Gravidade:
Alta

Tags: CloudSQL, Instance, Security, Password, Reliability, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se uma senha de root está definida para instâncias do Cloud SQL. Para seguir as práticas recomendadas de segurança, defina uma senha de root forte e exclusiva para todas as instâncias do Cloud SQL. Essa regra verifica diretamente o campo "rootPassword" na configuração da instância. Um campo rootPassword vazio ou ausente indica uma vulnerabilidade de segurança significativa, já que significa que a instância pode ser acessada sem uma senha ou com uma senha padrão.
Autenticação de banco de dados contido no servidor do Cloud SQL ativada

Gravidade:
Média

Tags: CloudSQL, SQL Server, Instance, Security, Authentication, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a autenticação de banco de dados contido está ativada nas instâncias do Cloud SQL para SQL Server. Os bancos de dados independentes permitem a autenticação no nível do banco de dados, e não apenas no nível da instância (servidor). Embora isso possa simplificar a portabilidade do banco de dados, também apresenta possíveis riscos de segurança se não for gerenciado com cuidado. Os usuários autenticados em um banco de dados independente podem ignorar os controles de segurança no nível da instância. Em geral, recomendamos desativar a autenticação de banco de dados independente, a menos que seja especificamente necessário e com um entendimento completo das implicações de segurança.
Cadeia de proprietários entre bancos de dados do servidor Cloud SQL

Gravidade:
Média

Tags: CloudSQL, confiabilidade, SQL Server, instância, segurança, encadeamento de propriedade, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Garante que o encadeamento de propriedade entre bancos de dados esteja desativado (definido como "desativado") nas instâncias do Cloud SQL para SQL Server. Desativar essa configuração é uma prática recomendada de segurança essencial. Quando ativado, ele pode permitir que usuários de um banco de dados tenham acesso não intencional a objetos em outros bancos se as cadeias de propriedade não forem gerenciadas com cuidado. Isso pode levar a vulnerabilidades de escalonamento de privilégios.
Scripts externos ativados do servidor Cloud SQL

Gravidade:
Média

Tags: CloudSQL, SQL Server, Instância, Segurança, Flags, Segurança, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a flag de scripts externos ativados está ativada nas instâncias do Cloud SQL para SQL Server. Essa flag controla a capacidade de executar scripts externos (por exemplo, R, Python) no ambiente do SQL Server. Embora esse recurso possa ser útil para análises avançadas e machine learning, ativá-lo apresenta possíveis riscos de segurança se não for gerenciado com cuidado. Scripts externos podem acessar recursos do sistema ou executar códigos maliciosos. Em geral, é recomendável desativar esse recurso, a menos que seja especificamente necessário e com as precauções de segurança adequadas.
Acesso remoto ao servidor Cloud SQL

Gravidade:
Média

Tags: CloudSQL, SQL Server, Instance, Security, Access Control, Reliability, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Garante que a flag de banco de dados para acesso remoto esteja desativada (definida como "desativada") nas instâncias do Cloud SQL para SQL Server. Desativar essa flag impede que clientes do SQL Server em máquinas remotas se conectem a essa instância usando a conexão administrativa dedicada (DAC, na sigla em inglês). Embora o DAC seja uma ferramenta poderosa de solução de problemas, restringir o uso apenas a conexões locais reduz significativamente a superfície de ataque. Um acesso remoto configurado incorretamente ou comprometido pode levar ao controle não autorizado do banco de dados.
O traceflag 3625 do servidor Cloud SQL foi ativado.

Gravidade:
Média

Tags: CloudSQL, SQL Server, Instância, Segurança, Confiabilidade, Segurança, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se o sinalizador de rastreamento 3625 está ativado nas instâncias do Cloud SQL para SQL Server. A flag de trace 3625 limita a quantidade de informações retornadas a usuários que não são sysadmin em mensagens de erro, podendo mascarar detalhes sensíveis sobre a estrutura ou configuração do banco de dados. Embora seja útil em alguns contextos de segurança, essa flag de rastreamento geralmente é desativada em ambientes de desenvolvimento e teste para fornecer informações de erro mais detalhadas para a solução de problemas. Essa regra sinaliza instâncias em que o flag de rastreamento 3625 está ativado. É importante entender as implicações dessa flag e se ela está alinhada às suas necessidades operacionais e de segurança.
Conexão de usuário ilimitada do servidor Cloud SQL

Gravidade:
Média

Tags: CloudSQL, SQL Server, Instância, Conexões, Flags, Performance, Confiabilidade, CSPR

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a flag de banco de dados de conexões do usuário está definida como 0 (ilimitada) em instâncias do Cloud SQL para SQL Server. Definir as conexões de usuário como 0 permite um número ilimitado de conexões simultâneas, o que pode levar ao esgotamento de recursos, à degradação do desempenho e a uma possível negação de serviço. É uma prática recomendada configurar um limite específico e razoável para conexões de usuário com base no tamanho da instância e na carga de trabalho esperada para evitar disputas de recursos e manter a estabilidade do banco de dados. Essa regra sinaliza instâncias em que as conexões são ilimitadas.
Opções de usuário do servidor Cloudsql definidas

Gravidade:
Média

Tags: CloudSQL, SQL Server, Instance, Configuration, Flags, Reliability, CSPR, CoNa

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se a flag de banco de dados de opções do usuário está configurada em instâncias do Cloud SQL para SQL Server. A flag de opções do usuário especifica configurações padrão em todo o servidor para o comportamento de processamento de consultas de todos os usuários. Em geral, é recomendável evitar definir opções globais de usuário e permitir que usuários ou aplicativos individuais configurem as próprias configurações no nível da sessão conforme necessário. Depender de opções globais do usuário pode causar um comportamento inesperado ou problemas de compatibilidade se diferentes aplicativos exigirem configurações diferentes. Essa regra sinaliza instâncias em que as opções do usuário estão definidas (ou seja, não estão no estado padrão e não configurado, geralmente representado por 0 ou uma string vazia).
Réplica de failover da instância zonal do Cloud SQL

Gravidade:
Alta

Tags: CloudSQL, Instance, Reliability, Availability, HA, Zonal, Failover, CSPR, CoNa

Recurso: sqladmin.googleapis.com/Instance

Detalhes
Verifica se uma instância do Cloud SQL está configurada para alta disponibilidade (HA). Essa regra se concentra em instâncias zonais (não regionais) e verifica se uma réplica de failover está disponível. Para instâncias zonais, ter uma réplica de failover é fundamental para a resiliência. Se "failoverReplicaAvailable" for "false" em uma instância zonal, isso significa que ela é um ponto único de falha e está vulnerável a interrupções nessa zona. Uma instância zonal sem uma réplica de failover não atende aos requisitos de alta disponibilidade. Isso é considerado um problema de alta gravidade porque afeta diretamente a confiabilidade e o tempo de atividade do banco de dados.

Práticas recomendadas do Google Cloud: Cloud Spanner (6 resultados)

Idade do backup do banco de dados do Spanner

Gravidade:
Média

Tags: Spanner, Backup, Segurança, CSPR

Recurso: spanner.googleapis.com/Backup

Detalhes
Verifica se os backups do Cloud Spanner são mais antigos que o período mínimo de retenção.
Banco de dados do Spanner sem CMEK

Gravidade:
Alta

Tags: Spanner, Segurança, Criptografia, CMEK, CSPR, MVSP

Recurso: spanner.googleapis.com/Database

Detalhes
Verifica se os bancos de dados do Cloud Spanner estão criptografados usando chaves de criptografia gerenciadas pelo cliente (CMEK) em vez de chaves gerenciadas pelo Google.
Pitr do banco de dados do Spanner ativado

Gravidade:
Alta

Tags: confiabilidade, banco de dados, backup, recuperação, BCDR

Recurso: spanner.googleapis.com/Database

Detalhes
Verifique se os bancos de dados do Spanner têm a recuperação pontual (PITR) configurada. Para isso, confira se o período de armazenamento da versão está definido como uma duração não padrão.
Proteção contra exclusão de banco de dados do Spanner desativada

Gravidade:
Alta

Tags: segurança, confiabilidade, proteção de dados, CSPR

Recurso: spanner.googleapis.com/Database

Detalhes
Impõe a proteção contra exclusão em bancos de dados do Cloud Spanner para evitar exclusões acidentais, que podem levar à perda irreversível de dados e a uma interrupção significativa do serviço. Essa regra verifica se a flag "enableDropProtection" está ausente ou definida explicitamente como "false", o que deixa o banco de dados vulnerável a remoções não intencionais.
Capacidade insuficiente da instância do Spanner

Gravidade:
Alta

Tags: Reliability, Performance, Capacity Management, CSPR

Recurso: spanner.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Cloud Spanner são provisionadas com pelo menos um nó ou 1.000 unidades de processamento, garantindo capacidade adequada para cargas de trabalho de produção e evitando latência e limitação. As instâncias com capacidade menor podem ter dificuldades durante picos de tráfego, afetando a confiabilidade do aplicativo.
Spanner instance multi region

Gravidade:
Alta

Tags: confiabilidade, disponibilidade, BCDR, CSPR

Recurso: spanner.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Cloud Spanner estão configuradas com uma configuração de instância multirregional para garantir disponibilidade de 99,999% e alta resiliência contra interrupções regionais. As instâncias configuradas com configurações de região única (identificadas pelo prefixo regional na configuração) não atendem a esse padrão de disponibilidade.

Práticas recomendadas do Google Cloud - Cloud Storage (20 resultados)

Política de exclusão reversível do bucket do Cloud Storage ativada

Gravidade:
Alta

Tags: confiabilidade, armazenamento, backup, proteção de dados

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifique se os buckets do Google Cloud Storage têm uma política de exclusão reversível ativada para proteger contra exclusões acidentais ou maliciosas de objetos.
Replicação turbo do bucket do Cloud Storage

Gravidade:
Média

Tags: Reliability, Storage, Replication, DisasterRecovery, BCDR

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifique se os buckets birregionais do GCS têm a replicação turbo ativada para garantir um RPO de 15 minutos de acordo com o SLA do Google Cloud.
Abortar upload de várias partes incompleto do bucket do Cloud Storage

Gravidade:
Baixa

Tags: CloudStorage, Lifecycle, CostOptimization

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se os buckets do Cloud Storage têm uma regra de ciclo de vida configurada para interromper uploads multipartes incompletos. Os uploads incompletos consomem espaço de armazenamento e geram custos indefinidamente se não forem limpos.
Rotação de CMEK do bucket do Cloud Storage

Gravidade:
Alta

Recurso: storage_Bucket_RESOURCE_RELATIONSHIP

Detalhes
Verifique se os buckets do Cloud Storage estão criptografados com uma chave de criptografia gerenciada pelo cliente (CMEK) que tem um período de rotação de <= 90 dias.
Bucket birregional multirregional do Cloud Storage

Gravidade:
Média

Tags: Bucket, Availability, Resilience, DisasterRecovery

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se os buckets do Cloud Storage estão configurados com tipos de local birregionais ou multirregionais. Essa configuração garante alta disponibilidade e resiliência de dados ao distribuir dados em vários locais geográficos. Um tipo de local regional deixa os dados vulneráveis a interrupções de serviço de região única e não atende aos requisitos de alta disponibilidade.
Ciclo de vida de um bucket vazio do Cloud Storage

Gravidade:
Média

Tags: Storage, Bucket, Lifecycle, Reliability, Cost, CSPR, CoNa

Recurso: storage.googleapis.com/Bucket

Detalhes
Identifica buckets do Cloud Storage que têm regras de ciclo de vida definidas, mas em que essas regras não têm uma ação especificada. Uma regra de ciclo de vida sem uma ação é ineficaz e não tem utilidade. As regras de ciclo de vida são projetadas para gerenciar o ciclo de vida dos objetos por meio de ações como exclusão ou transições de classe de armazenamento. Uma ação vazia indica um erro de configuração que precisa ser corrigido. Isso pode ser um sinal de uma configuração incompleta ou de um erro de digitação.
Bucket do Cloud Storage gdpr

Gravidade:
Média

Tags: Storage, Bucket, GDPR, Compliance, Location, EU, DataResidency, CSPR

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se um bucket do Google Cloud Storage está localizado fora dos limites geográficos da União Europeia (UE). Para organizações sujeitas ao GDPR ou regulamentações semelhantes de residência de dados, é fundamental armazenar dados em locais compatíveis. Essa regra identifica buckets em que o campo de local não corresponde a uma multirregião da UE (EU) ou a uma região específica da UE (normalmente começando com EUROPE). Os buckets encontrados fora da região da UE podem precisar de uma revisão de compliance.
Geração de registros do bucket do Cloud Storage ativada

Gravidade:
Média

Tags: Storage, Bucket, Logging, Security, Audit, CSPR, CoNa, MVSP

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se a geração de registros está ativada para o bucket do Cloud Storage. O registro de acesso fornece registros detalhados de solicitações feitas ao bucket, o que é importante para auditoria de segurança e monitoramento do acesso a dados sensíveis.
O bucket do Cloud Storage não tem um rótulo de classificação

Gravidade:
Baixa

Tags: Storage, Bucket, Labels, DataGovernance, Classification, Security, CSPR, CoNa

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se o bucket do Cloud Storage tem um rótulo "classification" configurado. Os marcadores de classificação (por exemplo, público, particular, confidencial) são cruciais para a governança de dados e a aplicação de controles de segurança adequados.
Bucket do Cloud Storage sem rótulos

Gravidade:
Baixa

Tags: Storage, Bucket, Labels, Organization, FinOps, CSPR, CoNa

Recurso: storage.googleapis.com/Bucket

Detalhes
Garante que os buckets do Cloud Storage tenham rótulos aplicados para organização de recursos, alocação de custos e aplicação de políticas.
O bucket do Cloud Storage não tem um rótulo de proprietário

Gravidade:
Baixa

Tags: Storage, Bucket, Labels, Proprietário, Security, CSPR, CoNa

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se o bucket do Cloud Storage tem um rótulo "owner" configurado. Rotular recursos com proprietários ajuda na responsabilidade, na alocação de custos e no gerenciamento de recursos.
Bucket multirregional do Cloud Storage

Gravidade:
Alta

Tags: Reliability, Storage, MultiRegion, HighAvailability, BCDR

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se os buckets do Cloud Storage estão configurados para usar um local multirregional ou birregional para garantir disponibilidade máxima, redundância de dados e proteção contra interrupções regionais de serviço. Os buckets de região única não atendem a esse padrão de alta disponibilidade.
Bucket do Cloud Storage sem CMEK

Gravidade:
Alta

Tags: Storage, Bucket, Encryption, CMEK, Security, CSPR

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se um bucket do Cloud Storage está criptografado usando uma chave de criptografia gerenciada pelo cliente (CMEK). O uso de CMEKs oferece mais controle sobre as chaves de criptografia de dados em comparação com a criptografia gerenciada pelo Google. Com as CMEKs, você gerencia o ciclo de vida da chave, incluindo rotação, controle de acesso e auditoria, no Cloud KMS. Isso geralmente é um requisito para conformidade regulatória ou posturas de segurança aprimoradas em que você precisa de controle direto sobre as chaves de criptografia. Se um bucket não estiver usando uma CMEK, ele vai usar a criptografia gerenciada pelo Google por padrão.
Bucket do Cloud Storage exposto publicamente

Gravidade:
Crítico

Tags: Security, Storage, IAM, CSPR, CoNa, MVSP

Recurso: storage.googleapis.com/Bucket

Detalhes
detecta se um bucket do Cloud Storage está disponível publicamente. Com buckets públicos, qualquer usuário da Internet pode ler ou gravar dados, o que representa um grave risco de vazamento de dados.
Bucket do Cloud Storage com controle de versões sem limpeza do ciclo de vida

Gravidade:
Média

Tags: CloudStorage, Storage, Bucket, Cost, Reliability, CSPR, CoNa, MVSP

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se um bucket do Cloud Storage com o controle de versão de objeto ativado também tem uma regra de ciclo de vida para limpar versões não atuais. Ativar o controle de versões sem uma regra de ciclo de vida pode levar a um crescimento infinito dos custos de armazenamento, já que as versões mais antigas nunca são excluídas. Uma violação ocorre se "versioning.enabled" for verdadeiro, mas nenhuma regra de ciclo de vida tiver a ação "Excluir" combinada com uma condição "daysSinceNoncurrentTime".
Controle de versões do bucket do Cloud Storage desativado

Gravidade:
Média

Tags: Storage, Bucket, Versioning, Reliability, Recovery, CSPR, CoNa

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se o controle de versão de objeto está ativado para o bucket do Cloud Storage. O controle de versões de objetos preserva as versões anteriores de um objeto quando ele é substituído ou excluído, oferecendo uma proteção crucial contra perda ou corrupção acidental de dados. Com o controle de versões ativado, é possível restaurar versões anteriores de objetos, se necessário. Desativar o controle de versões significa que as substituições e exclusões são permanentes.
Prevenção de acesso público do Cloud Storage

Gravidade:
Média

Tags: Security, Storage, Compliance, CSPR, CoNa, MVSP

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se a prevenção de acesso público (PAP) está aplicada aos buckets do Cloud Storage. Ao ativar a PAP, você impede que os buckets sejam disponibilizados ao público por políticas do IAM ou ACLs, protegendo dados sensíveis contra exposição acidental à Internet.
A política de retenção do Cloud Storage não está bloqueada

Gravidade:
Média

Tags: Storage, Bucket, Retention, Policy, Lock, Compliance, DataLoss, DataGovernance, CSPR, CoNa

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se um bucket do Google Cloud Storage tem uma política de retenção configurada e se ela está bloqueada. Uma política de retenção especifica uma duração mínima em que os objetos no bucket precisam ser retidos. O bloqueio da política de retenção a torna permanente e imutável, evitando exclusão ou modificação acidental ou maliciosa. Essa regra verifica duas condições: 1. Se uma política de retenção (retentionPolicy) não estiver configurada no bucket. 2. Se uma política de retenção for configurada, mas não estiver bloqueada (retentionPolicy.isLocked é falso ou está ausente). Se uma dessas condições for verdadeira, a regra vai gerar uma violação. Ter uma política de retenção desbloqueada ou não ter nenhuma política pode aumentar o risco de perda ou adulteração de dados. Uma política de retenção bloqueada é essencial para a conformidade e a governança de dados.
Política de retenção do Cloud Storage não definida

Gravidade:
Média

Tags: Storage, Bucket, Retention, Policy, Lock, Compliance, DataLoss, DataGovernance, CSPR, CoNa

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se um bucket do Google Cloud Storage tem uma política de retenção configurada e se ela está bloqueada. Uma política de retenção especifica uma duração mínima em que os objetos no bucket precisam ser retidos. O bloqueio da política de retenção a torna permanente e imutável, evitando exclusão ou modificação acidental ou maliciosa. Essa regra verifica duas condições: 1. Se uma política de retenção (retentionPolicy) não estiver configurada no bucket. 2. Se uma política de retenção for configurada, mas não estiver bloqueada (retentionPolicy.isLocked é falso ou está ausente). Se uma dessas condições for verdadeira, a regra vai gerar uma violação. Ter uma política de retenção desbloqueada ou não ter nenhuma política pode aumentar o risco de perda ou adulteração de dados. Uma política de retenção bloqueada é essencial para a conformidade e a governança de dados.
Acesso uniforme a buckets do Cloud Storage

Gravidade:
Média

Tags: armazenamento, bucket, segurança, CSPR

Recurso: storage.googleapis.com/Bucket

Detalhes
Verifica se o acesso uniforme no nível do bucket (UBLA, na sigla em inglês) está ativado para o bucket do Cloud Storage. Ao ativar a UBLA, você tem uma maneira simplificada e consistente de gerenciar permissões usando papéis do IAM no nível do bucket, em vez de gerenciar ACLs de objetos individuais. Isso geralmente é recomendado para melhorar a segurança e o gerenciamento. Com a UBLA, você usa apenas o IAM para controlar o acesso, facilitando a auditoria e o entendimento das permissões. Desativar a UBLA significa que você está usando uma combinação de IAM e ACLs de objeto, o que pode se tornar complexo e difícil de gerenciar.

Práticas recomendadas do Google Cloud: Cloud VPN (4 resultados)

Compute vpn tunnel bgp enabled

Gravidade:
Média

Tags: confiabilidade, rede, VPN, BGP, roteamento

Recurso: compute.googleapis.com/VpnTunnel

Detalhes
Verifica se os túneis de VPN do Compute Engine têm o roteamento BGP ativado (ou seja, se estão associados a um Cloud Router). O roteamento estático para túneis VPN não tem recursos de failover dinâmico e não é recomendado para cargas de trabalho de produção de alta disponibilidade.
Compute vpngateway ha

Gravidade:
Alta

Tags: VPN, Rede, HighAvailability, Reliability

Recurso: compute.googleapis.com/TargetVpnGateway

Detalhes
Verifica se os gateways do Cloud VPN estão usando a VPN clássica descontinuada (TargetVpnGateway) em vez da VPN de alta disponibilidade (HA). A VPN clássica não oferece um SLA de 99,99%.
Project multiregion vpngateways

Gravidade:
Alta

Tags: confiabilidade, rede, VPN, alta disponibilidade, BCDR

Recurso: cloudresourcemanager_Project_RESOURCE_VPNGATEWAY

Detalhes
Verifica se um projeto tem gateways de VPN implantados em pelo menos duas regiões diferentes. A implantação do gateway de VPN multirregional garante redundância de rede híbrida e protege contra interrupções regionais.
Project regional vpntunnels

Gravidade:
Alta

Tags: confiabilidade, rede, VPN, alta disponibilidade, BCDR

Recurso: cloudresourcemanager_Project_RESOURCE_VPNTUNNEL

Detalhes
Verifica se, para cada região em que os túneis VPN são implantados em um projeto, há pelo menos dois túneis VPN configurados. A redundância do túnel VPN regional garante a conformidade com o SLA de 99, 99%, o failover sem problemas e uma conectividade híbrida robusta.

Práticas recomendadas do Google Cloud: Composer (1 resultado)

O programador do ambiente do Composer tem

Gravidade:
Alta

Tags: confiabilidade, alta disponibilidade, Composer, Airflow, CoNa

Recurso: composer.googleapis.com/Environment

Detalhes
Verifica se os ambientes do Cloud Composer estão configurados com pelo menos dois programadores do Airflow para garantir alta disponibilidade. Executar com um único programador apresenta risco de interrupção do fluxo de trabalho durante falhas ou manutenção.

Práticas recomendadas do Google Cloud: Compute Engine (95 resultados)

Mínimo de réplicas redundantes do escalonador automático

Gravidade:
Alta

Tags: Reliability, Compute, Autoscaling, HighAvailability

Recurso: compute.googleapis.com/Autoscaler

Detalhes
Valida se os autoescaladores do Compute Engine têm minNumReplicas configurado como pelo menos 2 para garantir a disponibilidade de instâncias redundantes durante eventos de redução de escala.
Nível de rede do endereço de computação

Gravidade:
Alta

Tags: Reliability, Network, NetworkTier, IPAddress, Performance

Recurso: compute.googleapis.com/Address

Detalhes
Verifica se os endereços IP externos estão configurados para usar o nível de rede Premium. O nível de rede Premium encaminha o tráfego pela rede de backbone global do Google em vez da Internet pública, garantindo alta disponibilidade, menos saltos de roteamento e desempenho superior.
Redes automáticas de computação ativadas

Gravidade:
Baixa

Tags: Compute, Network, VPC, AutoMode, Subnets, Rede, Configuration, CSPR

Recurso: compute.googleapis.com/Network

Detalhes
Verifica se uma rede VPC do Compute Engine tem o recurso autoCreateSubnetworks ativado. As redes VPC de modo automático criam uma sub-rede em cada região do Google Cloud, o que pode não estar alinhado com as estratégias desejadas de segmentação de rede ou gerenciamento de endereços IP. Embora sejam convenientes para a configuração, as VPCs no modo personalizado oferecem um controle mais granular. Essa regra identifica redes em que autoCreateSubnetworks está definido explicitamente como "true". Recomendamos usar redes VPC de modo personalizado para ter mais controle e segurança.
Evitar pools de destino do Compute

Gravidade:
Alta

Tags: Compute, LoadBalancing, Legacy, Migration, Reliability, CSPR, CoNa

Recurso: compute.googleapis.com/TargetPool

Detalhes
Detecta o uso de pools de destino legados do Compute Engine. Os pools de destino foram descontinuados para cenários modernos de balanceamento de carga em favor dos serviços de back-end, que oferecem recursos superiores de verificação de integridade, escalonamento automático e multirregião. A presença de um pool de destino indica uma configuração legada que precisa ser migrada para garantir a confiabilidade do aplicativo e a paridade de recursos.
Registro em registros do serviço de back-end do Compute

Gravidade:
Média

Tags: Compute, BackendService, Logging, Security, Auditing, Monitoring, LoadBalancing, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/BackendService

Detalhes
Verifica se a geração de registros está ativada para um serviço de back-end do Compute Engine. O registro em log do serviço de back-end registra solicitações processadas pelo balanceador de carga, oferecendo visibilidade essencial para monitorar o tráfego, resolver erros, analisar a segurança e fazer auditorias. Essa regra examina o campo "logConfig" na configuração dos serviços de back-end. Uma violação será gerada se logConfig estiver ausente, se logConfig.enable estiver ausente ou se estiver definido como "false".
Serviço de back-end do Compute sem verificação de integridade

Gravidade:
Alta

Tags: Reliability, Compute, LoadBalancing, CoNa

Recurso: compute.googleapis.com/BackendService

Detalhes
Detecta serviços de back-end do balanceador de carga que não têm verificações de integridade configuradas. As verificações de integridade são essenciais para rotear o tráfego de instâncias não íntegras e evitar interrupções no serviço.
Compute be bucket cdn

Gravidade:
Baixa

Tags: Compute, BackendBucket, CDN, Performance, Caching, CSPR

Recurso: compute.googleapis.com/BackendBucket

Detalhes
Verifica se o Cloud CDN está ativado para um bucket de back-end do Compute Engine. O Cloud CDN armazena em cache o conteúdo mais perto dos usuários, melhorando o desempenho e reduzindo a carga do servidor de origem. Essa regra examina o campo "enableCDN" na configuração dos buckets de back-end. Se "enableCDN" for falso ou estiver ausente, isso indica que o Cloud CDN não está ativado, e uma violação será gerada.
Política de segurança de borda do bucket do Compute

Gravidade:
Alta

Tags: Compute, BackendBucket, Security, EdgeSecurityPolicy, CloudArmor, External, CSPR

Recurso: compute.googleapis.com/BackendBucket

Detalhes
Verifica se uma política de segurança de borda está associada a um bucket de back-end do Compute Engine. As políticas de segurança de borda (parte do Cloud Armor) oferecem recursos de segurança avançados, como proteção contra DDoS e WAF, para aplicativos distribuídos globalmente. Para buckets de back-end que veiculam conteúdo por um balanceador de carga externo, associar uma política de segurança de borda é uma prática recomendada de segurança. Essa regra verifica a presença do campo "edgeSecurityPolicy" na configuração dos buckets de back-end. Se "edgeSecurityPolicy" estiver ausente ou for nulo, isso indica que nenhuma política de segurança de borda está associada, e uma violação será gerada.
Computar a diminuição da conexão

Gravidade:
Média

Tags: Compute, BackendService, Reliability, Availability, LoadBalancing

Recurso: compute.googleapis.com/BackendService

Detalhes
Verifica se a diminuição da conexão está ativada para os serviços de back-end do Compute Engine. A diminuição da conexão minimiza a interrupção para os usuários, mantendo as conexões abertas por um período especificado quando as instâncias são removidas ou ficam em estado não íntegro. Essa regra verifica se "connectionDraining.drainingTimeoutSec" está definido como um valor maior que 0.
Compute be regional service ext sec policy

Gravidade:
Alta

Tags: Compute, RegionBackendService, Security, LoadBalancing, External, SecurityPolicy, CSPR

Recurso: compute.googleapis.com/RegionBackendService

Detalhes
Verifica se um serviço de back-end externo regional do Compute Engine tem uma política de segurança configurada. Para balanceadores de carga externos, é fundamental ter uma política de segurança para proteger contra ameaças. Esta regra verifica o seguinte: 1. loadBalancingScheme Verifica se o serviço de back-end é usado para balanceamento de carga externo. Ele verifica EXTERNAL e EXTERNAL_MANAGED. 2. securityPolicy: verifica se uma política de segurança está configurada. Os serviços de back-end usam securityPolicy, não edgeSecurityPolicy. Uma violação será gerada se o loadBalancingScheme indicar um serviço externo e o securityPolicy estiver ausente ou nulo.
Compute be regional service insecure protocol http

Gravidade:
Média

Tags: Compute, RegionBackendService, Security, Protocol, Encryption, HTTP, TCP, HTTPS, CSPR

Recurso: compute.googleapis.com/RegionBackendService

Detalhes
Verifica se um serviço de back-end do Compute Engine está configurado para usar os protocolos HTTP ou TCP não criptografados. Usar HTTP ou TCP simples para conexões de back-end pode expor o tráfego de aplicativos, incluindo dados sensíveis, na rede interna. É altamente recomendável usar protocolos seguros, como HTTPS, SSL ou HTTP/2, ou protocolos de proxy adequados (como TCP_PROXY) para garantir a confidencialidade e a integridade dos dados. Essa regra sinaliza serviços de back-end em que o campo de protocolo está definido como HTTP ou TCP.
Compute be regional service insecure protocol tcp

Gravidade:
Média

Tags: Compute, RegionBackendService, Security, Protocol, Encryption, HTTP, TCP, HTTPS, CSPR

Recurso: compute.googleapis.com/RegionBackendService

Detalhes
Verifica se um serviço de back-end do Compute Engine está configurado para usar os protocolos HTTP ou TCP não criptografados. Usar HTTP ou TCP simples para conexões de back-end pode expor o tráfego de aplicativos, incluindo dados sensíveis, na rede interna. É altamente recomendável usar protocolos seguros, como HTTPS, SSL ou HTTP/2, ou protocolos de proxy adequados (como TCP_PROXY) para garantir a confidencialidade e a integridade dos dados. Essa regra sinaliza serviços de back-end em que o campo de protocolo está definido como HTTP ou TCP.
Compute be service cdn

Gravidade:
Baixa

Tags: Compute, BackendService, CDN, Performance, Caching, CSPR

Recurso: compute.googleapis.com/BackendService

Detalhes
Verifica se o Cloud CDN está ativado para um serviço de back-end do Compute Engine. O Cloud CDN armazena em cache o conteúdo mais perto dos usuários, melhorando o desempenho e reduzindo a carga do servidor de origem. Essa regra examina o campo "enableCDN" na configuração dos serviços de back-end. Se "enableCDN" for falso ou estiver ausente, isso indica que o Cloud CDN não está ativado, e uma violação será gerada.
Compute be service ext sec policy

Gravidade:
Alta

Tags: Compute, BackendService, Security, LoadBalancing, External, SecurityPolicy, CSPR

Recurso: compute.googleapis.com/BackendService

Detalhes
Verifica se um serviço de back-end externo do Compute Engine tem uma política de segurança configurada. Para balanceadores de carga externos, é fundamental ter uma política de segurança para proteger contra ameaças. Esta regra verifica o seguinte: 1. loadBalancingScheme Verifica se o serviço de back-end é usado para balanceamento de carga externo. Ele verifica EXTERNAL e EXTERNAL_MANAGED. 2. securityPolicy: verifica se uma política de segurança está configurada. Os serviços de back-end usam securityPolicy, não edgeSecurityPolicy. Uma violação será gerada se o loadBalancingScheme indicar um serviço externo e o securityPolicy estiver ausente ou nulo.
Compute be service iap over http

Gravidade:
Alta

Tags: Compute, BackendService, IAP, Security, Encryption, HTTP, HTTPS, CSPR

Recurso: compute.googleapis.com/BackendService

Detalhes
Verifica se um serviço de back-end do Compute Engine tem o Identity-Aware Proxy (IAP) ativado ao usar o protocolo HTTP não criptografado. A ativação da IAP adiciona autenticação e autorização, mas se a conexão entre o balanceador de carga e o serviço de back-end usar HTTP simples, o tráfego (incluindo dados de aplicativos ou informações de sessão potencialmente sensíveis) não será criptografado na rede interna. Isso representa um risco à segurança. Essa regra verifica se iap.enabled é "true" E o protocolo é HTTP. É altamente recomendável usar HTTPS para serviços de back-end quando o IAP está ativado para garantir a criptografia de ponta a ponta.
Compute be service insecure protocol

Gravidade:
Média

Tags: Compute, BackendService, Security, Protocol, Encryption, HTTP, TCP, HTTPS, CSPR

Recurso: compute.googleapis.com/BackendService

Detalhes
Verifica se um serviço de back-end do Compute Engine está configurado para usar os protocolos HTTP ou TCP não criptografados. Usar HTTP ou TCP simples para conexões de back-end pode expor o tráfego de aplicativos, incluindo dados sensíveis, na rede interna. É altamente recomendável usar protocolos seguros, como HTTPS, SSL ou HTTP/2, ou protocolos de proxy adequados (como TCP_PROXY) para garantir a confidencialidade e a integridade dos dados. Essa regra sinaliza serviços de back-end em que o campo de protocolo está definido como HTTP ou TCP.
Compute cloud armor attached

Gravidade:
Média

Tags: segurança, computação, rede, Cloud Armor, compliance, CSPR

Recurso: compute_Instance_RESOURCE_7

Detalhes
Marca instâncias de VM do Compute Engine com IPs públicos que não têm o Cloud Armor anexado.
Conta de serviço padrão do Compute usada

Gravidade:
Média

Tags: Compute, Security, Service Account, Security, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Detecta instâncias do Compute Engine que estão usando a conta de serviço padrão do Compute Engine. A conta de serviço padrão é criada automaticamente e tem permissões amplas (papel de editor) por padrão, o que viola o princípio de privilégio mínimo. É uma prática recomendada de segurança criar e usar contas de serviço personalizadas com as permissões mínimas necessárias para cada instância. O uso da conta de serviço padrão aumenta o risco de acesso não autorizado e escalonamento de privilégios se uma instância for comprometida.
CSEK do disco do Compute desativada

Gravidade:
Média

Tags: Compute, Disk, Encryption, CSEK, Security, sha256, CSPR

Recurso: compute.googleapis.com/Disk

Detalhes
Verifica se um disco do Compute Engine está criptografado usando chaves de criptografia fornecidas pelo cliente (CSEK). Com o CSEK, você fornece sua própria chave de criptografia, e o Google Cloud usa essa chave, representada pelo hash SHA256, para proteger seus dados. Essa regra examina o campo "diskEncryptionKey" e, especificamente, o campo "sha256" dentro dele. Se "diskEncryptionKey" ou "sha256" estiver ausente, vazio ou nulo, isso significa que a CSEK não está em uso, o que gera uma violação.
HDD do banco de dados do disco do Compute

Gravidade:
Média

Tags: Performance, Compute, Disk, Storage, CoNa

Recurso: compute.googleapis.com/Disk

Detalhes
Detecta discos permanentes do tipo "pd-standard" (HDD) anexados a instâncias de VM configuradas como bancos de dados. Os bancos de dados exigem IOPS altos e baixa latência, o que os HDDs padrão não podem oferecer, causando gargalos de desempenho.
Disco de computação sem programação de snapshot

Gravidade:
Média

Tags: confiabilidade, computação, disco, backup, CoNa

Recurso: compute.googleapis.com/Disk

Detalhes
Detecta discos permanentes do Compute Engine que não têm políticas de programação de snapshots anexadas. As programações de snapshot automatizam o backup dos dados do disco, o que é essencial para a recuperação de desastres e a prevenção de perda de dados.
Verificação regional do disco do Compute

Gravidade:
Alta

Tags: confiabilidade, alta disponibilidade, computação, disco, armazenamento

Recurso: compute.googleapis.com/Disk

Detalhes
Verifique se os discos permanentes do Compute Engine estão configurados como discos permanentes regionais para oferecer alta disponibilidade e proteção contra interrupções zonais. Os discos regionais replicam dados de maneira síncrona entre duas zonas na mesma região, garantindo a acessibilidade mesmo que uma zona específica fique indisponível. Essa regra verifica se o campo "replicaZones" lista várias zonas.
Firewall do Compute Engine para todos os protocolos da Internet

Gravidade:
Média

Tags: rede, segurança, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/Firewall

Detalhes
Uma regra de firewall que permite o tráfego da Internet em todos os protocolos amplia significativamente a superfície de ataque da rede, aumentando o risco de acesso não autorizado, possíveis interrupções de serviço e incidentes de segurança dispendiosos.
Geração de registros de firewall do Compute

Gravidade:
Média

Tags: Compute, Firewall, VPC, Logging, Security, Auditing, Network, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/Firewall

Detalhes
Verifica se a geração de registros está ativada para uma regra de firewall da VPC. A geração de registros de regras de firewall registra as conexões que correspondem à regra, fornecendo insights valiosos para auditoria de segurança, solução de problemas de conectividade de rede e compreensão dos padrões de tráfego. Essa regra examina o campo "logConfig" na configuração das regras de firewall. Uma violação será gerada se logConfig estiver ausente, se logConfig.enable estiver ausente ou se estiver definido como "false".
Portas de gerenciamento de firewall do Compute abertas para a Internet

Gravidade:
Alta

Tags: Compute, Security, Network, Firewall, SSH, RDP, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/Firewall

Detalhes
Verifica se as regras de firewall permitem acesso público irrestrito (0.0.0.0/0 ou
Política de firewall do Compute para todos os protocolos da Internet

Gravidade:
Média

Tags: rede, segurança, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/FirewallPolicy

Detalhes
Essa regra identifica configurações de firewall excessivamente permissivas que permitem a entrada irrestrita da Internet em todos os protocolos, ajudando a reduzir a superfície de ataque das redes e a proteger contra acesso não autorizado.
Geração de registros da política de firewall do Compute

Gravidade:
Média

Tags: Compute, FirewallPolicy, Logging, Security, Auditing, Network, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/FirewallPolicy

Detalhes
Verifica se uma política de firewall do Compute Engine contém regras ativadas sem geração de registros. O registro em log do firewall registra conexões que correspondem a regras, o que é essencial para auditoria e solução de problemas. Essa política itera a matriz de regras incorporada ao recurso FirewallPolicy. Uma violação é gerada se a política de firewall tiver pelo menos uma regra em que "disabled" não seja "true" (ou seja, a regra está ativada) E "enableLogging" não seja "true" (ou seja, a geração de registros está desativada), considerando que campos booleanos ausentes geralmente têm o valor padrão "false". As regras com a prioridade mais alta (normalmente as padrão) são excluídas.
Portas de gerenciamento de políticas de firewall do Compute Engine abertas para a Internet

Gravidade:
Alta

Tags: Compute, Security, Network, Firewall, SSH, RDP, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/FirewallPolicy

Detalhes
Verifica se as políticas de firewall permitem acesso público irrestrito (0.0.0.0/0 ou
Entrada pública da política de firewall do Compute

Gravidade:
Alta

Tags: Compute, FirewallPolicy, Security, Network, PublicAccess, Entrada, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/FirewallPolicy

Detalhes
Verifica se uma política de firewall do Compute Engine contém regras de entrada ativadas que permitem o tráfego de qualquer endereço IP de origem (0.0.0.0/0 para IPv4 ou /0 para IPv6). Essa política itera pela matriz de regras incorporada nos dados do recurso FirewallPolicy. Permitir o tráfego de entrada público pode ser um risco de segurança significativo se não for intencional. Essa regra sinaliza a política inteira se houver pelo menos uma regra desse tipo.
Política de firewall do Compute protocolo incomum da Internet

Gravidade:
Média

Tags: rede, segurança, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/FirewallPolicy

Detalhes
Identifica regras de firewall que expõem protocolos incomuns voltados para a Internet, permitindo a redução proativa da superfície de ataque para aumentar a segurança e evitar comprometimentos dispendiosos do sistema.
Compute firewall policy unusual tcp ports internet

Gravidade:
Média

Tags: rede, segurança, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/FirewallPolicy

Detalhes
Melhora a segurança ao identificar regras de firewall que concedem acesso irrestrito à Internet pública a portas TCP comumente visadas (por exemplo, 20, 21, 22, 25, 53, 80, 110, 143, 443), permitindo a redução proativa da superfície de ataque e a defesa contra exploração não autorizada.
Política de firewall do Compute Engine portas UDP incomuns internet

Gravidade:
Média

Tags: rede, segurança, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/FirewallPolicy

Detalhes
Identifica políticas de firewall que expõem à Internet portas UDP sensíveis ou normalmente associadas ao TCP, permitindo reduzir a superfície de ataque e aumentar a confiabilidade do serviço ao evitar possíveis erros de configuração ou exploits.
Firewall de computação exposto publicamente à Internet

Gravidade:
Alta

Tags: Compute, Security, Network, Firewall, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/Firewall

Detalhes
Detecta regras de firewall do Compute Engine expostas publicamente. Uma regra de firewall é considerada exposta publicamente se permitir o tráfego de qualquer endereço IP (0.0.0.0/0 para IPv4 ou /0 para IPv6) para regras de entrada ou para qualquer endereço IP para regras de saída. Regras de firewall expostas publicamente aumentam significativamente a superfície de ataque e o risco de acesso não autorizado. As regras de firewall precisam ser configuradas com o princípio de privilégio mínimo, permitindo apenas o tráfego necessário de/para origens/destinos específicos e confiáveis. Essa regra verifica se há regras de entrada e saída com intervalos de origem ou destino excessivamente permissivos, incluindo casos em que os intervalos estão vazios ou nulos.
Protocolos incomuns de firewall do Compute na Internet

Gravidade:
Média

Tags: rede, segurança, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/Firewall

Detalhes
Reduz sua superfície de ataque ao identificar regras de firewall de entrada ativas que expõem protocolos de rede incomuns (não TCP, UDP ou ICMP) à Internet, evitando possíveis violações por serviços não monitorados.
Compute firewall unusual tcp ports internet

Gravidade:
Média

Tags: rede, segurança, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/Firewall

Detalhes
Reduza a superfície de ataque à Internet dos seus sistemas identificando e revisando as regras de firewall que expõem uma lista selecionada de portas TCP potencialmente vulneráveis (20,21,22,25,53,80,110,143,443,587,989,990,995,1194,3389) ao acesso público.
Compute firewall unusual udp ports internet

Gravidade:
Média

Tags: rede, segurança, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/Firewall

Detalhes
Essa regra melhora a segurança da rede ao identificar regras de firewall expostas publicamente que permitem portas UDP incomuns 20, 21, 22, 25, 53, 80, 110, 143, 443, 587, 989, 990, 995 e 1194. Assim, ela minimiza a superfície de ataque e evita possíveis explorações de serviço que podem afetar a confiabilidade e o desempenho ou gerar custos inesperados.
Firewall de computação usando tags de rede

Gravidade:
Média

Tags: Compute, Network, Firewall, Tags, Security, CSPR

Recurso: compute.googleapis.com/Firewall

Detalhes
Sinaliza regras de firewall da VPC que usam tags de rede. As tags de rede são menos seguras do que as tags seguras controladas pelo IAM para segmentação de firewall.
Acesso privado do Google Compute

Gravidade:
Média

Tags: Compute, Subnet, Subnetwork, VPC, PrivateGoogleAccess, Rede, Security, CSPR, CoNa

Recurso: compute.googleapis.com/Subnetwork

Detalhes
Verifica se o Acesso privado do Google (PGA) está desativado para uma sub-rede do Compute Engine. O PGA permite que instâncias de VM na sub-rede sem endereços IP externo acessem as APIs e os serviços do Google usando a rede interna do Google, aumentando a segurança e reduzindo os custos de saída. Se o PGA estiver desativado, as VMs sem IPs externos não poderão acessar esses serviços diretamente. Essa regra examina o campo "privateIpGoogleAccess" na configuração da sub-rede. Uma violação será gerada se "privateIpGoogleAccess" estiver ausente ou definido como "false".
Balanceador de carga HTTP do Compute

Gravidade:
Média

Tags: rede, segurança, CSPR

Recurso: compute.googleapis.com/TargetHttpProxy

Detalhes
Essa regra identifica balanceadores de carga HTTP, que transmitem dados não criptografados, expondo informações sensíveis, prejudicando a confiança do cliente e, muitas vezes, violando mandatos de compliance. Isso destaca a necessidade do HTTPS para comunicações seguras, particulares e confiáveis.
Compute image old not deprecated

Gravidade:
Média

Tags: Compute, Images, Lifecycle, FinOps, Cost, CSPR

Recurso: compute.googleapis.com/Image

Detalhes
Detecta imagens do Compute Engine com mais de 90 dias que não estão em um estado descontinuado. Imagens antigas e não usadas podem se acumular, aumentando os custos de armazenamento e representando riscos de segurança se contiverem software ou vulnerabilidades desatualizados. É recomendável revisar e descontinuar ou excluir regularmente imagens antigas que não são mais necessárias. Essa regra sinaliza imagens com mais de 90 dias que não foram descontinuadas, solicitando uma revisão do status e possível remoção delas.
Reinicialização automática de instâncias de computação

Gravidade:
Alta

Tags: Compute, Reliability, Availability, HighAvailability, Resiliency, CSPR, CoNa

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se o recurso de reinicialização automática está ativado para instâncias do Compute Engine. A reinicialização automática garante que, se uma instância for encerrada por um evento não iniciado pelo usuário (como uma falha de hardware), ela será reiniciada automaticamente, mantendo a alta disponibilidade.
Instância de computação na verificação de MIG

Gravidade:
Média

Tags: Reliability, Compute, HighAvailability, Resiliency

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se a instância de VM do Compute faz parte de um grupo gerenciado de instâncias (MIG). As VMs independentes não são resilientes a falhas de host e não têm recuperação automática.
Migração em tempo real de instâncias de computação

Gravidade:
Alta

Tags: confiabilidade, disponibilidade, computação, manutenção

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Compute Engine estão configuradas para migração em tempo real. A migração em tempo real mantém as instâncias em execução durante eventos do sistema host, como atualizações de software ou hardware, movendo-as para outro host. As instâncias não definidas como MIGRATE (por exemplo, definidas como TERMINATE) serão interrompidas durante a manutenção, o que pode causar inatividade do aplicativo.
Conta de serviço não padrão da instância de computação

Gravidade:
Média

Tags: Compute, IAM, Segurança, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Compute Engine não usam a conta de serviço padrão do Compute.
Rede legada do Compute

Gravidade:
Baixa

Tags: Compute, Network, VPC, AutoMode, Subnets, Rede, Configuration, CSPR

Recurso: compute.googleapis.com/Network

Detalhes
Identifica redes VPC legadas do Compute Engine. As redes legadas não têm suporte a sub-redes, usam um único intervalo de IP global e não são compatíveis com recursos modernos da VPC. Recomendamos migrar para redes VPC de modo personalizado para ativar sub-redes, melhorar a segmentação da rede e reduzir a superfície de ataque.
CMEK da imagem de máquina de computação desativada

Gravidade:
Alta

Tags: Security, Encryption, CMEK, Compute, Machine Image, NIST-800-53-SC-28

Recurso: compute.googleapis.com/MachineImage

Detalhes
Garante que as imagens de máquina do Compute Engine sejam criptografadas com uma chave de criptografia gerenciada pelo cliente (CMEK), oferecendo controle sobre as chaves usadas para proteger os dados da imagem em repouso. Essa configuração é essencial para atender a requisitos rigorosos de compliance e aumentar a segurança de dados. Uma configuração incorreta ocorre se o campo machineImageEncryptionKey.kmsKeyName estiver ausente ou vazio.
Verificação de integridade da migração do Compute desativada

Gravidade:
Média

Tags: compute, Security, CSPR

Recurso: compute.googleapis.com/InstanceGroupManager

Detalhes
Identifica grupos gerenciados de instâncias (MIGs) que não têm uma verificação de integridade de recuperação automática configurada. Configurar verificações de integridade é uma prática recomendada operacional essencial para garantir a recuperação automática de VMs em caso de falhas de aplicativos.
Verificação regional da migração do Compute

Gravidade:
Alta

Tags: Compute, Reliability, Availability, HighAvailability, MIG

Recurso: compute.googleapis.com/InstanceGroupManager

Detalhes
Verifica se um grupo gerenciado de instâncias (MIG) do Compute Engine está configurado como zonal. Os MIGs regionais são recomendados para alta disponibilidade porque distribuem instâncias de VM em várias zonas de uma região, protegendo as cargas de trabalho contra falhas de uma única zona. Essa regra identifica MIGs em que a configuração está vinculada a uma zona específica, em vez de uma região.
Calcular rótulos ausentes

Gravidade:
Baixa

Tags: Compute, VM, Instance, Labels, Organization, Management, FinOps, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Garante que as instâncias do Compute Engine tenham rótulos aplicados para melhor organização de recursos, alocação de custos e recursos de filtragem.
Calcular tags de recursos ausentes

Gravidade:
Média

Tags: Compute, VM, Tags, FinOps, Organization, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/Instance

Detalhes
Garante que as instâncias do Compute Engine tenham tags do Resource Manager aplicadas pelo campo "params.resourceManagerTags" para governança, aplicação de políticas e análise de custos consistentes.
Calcular tags ausentes

Gravidade:
Média

Tags: Compute, Network, Firewall, Tags, FinOps, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Garante que as instâncias do Compute Engine tenham tags de rede aplicadas para segmentação de rede e direcionamento eficaz de regras de firewall.
Registro de NAT do Compute desativado

Gravidade:
Média

Tags: rede, geração de registros, segurança

Recurso: compute.googleapis.com/Router

Detalhes
Ativar a geração de registros do Cloud NAT fornece telemetria essencial para solução de problemas rápida e análise de segurança, aumentando a confiabilidade da rede e a visibilidade operacional.
Calcular somente erros de registro do NAT

Gravidade:
Média

Tags: rede, geração de registros, segurança

Recurso: compute.googleapis.com/Router

Detalhes
Ative o registro abrangente do Cloud NAT para traduções e erros. Isso melhora significativamente os recursos de solução de problemas e a visibilidade operacional, já que o registro somente de erros limita insights de diagnóstico cruciais para confiabilidade da rede e análise de segurança.
Registro do roteador NAT do Compute

Gravidade:
Média

Tags: Compute, Router, NAT, Logging, Monitoring, Security, Rede, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/Router

Detalhes
Verifica se o registro em log está desativado para configurações do Cloud NAT em um roteador do Compute Engine. A geração de registros do Cloud NAT oferece visibilidade das traduções e erros de NAT, o que é fundamental para monitoramento, solução de problemas e análise de segurança. Essa regra itera por todas as configurações NAT (matriz "nats") associadas a um roteador. Se uma configuração NAT for encontrada sem o campo "logConfig.enable" ou definida como "false", uma violação será gerada para o roteador.
Compute neg zonal

Gravidade:
Média

Tags: Reliability, new-rule, CoNa

Recurso: compute.googleapis.com/NetworkEndpointGroup

Detalhes
Verifica a existência de grupos de endpoints de rede (NEGs) zonais. As NEGs zonais restringem o tráfego a uma única zona de disponibilidade, criando um possível ponto único de falha durante interrupções zonais. Essa regra identifica esses recursos para garantir que o uso deles seja intencional e que eles façam parte de uma estratégia multizonal mais ampla de alta disponibilidade.
Criação automática de sub-rede da rede de computação

Gravidade:
Média

Tags: rede, segurança

Recurso: compute.googleapis.com/Network

Detalhes
Desative as sub-redes criadas automaticamente para aplicar um design de rede intencional, aumentando a segurança ao evitar sub-redes padrão, potencialmente inseguras, em todas as regiões e otimizando os custos ao evitar a alocação desnecessária de recursos.
Padrão de rede do Compute

Gravidade:
Média

Tags: Compute, Network, VPC, Default, Security, Rede, CSPR

Recurso: compute.googleapis.com/Network

Detalhes
Verifica a existência da rede padrão do Compute Engine. A rede padrão é criada automaticamente em novos projetos (a menos que seja desativada) e vem com regras de firewall permissivas (por exemplo, allowinternal, allowrdp, allowssh de qualquer lugar). Embora seja conveniente para a configuração inicial, o uso da rede padrão para cargas de trabalho de produção não é recomendado devido à estrutura simples e às permissões padrão muito amplas. Recomendamos criar redes VPC personalizadas com regras de firewall mais restritivas e criadas para fins específicos. Essa regra identifica redes chamadas "default".
Roteamento dinâmico global da rede de computação

Gravidade:
Alta

Tags: Network, Reliability, HighAvailability, HybridConnectivity

Recurso: compute.googleapis.com/Network

Detalhes
Verifica se a rede VPC está configurada com roteamento dinâmico global. O roteamento dinâmico global permite que os Cloud Routers aprendam e anunciem rotas de todas as regiões, facilitando o failover entre regiões e simplificando o gerenciamento de rede para ambientes híbridos. Essa regra identifica redes em que "routingConfig.routingMode" não está definido explicitamente como "GLOBAL".
Computar sem IP público

Gravidade:
Alta

Tags: segurança, computação, IP público, compliance, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Detecta instâncias de VM do Compute Engine configuradas com endereços IP públicos (externos). Expor VMs diretamente à Internet aumenta a vulnerabilidade a acesso não autorizado e ataques de força bruta. As VMs precisam usar IPs particulares e acessar a Internet pelo Cloud NAT ou pelo Identity-Aware Proxy (IAP), a menos que o acesso público seja explicitamente necessário.
Nível de rede padrão do projeto de computação premium

Gravidade:
Média

Tags: Reliability, Network, NetworkTier

Recurso: compute.googleapis.com/Project

Detalhes
Verifica se o nível de serviço de rede padrão do projeto está definido como PREMIUM. Usar o nível STANDARD como padrão pode reduzir o desempenho e a confiabilidade do tráfego de rede. O nível PREMIUM usa a rede global do Google para um roteamento ideal.
Calcular o registro do serviço de back-end regional

Gravidade:
Média

Tags: Compute, RegionBackendService, Logging, Security, Auditing, Monitoring, LoadBalancing, CSPR, CoNa, MVSP

Recurso: compute.googleapis.com/RegionBackendService

Detalhes
Verifica se a geração de registros está ativada para um serviço de back-end do Compute Engine. O registro em log do serviço de back-end registra solicitações processadas pelo balanceador de carga, oferecendo visibilidade essencial para monitorar o tráfego, resolver erros, analisar a segurança e fazer auditorias. Essa regra examina o campo "logConfig" na configuração dos serviços de back-end. Uma violação será gerada se logConfig estiver ausente, se logConfig.enable estiver ausente ou se estiver definido como "false".
Manter snapshots de retenção longa de snapshots do Compute

Gravidade:
Média

Tags: Compute, Snapshots, Resource Policies, DataRetention, Reliability, FinOps, CSPR, CoNa

Recurso: compute.googleapis.com/ResourcePolicy

Detalhes
Detecta programações de snapshots do Compute Engine (em políticas de recursos) que têm um período de armazenamento superior a 365 dias e estão configuradas para manter snapshots automáticos mesmo depois que o disco de origem é excluído (onSourceDiskDelete definido como KEEP_AUTO_SNAPSHOTS). Embora longos períodos de retenção e a manutenção de snapshots após a exclusão do disco de origem possam ser válidos em cenários específicos, essa combinação pode gerar custos de armazenamento significativos e reter dados por mais tempo do que o necessário. Essa regra sinaliza essas configurações para revisão e garante que elas estejam alinhadas às políticas de retenção de dados e às metas de otimização de custos.
Snapshot do Compute sem limpeza do convidado

Gravidade:
Média

Tags: Compute, Snapshots, Resource Policies, Backup, Reliability, CSPR

Recurso: compute.googleapis.com/ResourcePolicy

Detalhes
Detecta programações de snapshots do Compute Engine (em políticas de recursos) que não têm snapshots consistentes com o aplicativo ativados (ou seja, guestFlush não está definido como "true"). Os snapshots consistentes com o aplicativo garantem que os dados no disco estejam em um estado consistente no momento do snapshot, o que é crucial para backups e recuperação confiáveis, especialmente para aplicativos como bancos de dados. Sem o guestFlush, o snapshot pode capturar dados em um estado inconsistente, o que pode levar à corrupção de dados ou backups irrecuperáveis. Essa regra sinaliza programações de snapshots sem consistência de aplicativo.
Snapshot do Compute com mais de 365 dias

Gravidade:
Média

Tags: Compute, Snapshots, Lifecycle, Reliability, FinOps, CSPR

Recurso: compute.googleapis.com/Snapshot

Detalhes
Detecta snapshots do Compute Engine com mais de 365 dias. Snapshots antigos podem consumir muito espaço de armazenamento e aumentar os custos. Embora alguns snapshots precisem ser retidos por longos períodos, é uma prática recomendada revisar e excluir regularmente os snapshots que não são mais necessários. Essa regra sinaliza snapshots com mais de 365 dias para revisão, permitindo que você determine se eles podem ser excluídos ou arquivados com segurança.
Manutenção de locatário individual do Compute ng

Gravidade:
Alta

Tags: Compute, NodeGroup, Availability, Isolation, SoleTenant

Recurso: compute.googleapis.com/NodeGroup

Detalhes
Verifica se os grupos de nós de locatário individual estão configurados com a política de manutenção MIGRATE_WITHIN_NODE_GROUP. Essa configuração garante que, durante a manutenção do host, as VMs sejam migradas em tempo real para outros nós no mesmo grupo dedicado, preservando o isolamento físico e a disponibilidade. As violações ocorrem se a política de manutenção estiver ausente ou definida como um modo diferente, como DEFAULT ou RESTART_IN_PLACE.
Balanceador de carga SSL do Compute

Gravidade:
Média

Tags: rede, segurança

Recurso: compute.googleapis.com/TargetSslProxy

Detalhes
Garante que o tráfego de aplicativos seja atendido por balanceadores de carga HTTPS modernos em vez de balanceadores de carga de proxy SSL legados. Quando um balanceador de carga HTTPS é usado, ele oferece gerenciamento de tráfego da camada 7, incluindo recursos como mapas de URL, integração com certificados gerenciados pelo Google e controles de segurança avançados. Isso é útil para aumentar a segurança com recursos como políticas de SSL e integração do Cloud Armor, melhorar o gerenciamento de tráfego com roteamento baseado em conteúdo e simplificar o gerenciamento do ciclo de vida de certificados. Isso é particularmente útil para aplicativos da Web padrão que podem se beneficiar de regras de segurança e roteamento com reconhecimento de aplicativos. No entanto, o balanceador de carga de proxy SSL ainda pode ser necessário para cargas de trabalho não HTTP específicas que usam SSL para criptografia da camada de transporte.
Fluxos de registros da sub-rede do Compute

Gravidade:
Média

Tags: Compute, Subnet, VPC, FlowLogs, Rede, Security, CSPR, CoNa

Recurso: compute.googleapis.com/Subnetwork

Detalhes
Verifica se os registros de fluxo de VPC estão ativados para uma sub-rede do Compute Engine. Os registros de fluxo de VPC registram uma amostra de fluxos de rede enviados e recebidos por instâncias de VM na sub-rede. Isso oferece visibilidade crucial para monitoramento de rede, perícia, análise de segurança e solução de problemas em tempo real. Essa regra examina o campo "enableFlowLogs" na configuração da sub-rede. Uma violação será gerada se "enableFlowLogs" estiver ausente ou definido como "false".
Compute targethttpsproxy ssl

Gravidade:
Média

Tags: Compute, TargetHttpsProxy, SSL, TLS, Security, Policy, Encryption, LoadBalancing, CSPR

Recurso: compute.googleapis.com/TargetHttpsProxy

Detalhes
Verifica se um recurso TargetHttpsProxy do Compute Engine tem uma política de SSL definida. As políticas de SSL controlam o conjunto de recursos do TLS (como versões do TLS e conjuntos de criptografia) que o proxy negocia com os clientes. A associação de uma política de SSL específica permite a aplicação de padrões de segurança mais rígidos do que os padrões. Essa regra examina o campo "sslPolicy" na configuração "TargetHttpsProxy". Se "sslPolicy" estiver faltando ou for nulo/vazio, isso indica que nenhuma política de SSL específica foi atribuída, e uma violação será gerada. Confiar nas configurações padrão de SSL pode não atender a requisitos específicos de segurança ou compliance.
Balanceador de carga TCP do Compute

Gravidade:
Média

Tags: rede, segurança

Recurso: compute.googleapis.com/TargetSslProxy

Detalhes
Valida o uso do balanceador de carga de proxy SSL, orientando para balanceadores de carga HTTPS para tráfego da Web e aprimorando a segurança, a performance e a eficiência operacional.
Disco desanexado do Compute

Gravidade:
Baixa

Tags: CostOptimization, Compute, Disk, Storage, CoNa

Recurso: compute.googleapis.com/Disk

Detalhes
Detecta discos permanentes que não estão anexados a nenhuma instância de VM. Os discos não conectados continuam gerando cobranças, o que leva a gastos desnecessários na nuvem.
Calcular o endereço publicip não utilizado

Gravidade:
Média

Tags: Compute, Address, IP, PublicIP, CostOptimization, Unused, Rede, CSPR, CoNa

Recurso: compute.googleapis.com/Address

Detalhes
Verifica se há endereços IP externo do Compute Engine reservados, mas não em uso por nenhum recurso. Os endereços IP públicos reservados, mas não utilizados, geram custos e podem indicar recursos órfãos ou falhas de configuração. Essa regra identifica endereços em que o addressType é EXTERNAL e o status é RESERVED. Recomendamos atribuir endereços não utilizados a um recurso ou liberá-los para evitar cobranças desnecessárias.
Computação confidencial da VM do Compute desativada

Gravidade:
Média

Tags: Compute, Security, Computação confidencial, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se a Computação confidencial está ativada para instâncias de VM do Compute Engine. A Computação confidencial usa criptografia baseada em hardware para proteger os dados em uso, mesmo do provedor de nuvem. Isso oferece um nível mais alto de segurança e privacidade para cargas de trabalho sensíveis. Essa regra sinaliza instâncias em que a Computação confidencial não está ativada. Ativar a Computação confidencial pode ser um requisito de compliance ou para atender a necessidades específicas de segurança.
Proteção contra exclusão de VM do Compute desativada

Gravidade:
Média

Tags: Compute, Security, Deletion Protection, Security, Reliability, CSPR, CoNa

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se a proteção contra exclusão está ativada para instâncias de VM do Compute Engine. A proteção contra exclusão evita a exclusão acidental de VMs críticas. Quando ativada, qualquer tentativa de excluir a instância pela API, CLI ou console vai falhar, a menos que a proteção contra exclusão seja desativada explicitamente primeiro. Isso oferece uma proteção importante contra erros humanos ou ações maliciosas. Essa regra sinaliza instâncias sem proteção contra exclusão ativada.
CMEK do disco da VM do Compute

Gravidade:
Alta

Tags: Compute, Security, Encryption, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se todos os discos anexados a uma instância de VM do Compute Engine estão criptografados usando uma chave de criptografia gerenciada pelo cliente (CMEK). A criptografia de discos protege os dados em repouso, evitando o acesso não autorizado a eles se o armazenamento físico for comprometido. Com as CMEKs, você controla as chaves de criptografia, incluindo rotação de chaves e gerenciamento de acesso. Essa regra sinaliza instâncias em que um disco anexado não está criptografado com uma CMEK.
Encaminhamento de IP da VM do Compute Engine ativado

Gravidade:
Média

Tags: Compute, Security, Rede, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se o encaminhamento de IP está ativado para instâncias de VM do Compute Engine. Ao ativar o encaminhamento de IP, uma VM pode rotear o tráfego entre diferentes redes, atuando como um roteador. Embora essa capacidade seja necessária para alguns casos de uso (por exemplo, gateways NAT, servidores VPN), ela só deve ser ativada quando for explicitamente necessária. Ativar o encaminhamento de IP em instâncias que não precisam dele aumenta a superfície de ataque e pode ser usado para burlar os controles de segurança de rede. Essa regra sinaliza instâncias com o encaminhamento de IP ativado.
VM do Compute sem monitoramento de integridade

Gravidade:
Alta

Tags: computação, segurança, VM protegida, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se o monitoramento de integridade está ativado para instâncias de VM do Compute Engine. A VM protegida oferece integridade verificável das suas instâncias de VM, ajudando a proteger contra ameaças avançadas, como rootkits e bootkits. Com o monitoramento de integridade, é possível monitorar a integridade da inicialização das instâncias. O vTPM oferece um módulo de plataforma confiável virtualizado. A Inicialização segura ajuda a garantir que o sistema execute apenas softwares autênticos. Essa regra sinaliza instâncias em que qualquer um desses recursos não está ativado.
VM do Compute sem inicialização segura

Gravidade:
Alta

Tags: Compute, Security, VM protegida, CSPR, CoNa

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se a Inicialização segura está ativada para instâncias de VM do Compute Engine. A VM protegida oferece integridade verificável das suas instâncias de VM, ajudando a proteger contra ameaças avançadas, como rootkits e bootkits. Com o monitoramento de integridade, é possível monitorar a integridade da inicialização das instâncias. O vTPM oferece um módulo de plataforma confiável virtualizado. A Inicialização segura ajuda a garantir que o sistema execute apenas softwares autênticos. Essa regra sinaliza instâncias em que qualquer um desses recursos não está ativado.
VM do Compute sem TPM

Gravidade:
Alta

Tags: computação, segurança, VM protegida, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se o vTPM está ativado para instâncias de VM do Compute Engine. A VM protegida oferece integridade verificável das suas instâncias de VM, ajudando a proteger contra ameaças avançadas, como rootkits e bootkits. Com o monitoramento de integridade, é possível monitorar a integridade da inicialização das instâncias. O vTPM oferece um módulo de plataforma confiável virtualizado. A Inicialização segura ajuda a garantir que o sistema execute apenas softwares autênticos. Essa regra sinaliza instâncias em que qualquer um desses recursos não está ativado.
Autenticação de dois fatores do oslogin da VM do Compute desativada

Gravidade:
Média

Tags: Compute, Security, OSLogin, 2FA, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se o Login do SO está ativado para instâncias de VM do Compute Engine sem ativar a autenticação de dois fatores (2FA). Embora o Login do SO melhore a segurança usando o IAM para controle de acesso, exigir a 2FA adiciona uma camada extra crucial de proteção contra credenciais comprometidas. Sem a autenticação de dois fatores, um invasor que obtiver a senha de um usuário poderá acessar a VM. Essa regra sinaliza instâncias em que o Login do SO está ativado, mas a autenticação de dois fatores não.
oslogin desativado na VM do Compute

Gravidade:
Média

Tags: Compute, Security, OSLogin, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Observação: essa regra verifica apenas substituições de metadados no nível da instância. As configurações de login do SO no nível de proteção não são validadas por essa regra.) Verifica se o Login do SO está ativado para instâncias de VM do Compute Engine. O Login do SO oferece controle de acesso centralizado e granular às VMs usando papéis do IAM, em vez de depender de chaves SSH individuais gerenciadas no nível da instância ou do projeto. O Login do SO melhora a segurança, simplifica o gerenciamento de chaves e aumenta a capacidade de auditoria. Essa regra sinaliza instâncias em que o Login do SO não está ativado.
Chaves SSH do projeto da VM do Compute permitidas

Gravidade:
Média

Tags: Compute, Security, SSH, Security, Reliability, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se uma instância de VM do Compute Engine permite o uso de chaves SSH em todo o projeto. As chaves SSH de todo o projeto podem ser adicionadas aos metadados de um projeto e conceder acesso automaticamente a todas as instâncias desse projeto, a menos que sejam explicitamente bloqueadas ou o login do SO esteja ativado. Confiar apenas em chaves SSH de todo o projeto viola o princípio de privilégio mínimo e aumenta o risco de acesso não autorizado se uma chave for comprometida. Em geral, recomendamos usar o Login do SO (que oferece controle mais granular) ou bloquear explicitamente as chaves SSH em todo o projeto e usar chaves específicas da instância. Essa regra sinaliza instâncias que não bloqueiam chaves SSH em todo o projeto e não têm o login do SO ativado.
Porta serial da VM de computação ativada

Gravidade:
Média

Tags: computação, segurança, Compute Engine, porta serial, CSPR

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se o acesso à porta serial está ativado para instâncias de VM do Compute Engine. A porta serial fornece um console baseado em texto para interagir com a VM, principalmente para depuração e solução de problemas. Embora seja útil em situações específicas, habilitar a porta serial aumenta a superfície de ataque, já que ela pode ser usada para obter acesso não autorizado se não estiver devidamente protegida. Em geral, é recomendável desativar o acesso à porta serial, a menos que seja explicitamente necessário e com medidas de segurança adequadas (por exemplo, autenticação forte, regras de firewall). Essa regra sinaliza instâncias com acesso à porta serial ativado.
VM protegida incompleta da VM do Compute

Gravidade:
Alta

Tags: Compute, Security, VM protegida, CSPR, CoNa

Recurso: compute.googleapis.com/Instance

Detalhes
Verifica se todos os recursos da VM protegida (monitoramento de integridade, vTPM e inicialização segura) estão ativados para instâncias de VM do Compute Engine. A VM protegida oferece integridade verificável das suas instâncias de VM, ajudando a proteger contra ameaças avançadas, como rootkits e bootkits. Com o monitoramento de integridade, é possível monitorar a integridade da inicialização das instâncias. O vTPM oferece um módulo de plataforma confiável virtualizado. A Inicialização segura ajuda a garantir que o sistema execute apenas softwares autênticos. Essa regra sinaliza instâncias em que qualquer um desses recursos não está ativado.
Acesso privado à sub-rede de VM do Compute

Gravidade:
Média

Recurso: compute_Instance_RESOURCE_6

Detalhes
Verifique se as instâncias de VM estão conectadas a sub-redes com o Acesso privado do Google ativado.
Versão do ike do vpntunnel do Compute

Gravidade:
Alta

Tags: Compute, VpnTunnel, VPN, IKEv1, IKEv2, Security, Encryption, Rede, CSPR

Recurso: compute.googleapis.com/VpnTunnel

Detalhes
Verifica se um túnel VPN do Compute Engine está configurado para usar o protocolo IKEv1. O IKEv1 (Internet Key Exchange versão 1) é um protocolo de VPN mais antigo com vulnerabilidades de segurança conhecidas em comparação com o IKEv2, que é mais moderno. O uso do IKEv1 aumenta o risco de vulnerabilidades de segurança. Essa regra examina o campo "ikeVersion" na configuração do túnel VPN. Uma violação será gerada se ikeVersion for definido como 1. Recomendamos usar o IKEv2 (versão 2) para aumentar a segurança e a confiabilidade.
Firewall deny egress default

Gravidade:
Alta

Tags: segurança, firewall, rede, compliance, CSPR, CoNa, MVSP

Recurso: compute_Network_RESOURCE_2

Detalhes
Sinaliza redes VPC do Compute Engine que não estão configuradas com uma regra de firewall de negação de saída padrão.
Política de firewall negar saída padrão

Gravidade:
Alta

Tags: rede, segurança, compliance, CSPR, CoNa, MVSP

Recurso: compute_Network_RESOURCE_1

Detalhes
Sinaliza redes VPC do Compute Engine que não estão configuradas com uma política de firewall de negação de saída padrão.
Imagens do Compute Engine expostas publicamente

Gravidade:
Alta

Tags: IAM, Compute Engine, imagem, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Impede o acesso não autorizado e a possível exfiltração de dados ao detectar se a política do IAM de um projeto concede acesso público (allUsers ou allAuthenticatedUsers), o que exporia todas as imagens do Compute Engine contidas.
Relatório de vulnerabilidade do Osconfig crítico

Gravidade:
Crítico

Tags: Compute, Security, osconfig, Vulnerability, CSPR

Recurso: compute_Instance_RESOURCE_8

Detalhes
Detecta instâncias de VM do Compute Engine que têm relatórios de vulnerabilidade da configuração do SO com vulnerabilidades de nível de gravidade CRÍTICO. As vulnerabilidades críticas representam o nível mais alto de risco e precisam ser resolvidas imediatamente para evitar possíveis explorações.
Privategoogleaccess compute

Gravidade:
Média

Tags: rede, segurança, compliance

Recurso: compute_Instance_RESOURCE_1

Detalhes
Verifique se o Acesso privado do Google está ativado especificamente para as sub-redes anexadas às instâncias de VM.
Multirregião do projeto nat

Gravidade:
Alta

Tags: confiabilidade, rede, NAT, alta disponibilidade, BCDR

Recurso: cloudresourcemanager_Project_RESOURCE_ROUTER

Detalhes
Verifica se um projeto tem o Cloud NAT configurado em pelo menos duas regiões diferentes. A implantação multirregional do Cloud NAT garante redundância e protege contra interrupções regionais para conectividade de saída.
Instâncias multizona do projeto

Gravidade:
Alta

Tags: Reliability, Compute, Instance, HighAvailability, BCDR, CoNa

Recurso: cloudresourcemanager_Project_RESOURCE_INSTANCE

Detalhes
Verifica se um projeto tem VMs de serviço de aplicativo do Compute Engine implantadas em pelo menos duas zonas diferentes. A implantação de VMs multizonais garante a redundância de computação e protege contra interrupções zonais.
Multirregião do Cloud Storage de snapshot

Gravidade:
Média

Tags: Reliability, Compute, Backup, DisasterRecovery, BCDR

Recurso: compute.googleapis.com/Snapshot

Detalhes
Verifique se os snapshots de disco do Compute Engine estão armazenados em locais multirregionais para garantir a capacidade de sobrevivência e recuperação durante uma interrupção regional.
Sslpolicy modern com tlsv12

Gravidade:
Alta

Tags: Compute, SslPolicy, TLS, Security, Encryption, Profile, Modern, CSPR

Recurso: compute.googleapis.com/SslPolicy

Detalhes
Verifica se uma política de SSL do Compute Engine atende aos padrões de segurança recomendados ao definir o perfil como "MODERN" e a versão mínima do TLS como "TLS_1_2". O perfil MODERNO inclui pacotes de criptografia fortes e desativa versões mais antigas e menos seguras do TLS. Definir a versão mínima do TLS como TLS_1_2 aumenta ainda mais a segurança, porque não permite o TLS 1.0 e 1.1. Essa regra examina os campos "profile" e "minTlsVersion". Uma violação será gerada se o perfil não for MODERNO ou se minTlsVersion não for TLS_1_2.
Tipo de pilha de sub-rede

Gravidade:
Média

Tags: segurança, rede, compliance

Recurso: compute.googleapis.com/Subnetwork

Detalhes
Verifica se uma sub-rede VPC do Compute Engine está configurada com um tipo de pilha dupla (IPV4_IPV6). A imposição de tipos de pilha somente IPv4 ajuda a manter uma postura de segurança consistente, reduz a complexidade da rede e garante o alinhamento com as políticas organizacionais que restringem o uso do IPv6 para evitar caminhos de acesso não autorizados.

Práticas recomendadas do Google Cloud: Dataproc (2 resultados)

Desativação gradual do escalonamento automático do Dataproc

Gravidade:
Média

Tags: Dataproc, escalonamento automático, confiabilidade, otimização de custos

Recurso: dataproc.googleapis.com/AutoscalingPolicy

Detalhes
Verifica se as AutoscalingPolicies do Dataproc definem um gracefulDecommissionTimeout. Um tempo limite de desativação otimizada garante que os jobs em execução possam ser concluídos antes que os nós de trabalho sejam reduzidos.
HA do mestre do cluster do Dataproc

Gravidade:
Alta

Tags: Reliability, Availability, HighAvailability, BCDR

Recurso: dataproc.googleapis.com/Cluster

Detalhes
Verifica se os clusters do Dataproc operam no modo de alta disponibilidade provisionando três instâncias principais. Executar com menos de três nós principais introduz um único ponto de falha, comprometendo a estabilidade da produção e a continuidade do processamento de dados durante a manutenção ou interrupções.

Práticas recomendadas do Google Cloud: Filestore (5 resultados)

Configuração de backup da instância do Filestore

Gravidade:
Alta

Tags: segurança, confiabilidade, proteção de dados, backup, CSPR

Recurso: file.googleapis.com/Instance

Detalhes
Verifique se as instâncias do Filestore têm um cronograma de backup definido para permitir uma recuperação de dados robusta e proteger contra perda de dados por exclusão ou corrupção acidental. Essa regra valida especificamente a presença de um backupConfig nas configurações da instância, o que é essencial para a continuidade dos negócios.
Proteção contra exclusão de instâncias do Filestore desativada

Gravidade:
Alta

Tags: segurança, confiabilidade, proteção de dados, CoNa

Recurso: file.googleapis.com/Instance

Detalhes
Garante que as instâncias do Filestore tenham a proteção contra exclusão ativada para evitar perda acidental de dados e interrupção do serviço por exclusões não intencionais. Desativar a proteção contra exclusão em compartilhamentos de arquivos críticos aumenta o risco de erros operacionais que podem levar à perda irreversível de dados. Essa configuração é controlada pela flag "deletionProtectionEnabled" na configuração da instância.
Níveis de alta disponibilidade da instância do Filestore

Gravidade:
Alta

Tags: confiabilidade, alta disponibilidade, Filestore, resiliência

Recurso: file.googleapis.com/Instance

Detalhes
Garante que as instâncias do Google Cloud Filestore estejam configuradas com níveis de disponibilidade regional (ENTERPRISE ou REGIONAL) para oferecer suporte a alta disponibilidade e resiliência para cargas de trabalho críticas. Os níveis básico, SSD de alta escala e zonal genérico são implantações de zona única e não oferecem a capacidade de recuperação multizonal necessária para proteger contra falhas zonais.
Instância do Filestore sem rótulos

Gravidade:
Baixa

Tags: Filestore, instância, rótulos, FinOps, CSPR

Recurso: file.googleapis.com/Instance

Detalhes
Garante que as instâncias do Filestore tenham rótulos aplicados para organização, filtragem de recursos e possível auxílio na análise de alocação de custos.
Instância do Filestore sem tags de recursos

Gravidade:
Baixa

Tags: Filestore, Instância, Tags, FinOps, CSPR, CoNa, MVSP

Recurso: file.googleapis.com/Instance

Detalhes
Garante que as instâncias do Filestore tenham tags do Resource Manager aplicadas para governança consistente, aplicação de políticas e análise de custos em todos os recursos da nuvem.

Práticas recomendadas do Google Cloud: Firestore (1 resultado)

Multirregião do banco de dados do Firestore

Gravidade:
Alta

Tags: confiabilidade, BCDR, alta disponibilidade

Recurso: firestore.googleapis.com/Database

Detalhes
Verifica se os bancos de dados do Firestore estão configurados para usar locais multirregionais (por exemplo, nam5, eur3). As implantações multirregionais replicam dados em diferentes áreas geográficas, garantindo alta disponibilidade e resiliência contra interrupções regionais.

Práticas recomendadas do Google Cloud: Gemini Enterprise Agent Platform (18 resultados)

Vertex ai endpoint min replicas

Gravidade:
Alta

Tags: Reliability, VertexAI, HighAvailability, Resiliency

Recurso: aiplatform.googleapis.com/Endpoint

Detalhes
Garante que os modelos de ML implantados em endpoints on-line tenham pelo menos duas réplicas para manter a disponibilidade e evitar a inatividade da previsão durante uma falha de nó único.
CMEK ativada para job personalizado da Vertex

Gravidade:
Alta

Tags: segurança, criptografia, CMEK, Vertex AI, compliance

Recurso: aiplatform.googleapis.com/CustomJob

Detalhes
Garante que os jobs de treinamento personalizado da Vertex AI sejam protegidos com chaves de criptografia gerenciadas pelo cliente (CMEK), oferecendo controle granular sobre a criptografia de dados para maior segurança e conformidade. Essa regra verifica se o campo "encryptionSpec.kmsKeyName" está configurado corretamente na especificação dos jobs.
CMEK do conjunto de dados da Vertex ativada

Gravidade:
Alta

Tags: segurança, criptografia, CMEK, Vertex AI, compliance

Recurso: aiplatform.googleapis.com/Dataset

Detalhes
Garante que os conjuntos de dados da Vertex AI sejam protegidos com chaves de criptografia gerenciadas pelo cliente (CMEK), oferecendo controle granular sobre a criptografia de dados para maior segurança e compliance. Essa regra verifica se o campo "encryptionSpec.kmsKeyName" está configurado corretamente para o conjunto de dados.
CMEK do endpoint do Vertex ativada

Gravidade:
Alta

Tags: segurança, criptografia, CMEK, Vertex AI, compliance

Recurso: aiplatform.googleapis.com/Endpoint

Detalhes
Garante que os endpoints da Vertex AI sejam criptografados com uma chave de criptografia gerenciada pelo cliente (CMEK), oferecendo controle granular sobre a criptografia de dados para modelos implantados e aumentando a segurança. Essa configuração é essencial para a compliance e a proteção de dados sensíveis em repouso. Essa regra verifica se o campo "encryptionSpec.kmsKeyName" está configurado corretamente no endpoint.
CMEK da loja de recursos do Vertex ativada

Gravidade:
Alta

Tags: segurança, criptografia, CMEK, Vertex AI, compliance

Recurso: aiplatform.googleapis.com/Featurestore

Detalhes
Garante que os repositórios de recursos da Vertex AI sejam protegidos com chaves de criptografia gerenciadas pelo cliente (CMEK), oferecendo controle granular sobre a criptografia de dados para maior segurança e compliance. Essa regra verifica se o campo "encryptionSpec.kmsKeyName" está configurado corretamente.
Job de ajuste de hiperparâmetros da Vertex com CMEK ativada

Gravidade:
Alta

Tags: segurança, criptografia, CMEK, Vertex AI, compliance

Recurso: aiplatform.googleapis.com/HyperparameterTuningJob

Detalhes
Garante que os jobs de ajuste de hiperparâmetros da Vertex AI sejam protegidos com chaves de criptografia gerenciadas pelo cliente (CMEK), oferecendo controle granular sobre a criptografia de dados para maior segurança e conformidade. Essa regra verifica se o campo "encryptionSpec.kmsKeyName" está configurado corretamente na especificação dos jobs.
CMEK do repositório de metadados da Vertex ativada

Gravidade:
Alta

Tags: segurança, criptografia, CMEK, Vertex AI, compliance

Recurso: aiplatform.googleapis.com/MetadataStore

Detalhes
Garante que os repositórios de metadados do Vertex AI sejam protegidos com chaves de criptografia gerenciadas pelo cliente (CMEK) para maior controle sobre a criptografia de dados. Essa regra verifica se o campo "encryptionSpec.kmsKeyName" está presente e configurado, o que é essencial para a conformidade e o aumento da segurança de dados. Isso garante que os metadados não sejam criptografados apenas por padrão, mas com uma chave controlada por você.
CMEK do modelo da Vertex ativada

Gravidade:
Alta

Tags: segurança, criptografia, CMEK, Vertex AI, compliance

Recurso: aiplatform.googleapis.com/Model

Detalhes
Garante que os modelos da Vertex AI sejam protegidos com chaves de criptografia gerenciadas pelo cliente (CMEK) para aumentar o controle sobre a criptografia de dados e atender aos requisitos de compliance. Essa regra verifica se o campo "encryptionSpec.kmsKeyName" está configurado corretamente nos dados de recursos de modelos.
CMEK do ambiente de execução de notebook da Vertex ativada

Gravidade:
Alta

Tags: Security, Encryption, CMEK, Vertex AI, Compliance, CoNa, MVSP

Recurso: aiplatform.googleapis.com/NotebookRuntime

Detalhes
Garante que os tempos de execução do notebook da Vertex AI sejam protegidos com chaves de criptografia gerenciadas pelo cliente (CMEK), oferecendo controle granular sobre a criptografia de dados para maior segurança e compliance. Um ambiente de execução do Notebook sem CMEK usa chaves de criptografia gerenciadas pelo Google por padrão.
Desligamento ocioso do ambiente de execução de notebook da Vertex ativado

Gravidade:
Média

Tags: custo, FinOps, Vertex AI, CoNa, MVSP

Recurso: aiplatform.googleapis.com/NotebookRuntime

Detalhes
Força o desligamento automático por inatividade nos ambientes de execução de notebook da Vertex AI para otimizar os custos encerrando recursos inativos. Uma configuração incorreta ocorre se o idleShutdownConfig não estiver definido ou se a flag idleShutdownDisabled estiver definida como "true", o que leva ao faturamento contínuo de recursos mesmo quando não estão em uso.
Ambiente de execução de notebook da Vertex sem acesso à Internet

Gravidade:
Alta

Tags: Security, Vertex AI, Rede, Data Exfiltration, CoNa, MVSP

Recurso: aiplatform.googleapis.com/NotebookRuntime

Detalhes
Garante que os ambientes de execução de notebooks da Vertex AI não tenham acesso direto à Internet para reduzir riscos como exfiltração de dados e acesso não autorizado a recursos externos. Desativar o acesso à Internet melhora a postura de segurança ao isolar o ambiente de execução. O acesso à Internet é controlado pela configuração networkSpec.enableInternetAccess.
Inicialização segura do ambiente de execução do notebook da Vertex desativada

Gravidade:
Alta

Tags: Security, Vertex AI, VM protegida, Inicialização segura, NIST-800-53-SI-7, CoNa, MVSP

Recurso: aiplatform.googleapis.com/NotebookRuntime

Detalhes
Garante que a Inicialização segura esteja ativada nos ambientes de execução de notebook da Vertex AI para proteger contra ameaças no nível de inicialização. A Inicialização segura é um recurso principal das VM protegida que verifica a assinatura digital de todos os componentes de inicialização, impedindo a execução de código não autorizado ou malicioso durante o processo de inicialização. Essa regra verifica se a flag "enableSecureBoot" está definida explicitamente como "true".
Modelo de ambiente de execução de notebook da Vertex com CMEK ativada

Gravidade:
Alta

Tags: Security, Encryption, CMEK, Vertex AI, Compliance, CoNa, MVSP

Recurso: aiplatform.googleapis.com/NotebookRuntimeTemplate

Detalhes
Garante que os tempos de execução do notebook da Vertex AI sejam protegidos com chaves de criptografia gerenciadas pelo cliente (CMEK), oferecendo controle granular sobre a criptografia de dados para maior segurança e compliance. Um ambiente de execução do Notebook sem CMEK usa chaves de criptografia gerenciadas pelo Google por padrão.
Desligamento por inatividade do modelo de ambiente de execução de notebook da Vertex

Gravidade:
Média

Tags: custo, FinOps, Vertex AI, CoNa, MVSP

Recurso: aiplatform.googleapis.com/NotebookRuntimeTemplate

Detalhes
Força o desligamento automático por inatividade nos modelos de ambiente de execução de notebook da Vertex AI para otimizar os custos encerrando recursos inativos. Uma configuração incorreta ocorre se o idleShutdownConfig não estiver definido ou se a flag idleShutdownDisabled estiver definida como "true", o que leva ao faturamento contínuo de recursos mesmo quando não estão em uso.
Acesso à Internet do modelo de ambiente de execução de notebook da Vertex

Gravidade:
Alta

Tags: Security, Vertex AI, Network, CoNa, MVSP

Recurso: aiplatform.googleapis.com/NotebookRuntimeTemplate

Detalhes
Garante que os modelos de execução da Vertex AI não sejam expostos à Internet pública, o que reduz a superfície de ataque externa e ajuda a evitar a possível exfiltração de dados. Isso é violado quando a configuração "enableInternetAccess" é verdadeira.
Inicialização segura do modelo de ambiente de execução de notebook da Vertex

Gravidade:
Alta

Tags: segurança, Vertex AI, notebooks, compliance, CoNa, MVSP

Recurso: aiplatform.googleapis.com/NotebookRuntimeTemplate

Detalhes
Verifica se os modelos de tempo de execução de notebook da Vertex AI têm a inicialização segura ativada para garantir a integridade do sistema operacional e proteger contra código não autorizado no nível de inicialização. A Inicialização segura é um recurso de segurança essencial que ajuda a impedir a execução de códigos maliciosos durante o processo de inicialização. Essa configuração é controlada pela flag enableSecureBoot no objeto shieldedVmConfig.
Vertex TensorBoard com CMEK ativada

Gravidade:
Alta

Tags: segurança, criptografia, CMEK, Vertex AI, compliance

Recurso: aiplatform.googleapis.com/Tensorboard

Detalhes
Garante que as instâncias do TensorBoard da Vertex AI sejam protegidas com chaves de criptografia gerenciadas pelo cliente (CMEK), oferecendo controle granular sobre a criptografia de dados de experimentos e visualizações de modelos para aumentar a segurança e a conformidade. Essa regra verifica se o campo "encryptionSpec.kmsKeyName" está configurado corretamente.
Pipeline de treinamento do Vertex com CMEK ativada

Gravidade:
Alta

Tags: segurança, criptografia, CMEK, Vertex AI, compliance

Recurso: aiplatform.googleapis.com/TrainingPipeline

Detalhes
Garante que os pipelines de treinamento da Vertex AI sejam protegidos com chaves de criptografia gerenciadas pelo cliente (CMEK), oferecendo controle granular sobre a criptografia de dados para maior segurança e compliance. Essa regra verifica se o campo "encryptionSpec.kmsKeyName" está configurado corretamente na especificação dos pipelines.

Práticas recomendadas do Google Cloud: Workbench da plataforma de agentes do Gemini Enterprise (11 resultados)

Upgrades automáticos do Vertex Workbench ativados

Gravidade:
Média

Tags: segurança, confiabilidade, Vertex AI, notebooks, CoNa

Recurso: notebooks.googleapis.com/Instance

Detalhes
Garante que as instâncias do Vertex AI Workbench tenham upgrades automáticos do ambiente ativados. Ativar os upgrades automáticos é fundamental para manter as instâncias atualizadas com os recursos, as atualizações de framework e os patches de segurança mais recentes, o que aumenta a segurança e a confiabilidade. Essa configuração é controlada pela chave de metadados notebookupgradeschedule, que precisa estar presente e ter um valor definido.
CMEK do Vertex Workbench ativada

Gravidade:
Alta

Tags: segurança, criptografia, CMEK, Vertex AI, compliance, NIST-800-53-SC-28

Recurso: notebooks.googleapis.com/Instance

Detalhes
Garante que as instâncias do Vertex AI Workbench sejam criptografadas usando uma chave de criptografia gerenciada pelo cliente (CMEK), o que é fundamental para manter o controle sobre a criptografia de dados e atender a requisitos de compliance específicos. Essa política verifica se a propriedade "kmsKey" está configurada para os discos de inicialização e de dados nas instâncias gceSetup.
Rede padrão do Vertex Workbench desativada

Gravidade:
Média

Tags: segurança, rede, Vertex AI

Recurso: notebooks.googleapis.com/Instance

Detalhes
Desativar o uso da rede VPC padrão para instâncias do Vertex AI Workbench é uma medida de segurança importante para evitar a exposição a regras de firewall excessivamente permissivas. Essa configuração incorreta ocorre quando uma instância do Workbench é anexada ao recurso de rede chamado "default", ignorando uma arquitetura de rede mais segura e projetada intencionalmente.
Proteção contra exclusão do Vertex Workbench ativada

Gravidade:
Média

Tags: confiabilidade, Vertex AI, notebooks, CoNa

Recurso: notebooks.googleapis.com/Instance

Detalhes
Garante que as instâncias do Vertex AI Workbench tenham a proteção contra exclusão ativada, evitando a exclusão acidental de ambientes de desenvolvimento críticos e dados associados. Essa proteção é vital para manter a confiabilidade operacional, já que uma configuração incorreta pode levar à perda irreversível de trabalho. A flag "deletionProtection" precisa ser definida explicitamente como "true".
Vertex workbench disable file downloads

Gravidade:
Alta

Tags: Security, Vertex AI, Notebooks, Data Exfiltration, NIST-800-53-AC-3, CoNa

Recurso: notebooks.googleapis.com/Instance

Detalhes
Para evitar a exfiltração de dados, essa política garante que os downloads de arquivos da interface do JupyterLab em instâncias do Vertex AI Workbench estejam desativados. Uma configuração incorreta ocorre se a chave de metadados notebookdisabledownloads estiver faltando ou não estiver definida como "true", criando um possível vetor para remoção não autorizada de dados.
Desativar o acesso raiz do Vertex Workbench

Gravidade:
Alta

Tags: segurança, Vertex AI, notebooks, escalonamento de privilégios

Recurso: notebooks.googleapis.com/Instance

Detalhes
Desativar o acesso root nas instâncias do Vertex AI Workbench é uma medida de segurança crucial para evitar o escalonamento de privilégios e modificações não autorizadas no sistema. Essa configuração é controlada pela chave de metadados notebookdisableroot na configuração do Compute Engine, que precisa ser definida como "true".
Monitoramento de integridade do Vertex Workbench ativado

Gravidade:
Alta

Tags: Security, Vertex AI, Notebooks, Integrity Monitoring, NIST-800-53-SI-7

Recurso: notebooks.googleapis.com/Instance

Detalhes
Garante que as instâncias do Vertex AI Workbench tenham o monitoramento de integridade da VM protegida ativado, fornecendo uma camada fundamental de defesa contra malware no nível da inicialização e do kernel. Uma violação ocorre se a flag "enableIntegrityMonitoring" na configuração da VM protegida das instâncias estiver ausente, vazia ou definida como "false".
Vertex Workbench sem IP público

Gravidade:
Alta

Tags: segurança, Vertex AI, rede

Recurso: notebooks.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Vertex AI Workbench não têm endereços IP públicos atribuídos ao verificar se a configuração "disablePublicIp" está explicitamente definida como "true". Desativar os IPs públicos é uma medida de segurança crucial que reduz a exposição das instâncias à Internet pública, minimizando o risco de acesso não autorizado. Uma violação ocorre se a configuração "disablePublicIp" estiver ausente, vazia ou definida como "false".
Restrição da conta de serviço padrão do Vertex Workbench

Gravidade:
Alta

Tags: Security, Vertex AI, IAM, Service Account, NIST-800-53-AC-3, CSPR

Recurso: notebooks.googleapis.com/Instance

Detalhes
Garante que as instâncias do Vertex AI Workbench não usem a conta de serviço padrão do Compute Engine. Atribuir contas de serviço dedicadas e com privilégios mínimos às instâncias do Workbench é uma medida de segurança essencial que minimiza o impacto potencial de uma violação, limitando o acesso das instâncias apenas aos serviços necessários do Google Cloud. Essa verificação sinaliza instâncias configuradas com uma conta de serviço que termina em compute@developer.gserviceaccount.com, o que indica o uso da conta de serviço padrão excessivamente permissiva.
Inicialização segura do Vertex Workbench ativada

Gravidade:
Alta

Tags: segurança, Vertex AI, notebooks, VM protegida, CoNa

Recurso: notebooks.googleapis.com/Instance

Detalhes
Garante que as instâncias do Vertex AI Workbench tenham a Inicialização segura ativada, um recurso de segurança essencial que verifica a assinatura digital de todos os componentes de inicialização para proteger contra bootkits e rootkits. Essa configuração, enableSecureBoot, faz parte da configuração de VM protegida das instâncias e precisa ser definida como "true".
Vertex Workbench com vtpm ativado

Gravidade:
Alta

Tags: segurança, Vertex AI, notebooks, vTPM, VM protegida

Recurso: notebooks.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Vertex AI Workbench têm o módulo de plataforma confiável virtual (vTPM) ativado para garantir um processo de inicialização seguro e medido. A ativação do vTPM é um componente essencial dos recursos de VM protegida do Google Cloud, que protege as instâncias contra malware e rootkits no nível da inicialização, fornecendo integridade verificável do carregador de inicialização, do kernel e dos drivers de inicialização das instâncias. Essa configuração é gerenciada na shieldedInstanceConfig da instância.

Práticas recomendadas do Google Cloud: Google Kubernetes Engine (55 resultados)

Clusters Alfa do Google Kubernetes Engine ativados

Gravidade:
Alta

Tags: GKE, segurança, CSPR, MVSP

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se os clusters do GKE não têm recursos Alfa ativados. Os clusters Alfa não são compatíveis com cargas de trabalho de produção e expiram após 30 dias.
Autopilot do Google Kubernetes Engine ativado

Gravidade:
Baixa

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Autopilot, Managed, Configuration, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se um cluster do Google Kubernetes Engine (GKE) tem o modo Autopilot ativado. O Google Kubernetes Engine Autopilot é um modo de operação totalmente gerenciado que reduz a sobrecarga operacional ao gerenciar a infraestrutura dos clusters, incluindo nós e configurações de segurança. Essa regra identifica clusters em que o campo "autopilot.enabled" está definido como "false" ou indefinido. Essa política é principalmente informativa, sinalizando clusters que NÃO estão sendo executados no modo Autopilot.
Backup do Google Kubernetes Engine ativado

Gravidade:
Média

Tags: confiabilidade, Kubernetes, backup, recuperação de desastres, BCDR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifique se o Backup para GKE está ativado no cluster do GKE para permitir o backup e a recuperação de desastres de aplicativos com estado.
Autenticação básica do Google Kubernetes Engine ativada

Gravidade:
Alta

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Authentication, BasicAuth, ClientCertificate, Security, Configuration, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se um cluster do Google Kubernetes Engine tem a autenticação básica (nome de usuário/senha) configurada e a emissão de certificados do cliente ativada. Ter vários métodos de credenciais estáticas ativos simultaneamente pode aumentar a superfície de ataque e a sobrecarga de gerenciamento. Em geral, é recomendável padronizar métodos de autenticação mais seguros e gerenciados centralmente, como o IAM ou o OIDC. Essa regra sinaliza clusters em que masterAuth.username não é nulo/vazio E masterAuth.clientCertificateConfig.issueClientCertificate é verdadeiro.
Autorização binária do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, Segurança, CoNa, MVSP

Recurso: container.googleapis.com/Cluster

Detalhes
Verifique se a autorização binária está ativada para clusters do Google Kubernetes Engine.
Reparo automático de cluster do Google Kubernetes Engine ativado

Gravidade:
Média

Tags: confiabilidade, Google Kubernetes Engine, governança, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Melhora a resiliência do cluster e reduz a sobrecarga operacional ao verificar se o reparo automático está ativado nos pools de nós padrão do Google Kubernetes Engine, garantindo a recuperação automática de falhas de nós para manter a disponibilidade do aplicativo.
Upgrade automático do cluster do Google Kubernetes Engine ativado

Gravidade:
Média

Tags: Google Kubernetes Engine, upgrade automático, segurança, confiabilidade, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Reforça a segurança do cluster e reduz a sobrecarga de manutenção ao verificar se os pools de nós padrão do Google Kubernetes Engine têm o upgrade automático ativado, garantindo que eles recebam patches de segurança e correções de estabilidade em tempo hábil.
Acesso privado do Google ativado no cluster do Google Kubernetes Engine

Gravidade:
Média

Tags: Google Kubernetes Engine, Acesso privado do Google, sub-rede, segurança, CSPR

Recurso: container_Cluster_RESOURCE_2

Detalhes
Aumenta a segurança ao verificar se o Acesso privado do Google está ativado na sub-rede dos clusters, permitindo que nós particulares do Google Kubernetes Engine extraiam imagens e acessem as APIs do Google sem exigir endereços IP públicos.
Cluster do Google Kubernetes Engine usando imagens do Container-Optimized OS

Gravidade:
Média

Tags: Google Kubernetes Engine, COS, Security, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Melhora a segurança e a estabilidade do cluster ao verificar se todos os pools de nós do Google Kubernetes Engine usam o Container-Optimized OS (COS) do Google, um sistema operacional criado e reforçado para fins específicos.
Cluster zonal do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, Cluster, Locations, Resiliency, Security, CSPR, CoNa

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se um cluster do Google Kubernetes Engine é zonal. Os clusters do Google Kubernetes Engine podem ser criados em uma única zona em que uma única instância do plano de controle/servidor de API é implantada. Como alternativa, os clusters podem ser criados em uma região do Google Cloud que distribui três instâncias do plano de controle/servidor de API uniformemente em três zonas dessa região. Os clusters regionais também distribuem os nós de trabalho de maneira uniforme nessas três zonas para reduzir o impacto de uma interrupção zonal do Google Cloud.
Clusters do Google Kubernetes Engine que não usam o Cloud DNS

Gravidade:
Média

Tags: Google Kubernetes Engine, Kubernetes, Cluster, DNS, CloudDNS, Rede, BestPractice, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se um cluster do Google Kubernetes Engine está configurado para usar o Cloud DNS na resolução de DNS no cluster. Usar o Cloud DNS para o Google Kubernetes Engine oferece um serviço de DNS gerenciado, de alto desempenho e escalonável, além de ser uma prática recomendada do Google Kubernetes Engine. Essa regra examina o campo dnsConfig.clusterDns. Uma violação será gerada se esse campo estiver ausente, nulo ou tiver um valor diferente de CLOUD_DNS, indicando que o cluster pode estar usando o complemento kubedns legado ou não está configurado para o Cloud DNS.
Nós confidenciais do Google Kubernetes Engine

Gravidade:
Média

Tags: Google Kubernetes Engine, Segurança, Computação, CSPR, CoNa

Recurso: container.googleapis.com/Cluster

Detalhes
Verifique se o cluster do Google Kubernetes Engine está configurado para usar nós confidenciais.
Balanceador de carga nativo de contêiner do Google Kubernetes Engine desativado

Gravidade:
Média

Tags: GKE, Kubernetes, Cluster, LoadBalancing, Rede, Performance, CSPR, CoNa, MVSP

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se o balanceamento de carga nativo de contêiner está ativado em um cluster do GKE. O balanceamento de carga nativo de contêiner permite que os balanceadores de carga encaminhem o tráfego diretamente para os pods, reduzindo a latência e melhorando a visibilidade da rede. Uma violação ocorre se "addonsConfig.httpLoadBalancing.disabled" for verdadeiro, o que desativa o controlador de entrada e o suporte a NEG.
Painel do Google Kubernetes Engine ativado

Gravidade:
Média

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Addon, KubernetesDashboard, Security, Legacy, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se o complemento legado do painel do Kubernetes está ativado em um cluster do Google Kubernetes Engine. O painel do Kubernetes oferece uma UI da Web para gerenciar recursos de cluster, mas a versão legada tem possíveis implicações de segurança e o uso dela geralmente é desencorajado em favor da gcloud, do console do Google Cloud ou de outras ferramentas de gerenciamento mais seguras. Essa regra examina o campo addonsConfig.kubernetesDashboard.disabled. Uma violação será gerada se "kubernetesDashboard" estiver presente e o campo "disabled" NÃO for verdadeiro (ou seja, estiver ausente ou explicitamente falso), indicando que o painel legado está ativado.
CMEK de criptografia de banco de dados do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, Segurança, criptografia, CSPR, CoNa

Recurso: container.googleapis.com/Cluster

Detalhes
Verifique se os secrets de aplicativos de cluster do Google Kubernetes Engine estão criptografados usando a CMEK.
Plano de dados v2 do Google Kubernetes Engine desativado

Gravidade:
Média

Tags: GKE, Kubernetes, Cluster, Dataplane, Rede, Security, Performance, CSPR, CoNa, MVSP

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se o Dataplane V2 está ativado em um cluster do GKE. O Dataplane V2 é um plano de dados otimizado para o GKE que usa eBPF para rede, oferecendo melhor desempenho, segurança e capacidade de observação. Uma violação ocorre se networkConfig.datapathProvider não estiver definido como ADVANCED_DATAPATH.
Administrador da conta de serviço padrão do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, conta de serviço padrão, administrador, segurança, CSPR, CoNa, MVSP

Recurso: container_Cluster_RESOURCE_IAM_POLICY_1

Detalhes
Mitiga um risco crítico de escalonamento de privilégios de containertoproject ao garantir que os pools de nós do Google Kubernetes Engine não usem a conta de serviço padrão quando ela tiver permissões de administrador no nível do projeto, impedindo que um pod comprometido assuma o controle de todos os recursos do projeto.
Editor da conta de serviço padrão do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, conta de serviço padrão, editor, segurança, CSPR

Recurso: container_Cluster_RESOURCE_IAM_POLICY_1

Detalhes
Aplique o princípio do privilégio mínimo nos nós do Google Kubernetes Engine ao não permitir contas de serviço padrão com papéis de Editor. Isso reduz significativamente as vulnerabilidades de segurança para proteger as cargas de trabalho e aumentar a confiabilidade do cluster.
Proprietário da conta de serviço padrão do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, conta de serviço padrão, proprietário, segurança, CSPR, MVSP

Recurso: container_Cluster_RESOURCE_IAM_POLICY_1

Detalhes
Garante que os nós do Google Kubernetes Engine não usem a conta de serviço padrão do Compute Engine com a função Proprietário altamente privilegiada, aplicando o princípio do privilégio mínimo para reduzir significativamente os riscos de segurança e o possível impacto de uma violação de nó.
Conta de serviço padrão do Google Kubernetes Engine com permissões

Gravidade:
Alta

Tags: Google Kubernetes Engine, segurança, privilégio mínimo, IAM

Recurso: container_Cluster_RESOURCE_IAM_POLICY_1

Detalhes
Verifique se as contas de serviço de nó do Google Kubernetes Engine não têm papéis primitivos de alto privilégio.
Gravador da conta de serviço padrão do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, conta de serviço padrão, gravador, segurança, CSPR

Recurso: container_Cluster_RESOURCE_IAM_POLICY_1

Detalhes
Melhore a segurança do Google Kubernetes Engine garantindo que as contas de serviço padrão não tenham permissões de gravação amplas, reduzindo significativamente o risco de modificações não autorizadas no cluster e mantendo o princípio de privilégio mínimo.
Conta de serviço padrão do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, conta de serviço padrão, segurança, CSPR

Recurso: container_Cluster_RESOURCE_IAM_POLICY_1

Detalhes
Verifique se os pools de nós do Google Kubernetes Engine usam contas de serviço dedicadas com privilégios mínimos em vez da conta de serviço padrão do Compute Engine para melhorar a postura de segurança do cluster, aderindo estritamente ao princípio de privilégio mínimo.
Acesso aos grupos do Google do Google Kubernetes Engine

Gravidade:
Média

Tags: Google Kubernetes Engine, Security, IAM, CSPR, CoNa, MVSP

Recurso: container.googleapis.com/Cluster

Detalhes
Verifique se o acesso ao RBAC/cluster do Google Kubernetes Engine é gerenciado pelos Grupos do Google.
Visibilidade do infranode do Google Kubernetes Engine ativada

Gravidade:
Baixa

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Rede, Observability, IntraNodeVisibility, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se a visibilidade intranós está ativada para um cluster do Google Kubernetes Engine. A visibilidade intranós permite a observabilidade de rede do tráfego entre pods no mesmo nó. Isso pode ser útil para solucionar problemas e monitorar a segurança em um nó. Essa regra examina o campo "networkConfig.enableIntraNodeVisibility". Uma violação será gerada se esse campo estiver ausente ou definido como "false".
Google Kubernetes Engine ipaliases disabled

Gravidade:
Média

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Rede, IPAliases, VPCNative, PodNetworking

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se os aliases de IP (intervalos de IP secundários para pods) estão desativados em um cluster do Google Kubernetes Engine. Com os aliases de IP, os pods têm seus próprios endereços IP roteáveis na rede VPC, o que permite uma melhor integração de rede e evita o NAT para comunicação de pod a pod entre nós. Embora nem sempre seja estritamente necessário, o uso de aliases de IP é uma prática recomendada do Google Kubernetes Engine para a maioria dos cenários de rede. Essa regra examina o campo "ipAllocationPolicy.useIpAliases". Uma violação será gerada se esse campo estiver ausente ou definido como "false".
Certificado do cliente ativado para problema do Google Kubernetes Engine

Gravidade:
Baixa

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Authentication, ClientCertificate, X509, Security, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se a autenticação de certificado do cliente está ativada para um mestre de clusters do Google Kubernetes Engine. Quando ativado definindo masterAuth.clientCertificateConfig.issueClientCertificate como "true", o cluster pode emitir certificados de cliente para autenticação. Embora os certificados de cliente X.509 sejam um método de autenticação válido, gerenciar o ciclo de vida deles (emissão, revogação) pode ser complexo. As organizações podem preferir usar apenas o IAM ou o OIDC para ter um controle mais centralizado. Essa regra sinaliza clusters em que a emissão de certificados de cliente está ativada.
Logging do Google Kubernetes Engine ativado

Gravidade:
Média

Tags: Google Kubernetes Engine, Kubernetes, cluster, geração de registros, observabilidade, operações, CSPR, CoNa, MVSP

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se o Cloud Logging (loggingService) está ativado para um cluster do Google Kubernetes Engine. Esses serviços são essenciais para a observabilidade. Essa regra sinaliza um cluster se loggingService estiver faltando, vazio ou definido como "none" (ou outros estados desativados), indicando que o serviço não está ativo.
Monitoramento do Google Kubernetes Engine ativado

Gravidade:
Média

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Monitoring, Observability, Operations, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se o Cloud Monitoring (monitoringService) está ativado para um cluster do Google Kubernetes Engine. Esses serviços são essenciais para a observabilidade. Essa regra sinaliza um cluster se "monitoringService" estiver faltando, vazio ou definido como "none" (ou outros estados desativados), indicando que o serviço não está ativo.
Política de rede do Google Kubernetes Engine ativada

Gravidade:
Alta

Tags: Google Kubernetes Engine, Kubernetes, Cluster, NetworkPolicy, Security, Microsegmentation, Addon, CSPR, CoNa

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se a aplicação da política de rede está ativada para um cluster do Google Kubernetes Engine. As políticas de rede oferecem microsegmentação para pods, controlando o fluxo de tráfego entre eles com base em rótulos e portas. Ativar a política de rede é uma prática recomendada de segurança essencial para isolar cargas de trabalho e reduzir a superfície de ataque em um cluster. Essa regra examina os campos "networkPolicy.provider" e "addonsConfig.networkPolicyConfig.disabled". Uma violação será gerada se a política de rede não estiver configurada (o provedor for PROVIDER_UNSPECIFIED ou estiver ausente) OU se o complemento networkPolicyConfig estiver explicitamente desativado.
Política de não manutenção do Google Kubernetes Engine

Gravidade:
Alta

Tags: Container, Google Kubernetes Engine, Reliability, Operational Stability, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifique se os clusters do Google Kubernetes Engine têm uma política de manutenção definida para garantir que os upgrades automáticos ocorram durante intervalos de tempo previsíveis e sem interrupções. Uma política definida com janelas e exclusões de manutenção evita interrupções inesperadas em cargas de trabalho críticas.
Provisionamento automático de nós do Google Kubernetes Engine ativado

Gravidade:
Baixa

Tags: Google Kubernetes Engine, Kubernetes, Cluster, NodeAutoprovisioning, Autoscaling, Management

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se o provisionamento automático de nós (NAP, na sigla em inglês) está ativado para um cluster do Google Kubernetes Engine. O NAP gerencia automaticamente os pools de nós com base nos requisitos da carga de trabalho, criando e excluindo-os conforme necessário. Isso pode simplificar o gerenciamento de clusters e otimizar o uso de recursos. Essa regra examina o campo "autoscaling.enableNodeAutoprovisioning" na configuração dos clusters. Uma violação será gerada se esse campo estiver ausente ou definido como "false", indicando que o NAP não está ativo.
Política de localidade balanceada do pool de nós do Google Kubernetes Engine

Gravidade:
Alta

Tags: confiabilidade, alta disponibilidade, Google Kubernetes Engine

Recurso: container.googleapis.com/NodePool

Detalhes
Verifica se os pools de nós do Google Kubernetes Engine usam a política de local BALANCED, garantindo uma distribuição uniforme de nós nas zonas disponíveis para maximizar a alta disponibilidade e a resiliência contra falhas zonais.
Cache de DNS nodelocal do Google Kubernetes Engine desativado

Gravidade:
Média

Tags: GKE, Kubernetes, Cluster, DNS, Rede, Performance, Scalability, CSPR, CoNa, MVSP

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se o NodeLocal DNSCache está ativado em um cluster do GKE. O NodeLocal DNSCache melhora o desempenho do Cluster DNS executando um agente de armazenamento em cache do DNS em nós de cluster como um DaemonSet. Essa é uma prática recomendada principal de rede do GKE para escalonabilidade e confiabilidade. Uma violação ocorre se "addonsConfig.dnsCacheConfig.enabled" for "false" ou estiver ausente.
Escalonamento automático do pool de nós do Google Kubernetes Engine ativado

Gravidade:
Baixa

Tags: Google Kubernetes Engine, Kubernetes, Cluster, NodePool, escalonamento automático, desempenho, otimização de custos

Recurso: container.googleapis.com/NodePool

Detalhes
Verifica se algum pool de nós em um cluster do Google Kubernetes Engine tem o escalonamento automático desativado. O escalonamento automático do pool de nós ajusta automaticamente o número de nós com base na demanda. Essa regra itera pela matriz "nodePools" na configuração dos clusters. Uma violação é gerada se o cluster tiver pelo menos um pool de nós em que o campo "autoscaling.enabled" esteja ausente ou definido como "false".
Pool de nós do Google Kubernetes Engine com CMEK ativada

Gravidade:
Média

Tags: Google Kubernetes Engine, Kubernetes, Cluster, NodePool, CMEK, KMS, Encryption, Security, BootDisk

Recurso: container.googleapis.com/NodePool

Detalhes
Verifica se os pools de nós do cluster do Google Kubernetes Engine estão configurados para usar chaves de criptografia gerenciadas pelo cliente (CMEK) nos discos de inicialização. O uso de CMEK permite maior controle sobre as chaves de criptografia que protegem os discos de inicialização de nós, aumentando a segurança e a conformidade. Essa regra faz iterações em todos os nodePools de um cluster. Para cada pool de nós, ele examina o campo config.bootDiskKmsKey. Uma violação é gerada para o cluster se um pool de nós for encontrado sem bootDiskKmsKey ou com esse campo vazio, indicando que os discos de inicialização do pool de nós não estão criptografados com CMEK.
Porta somente leitura do kubelet do pool de nós do Google Kubernetes Engine desativada

Gravidade:
Média

Tags: GKE, NodePool, Kubelet, Security, CSPR, CoNa

Recurso: container.googleapis.com/NodePool

Detalhes
Verifica se o pool de nós do GKE tem a porta somente leitura do kubelet não segura ativada. Ativar essa porta permite o acesso não autenticado à API kubelet, o que representa um risco de segurança. A porta precisa ser desativada (insecureKubeletReadonlyPortEnabled precisa ser definido como "false").
Nodepool multizonal do Google Kubernetes Engine

Gravidade:
Alta

Tags: Reliability, Kubernetes, HighAvailability, Resiliency

Recurso: container.googleapis.com/NodePool

Detalhes
Verifique se os pools de nós do GKE abrangem várias zonas (pelo menos três recomendadas para clusters regionais) para evitar perda de capacidade durante interrupções zonais.
Nodepool do Google Kubernetes Engine em uma zona

Gravidade:
Alta

Tags: Google Kubernetes Engine, pool de nós, locais, capacidade de recuperação, segurança, CSPR

Recurso: container.googleapis.com/NodePool

Detalhes
Verifica se um pool de nós do Google Kubernetes Engine tem apenas uma zona. Os clusters do Google Kubernetes Engine podem ser criados em uma única zona em que uma única instância do plano de controle/servidor de API é implantada. Como alternativa, os clusters podem ser criados em uma região do Google Cloud que distribui três instâncias do plano de controle/servidor de API uniformemente em três zonas dessa região. Os clusters regionais também distribuem os nós de trabalho de maneira uniforme nessas três zonas para reduzir o impacto de uma interrupção zonal do Google Cloud.
Nodepool de zona única do Google Kubernetes Engine

Gravidade:
Média

Tags: confiabilidade, GKE, Kubernetes, CoNa

Recurso: container.googleapis.com/Cluster

Detalhes
Detecta pools de nós do GKE configurados em uma única zona em um cluster regional. Abranger pools de nós em várias zonas é essencial para garantir a alta disponibilidade da carga de trabalho e evitar interrupções durante uma única falha zonal.
Pool de nós do Google Kubernetes Engine em duas zonas

Gravidade:
Alta

Tags: Google Kubernetes Engine, pool de nós, locais, capacidade de recuperação, segurança, CSPR

Recurso: container.googleapis.com/NodePool

Detalhes
Verifica se um pool de nós do Google Kubernetes Engine tem apenas duas zonas. Os clusters do Google Kubernetes Engine podem ser criados em uma única zona em que uma única instância do plano de controle/servidor de API é implantada. Como alternativa, os clusters podem ser criados em uma região do Google Cloud que distribui três instâncias do plano de controle/servidor de API uniformemente em três zonas dessa região. Os clusters regionais também distribuem os nós de trabalho de maneira uniforme nessas três zonas para reduzir o impacto de uma interrupção zonal do Google Cloud.
O Google Kubernetes Engine permite apenas um cluster por projeto.

Gravidade:
Média

Tags: Google Kubernetes Engine, Projeto, Segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_1

Detalhes
Essa regra identifica projetos com vários clusters do Google Kubernetes Engine, permitindo medidas proativas para simplificar o gerenciamento, otimizar a utilização de recursos e reduzir os custos associados à complexidade desnecessária do cluster.
Notificações de pods do Google Kubernetes Engine ativadas

Gravidade:
Baixa

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Notifications, Pub/Sub, Monitoring, Operations, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se as notificações do Pub/Sub para eventos de cluster do Google Kubernetes Engine estão ativadas. Com esse recurso, você recebe notificações sobre eventos importantes do ciclo de vida do cluster (como upgrades e mudanças no pool de nós) por um tópico do Pub/Sub, permitindo monitoramento e automação proativos. Essa regra examina o campo "notificationConfig.pubsub.enabled". Uma violação será gerada se esse campo estiver ausente ou definido como "false".
Limites de PID de pods do Google Kubernetes Engine

Gravidade:
Média

Tags: Google Kubernetes Engine, Kubernetes, NodePool, PodPidsLimit, Security, ResourceManagement, Kubelet, CSPR

Recurso: container.googleapis.com/NodePool

Detalhes
Verifica se um pool de nós de cluster do Google Kubernetes Engine tem um limite de PID de pod configurado. Definir um limite de PID do pod ajuda a evitar o esgotamento de recursos, em que um único pod consome todos os IDs de processos disponíveis em um nó. Essa regra examina o campo "config.kubeletConfig.podPidsLimit" diretamente no recurso "NodePool". Uma violação será gerada se "podPidsLimit" estiver ausente, for nulo ou não for um número positivo.
Plano de controle particular do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, Security, Rede, DNS Endpoint, CSPR, CoNa, MVSP

Recurso: container.googleapis.com/Cluster

Detalhes
Verifique se os clusters do Google Kubernetes Engine permitem tráfego externo para os endpoints do plano de controle de DNS.
Nós particulares do Google Kubernetes Engine ativados

Gravidade:
Alta

Tags: Google Kubernetes Engine, Kubernetes, Cluster, PrivateNodes, Security, Rede, VPC, CSPR, CoNa

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se os nós particulares estão ativados em um cluster do Google Kubernetes Engine. Ao ativar os nós particulares, você garante que os nós no cluster não tenham endereços IP externo, aumentando a segurança ao reduzir a exposição direta deles à Internet. A comunicação com o plano de controle e outros serviços do Google geralmente ocorre por conexões particulares (por exemplo, Acesso privado do Google ou VPC Service Controls). Essa regra examina o campo "privateClusterConfig.enablePrivateNodes". Uma violação será gerada se esse campo estiver ausente ou definido como "false".
Endpoint público do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Autopilot, Managed, Configuration, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se um cluster do Google Kubernetes Engine (GKE) é público. Verifique se todos os clusters do Google Kubernetes Engine são particulares com a flag enableprivateendpoint. Esse é o nível mais alto de acesso restrito, em que o nó do plano de controle dos clusters fica inacessível na Internet pública.
Cluster regional do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, confiabilidade, alta disponibilidade, BCDR, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifique se os clusters do Google Kubernetes Engine estão configurados como regionais para oferecer alta disponibilidade replicando o plano de controle e os nós em várias zonas. Os clusters zonais estão sujeitos a interrupções em uma única zona, o que pode afetar muito a disponibilidade do aplicativo e a continuidade dos negócios.
Canal de lançamento do Google Kubernetes Engine não especificado

Gravidade:
Alta

Tags: Google Kubernetes Engine, cluster, upgrade, segurança, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se um canal de lançamento está definido para clusters do Google Kubernetes Engine. Inscreva-se em um canal de lançamento para automatizar os upgrades de versão do cluster do Google Kubernetes Engine. Os canais de lançamento também reduzem a complexidade do gerenciamento de versões ao número de recursos e ao nível de estabilidade necessários.
Sandbox do Google Kubernetes Engine gvisor

Gravidade:
Média

Tags: Google Kubernetes Engine, Segurança, Computação, CoNa, MVSP

Recurso: container.googleapis.com/Cluster

Detalhes
Verifique se os clusters do Google Kubernetes Engine têm pelo menos um pool de nós ativado para GVISOR.
Nós protegidos do Google Kubernetes Engine desativados

Gravidade:
Alta

Tags: GKE, segurança, CSPR, MVSP

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se os pools de nós do GKE têm a configuração de instância protegida ativada (Inicialização segura e monitoramento de integridade).
Escalonamento vertical do Google Kubernetes Engine ativado

Gravidade:
Baixa

Tags: Google Kubernetes Engine, Kubernetes, Cluster, VPA, VerticalPodAutoscaling, Autoscaling, Optimization, CSPR

Recurso: container.googleapis.com/Cluster

Detalhes
Verifica se o escalonamento automático vertical de pods (VPA, na sigla em inglês) está ativado em um cluster do Google Kubernetes Engine. O VPA ajusta automaticamente as solicitações de CPU e memória para pods, otimizando a alocação de recursos e potencialmente melhorando o desempenho e a eficiência de custos. Essa regra examina o campo "verticalPodAutoscaling.enabled" na configuração dos clusters. Uma violação será gerada se esse campo estiver ausente ou definido como "false", indicando que o VPA não está ativo.
Identidade da carga de trabalho do Google Kubernetes Engine

Gravidade:
Alta

Tags: Google Kubernetes Engine, Security, IAM, CSPR, CoNa, MVSP

Recurso: container.googleapis.com/Cluster

Detalhes
Verifique se a Identidade da carga de trabalho está ativada nos clusters do Google Kubernetes Engine.
Verificação automática de contêineres do K8s ativada

Gravidade:
Alta

Tags: Project, Container, Auto Scanning, Security, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_2

Detalhes
Ative a verificação automática de contêineres para detectar vulnerabilidades de forma proativa, reforçando a segurança do aplicativo, aumentando a confiabilidade operacional, mantendo a integridade do desempenho e mitigando riscos de violação dispendiosos.
Segurança de contêineres do K8s ativada

Gravidade:
Alta

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Security, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_2

Detalhes
Verifica se você está usando o painel de controle de postura de segurança do Google Kubernetes Engine.
Verificação de contêineres sob demanda do K8s ativada

Gravidade:
Alta

Tags: Project, Container, On Demand Scanning, Security, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_2

Detalhes
Ative a verificação on demand de contêineres para detectar proativamente vulnerabilidades nas imagens de contêiner, protegendo seus aplicativos, garantindo a confiabilidade operacional e evitando incidentes de segurança dispendiosos.

Práticas recomendadas do Google Cloud - IAM (75 resultados)

Chaves de API sem restrições

Gravidade:
Alta

Tags: IAM, Security, APIKey, CSPR, MVSP

Recurso: apikeys.googleapis.com/Key

Detalhes
Verifica se as chaves de API têm restrições de aplicativo ou IP configuradas para evitar o uso não autorizado.
Grupo básico do IAM na pasta

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Essa regra identifica grupos atribuídos a papéis básicos amplos demais (por exemplo, proprietário, editor) no nível da pasta, permitindo que os clientes apliquem o princípio de privilégio mínimo, o que reduz significativamente os riscos de segurança de permissões excessivas e simplifica a governança de acesso.
Grupo básico do IAM na organização

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Essa regra identifica grupos que recebem papéis básicos altamente permissivos (como Proprietário ou Editor) no nível da organização. É uma verificação essencial para evitar vulnerabilidades de segurança generalizadas e garantir a adesão ao princípio de privilégio mínimo em todos os recursos da nuvem.
Grupo básico do IAM no projeto

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Reduza os riscos de segurança e evite alterações não intencionais no projeto identificando grupos com papéis básicos muito amplos (como Proprietário ou Editor), aplicando assim o princípio de privilégio mínimo para aumentar a estabilidade operacional.
Conta de serviço básica do IAM na pasta

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Identifica contas de serviço que receberam papéis básicos excessivamente permissivos (como Proprietário ou Editor) no nível da pasta, o que é fundamental para aplicar o princípio de privilégio mínimo, aumentar a segurança, manter a confiabilidade operacional e controlar os custos.
Conta de serviço básica do IAM na organização

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Verifique se as contas de serviço no nível da organização não têm papéis básicos amplos, uma etapa fundamental para manter o princípio de privilégio mínimo, evitar violações de segurança generalizadas e manter a confiabilidade operacional.
Conta de serviço básica do IAM no projeto

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Essa regra identifica contas de serviço que recebem papéis básicos excessivamente permissivos (como Proprietário ou Editor) no nível do projeto. Essa regra permite a aplicação proativa do princípio de privilégio mínimo para reduzir significativamente os riscos de segurança e limitar o impacto potencial de credenciais comprometidas.
Usuário básico do IAM na pasta

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Identificar usuários com papéis básicos excessivamente permissivos (por exemplo, proprietário, editor) no nível da pasta é crucial para aplicar o privilégio mínimo, o que melhora diretamente sua postura de segurança e a estabilidade operacional, evitando mudanças não intencionais.
Usuário básico do IAM na organização

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Identificar usuários individuais com funções básicas amplas no nível da organização é fundamental para reduzir os riscos de acesso não autorizado generalizado ou mudanças acidentais, protegendo a segurança, a confiabilidade e a eficiência de custos dos seus ambientes de nuvem.
Usuário básico do IAM no projeto

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Marcar a atribuição direta de papéis básicos amplos a usuários individuais no nível do projeto aumenta a segurança e simplifica o gerenciamento de acesso, incentivando a adesão ao princípio de privilégio mínimo por meio de permissões baseadas em grupo.
Principais administradores de faturamento do IAM no faturamento

Gravidade:
Alta

Tags: IAM, conta de faturamento, administrador, segurança, CSPR, CoNa, MVSP

Recurso: cloudbilling.googleapis.com/BillingAccount

Detalhes
Essa regra aumenta a segurança financeira ao identificar principais com privilégios amplos de administrador de faturamento no nível da conta de faturamento. Ela ajuda a evitar gastos não autorizados e garante uma governança de custos robusta.
Principais administradores de faturamento do IAM na organização

Gravidade:
Alta

Tags: IAM, conta de faturamento, administrador, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Reforce a governança e a segurança financeiras identificando os principais usuários com privilégios diretos de administrador de faturamento no nível da organização, o que é fundamental para evitar modificações não autorizadas e generalizadas no faturamento e aplicar o princípio de privilégio mínimo.
Usuário administrador de faturamento do IAM em billing

Gravidade:
Alta

Tags: IAM, conta de faturamento, administrador, segurança, CSPR, CoNa, MVSP

Recurso: cloudbilling.googleapis.com/BillingAccount

Detalhes
Detectar usuários individuais com privilégios diretos Administrador da conta de faturamento é crucial para mitigar riscos financeiros e evitar interrupções de serviço, aplicando o princípio de privilégio mínimo.
Usuário administrador de faturamento do IAM na organização

Gravidade:
Alta

Tags: IAM, conta de faturamento, administrador, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Aumente a segurança, a confiabilidade e o controle de custos restringindo as permissões amplas de administrador de faturamento para contas de usuário individuais no nível da organização. Assim, você minimiza os riscos de mudanças não autorizadas, interrupções de serviço e impacto financeiro.
Principais gerentes de custos de faturamento do IAM no faturamento

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudbilling.googleapis.com/BillingAccount

Detalhes
Garante que apenas pessoas autorizadas possam ver e exportar dados de custo da conta de faturamento, protegendo informações financeiras sensíveis e oferecendo suporte a uma governança de custos rigorosa.
Principais gerentes de custos de faturamento do IAM na organização

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Identifica principais com funções de gerente de custos de faturamento no nível da organização, ajudando a aplicar o princípio de privilégio mínimo para proteger dados de faturamento sensíveis e abrangentes e manter controles de visibilidade de custos adequados.
Usuário do gerente de custos de faturamento do IAM em faturamento

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudbilling.googleapis.com/BillingAccount

Detalhes
Garanta uma governança de custos robusta restringindo a função "Gerente de custos de faturamento" para usuários individuais no nível da conta de faturamento, evitando possíveis erros de configuração de orçamento e mantendo uma responsabilidade clara pelas operações financeiras.
Usuário do IAM com função de gerente de custos de faturamento na organização

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Melhora a segurança financeira e o controle de custos ao identificar contas de usuários individuais com permissões de gerenciamento de custos de faturamento em toda a organização, promovendo o privilégio mínimo e reduzindo o risco.
Domínios do criador de faturamento do IAM na organização

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Detecta domínios atribuídos à função de Criador da conta de faturamento no nível da organização, uma verificação crucial para evitar a proliferação não autorizada de contas de faturamento e manter uma supervisão financeira robusta.
Principais criadores de faturamento do IAM na organização

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Essa regra identifica principais com privilégios de criador de faturamento no nível da organização, o que é crucial para evitar gastos descontrolados na nuvem e garantir uma governança financeira rigorosa na criação de novas contas de faturamento.
Usuário criador de faturamento do IAM na organização

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Essa regra identifica usuários com direitos de criação de faturamento no nível da organização para evitar gastos descontrolados na nuvem e aplicar uma governança financeira essencial.
Principais usuários de faturamento do IAM em faturamento

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudbilling.googleapis.com/BillingAccount

Detalhes
É fundamental impedir a atribuição do papel de usuário da conta de faturamento ao identificador principal excessivamente amplo no nível da conta de faturamento para proteger dados financeiros sensíveis e controlar os gastos, garantindo que apenas usuários ou grupos específicos e pretendidos possam gerenciar o faturamento.
Principais usuários de faturamento do IAM na organização

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Garante o privilégio mínimo ao identificar principais com o papel de usuário da conta de faturamento no nível da organização, o que é fundamental para proteger dados financeiros sensíveis e fortalecer a governança de custos.
Usuário de faturamento do IAM em faturamento

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudbilling.googleapis.com/BillingAccount

Detalhes
Identifica contas de usuário individuais com papéis de usuário de faturamento atribuídos diretamente, promovendo permissões baseadas em grupo para aumentar a segurança, simplificar a administração e controlar os custos.
Usuário de faturamento do IAM na organização

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Essa regra aumenta a segurança ao identificar atribuições de funções/billing.user no nível da organização, o que impede o acesso excessivamente amplo a dados financeiros sensíveis e aplica o princípio de privilégio mínimo.
Principais leitores de faturamento do IAM no faturamento

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudbilling.googleapis.com/BillingAccount

Detalhes
Essa regra aumenta a segurança ao identificar principais com funções de leitor direto da conta de faturamento, garantindo a adesão ao princípio de privilégio mínimo para evitar acesso amplo não intencional a informações de faturamento sensíveis.
Principais leitores de faturamento do IAM na organização

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Proteja dados financeiros sensíveis e aplique o princípio de privilégio mínimo identificando principais com acesso de leitor de faturamento no nível da organização, minimizando assim os riscos de exposição não autorizada de informações.
Usuário do visualizador de faturamento do IAM no faturamento

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudbilling.googleapis.com/BillingAccount

Detalhes
Identifica usuários com funções de leitor de faturamento atribuídas diretamente no nível da conta de faturamento, permitindo a aplicação do princípio de privilégio mínimo para proteger dados financeiros sensíveis e evitar a exposição a custos não autorizados.
Usuário leitor de faturamento do IAM na organização

Gravidade:
Alta

Tags: IAM, conta de faturamento, proprietário, organização, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Essa regra aumenta a segurança de dados financeiros ao identificar usuários individuais com acesso de leitor de faturamento em toda a organização, o que é fundamental para aplicar o princípio de privilégio mínimo e minimizar a exposição a custos sensíveis.
Acesso entre domínios do IAM

Gravidade:
Alta

Tags: IAM, segurança, CSPR, MVSP

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Verifica se as políticas do IAM não concedem acesso a allUsers ou allAuthenticatedUsers.
O grupo do IAM pode criar um projeto no nível da pasta

Gravidade:
Média

Tags: IAM, criador de projetos, pasta, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Detecta se os grupos têm papéis de criador de projetos no nível da pasta, permitindo uma governança proativa para evitar a expansão descontrolada de recursos, aplicar níveis de segurança e controlar custos.
O grupo do IAM pode criar um projeto no nível da organização

Gravidade:
Média

Tags: IAM, criador de projetos, organização, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Essa regra identifica grupos com recursos de criação de projetos em toda a organização, ajudando a evitar a proliferação descontrolada de projetos e os custos associados, além de fortalecer a segurança e a governança no provisionamento de recursos.
Administrador da organização do IAM

Gravidade:
Alta

Tags: IAM, conta de faturamento, administrador, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Identificar atribuições de administrador da organização com privilégios elevados permite proteger todo o ambiente de nuvem controlando estritamente o acesso final, evitando assim vulnerabilidades de segurança generalizadas e interrupções operacionais.
Redundância do administrador da organização do IAM

Gravidade:
Alta

Tags: IAM, organização, administrador, redundância, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Impõe a redundância do administrador da organização. Evite ter um único administrador da organização para impedir cenários de bloqueio e garantir a continuidade administrativa. Verifique se há pelo menos dois administradores.
Grupo proprietário do IAM na pasta

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Essa regra sinaliza grupos com permissões de proprietário em pastas, uma verificação essencial para evitar vulnerabilidades de segurança generalizadas e interrupções operacionais acidentais, aplicando um controle de acesso mais rígido.
Grupo de proprietários do IAM na organização

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Identifica grupos com permissões de proprietário no nível da organização, o que é crucial para evitar violações de segurança catastróficas e falhas operacionais decorrentes de escalonamentos de privilégios indiretos e difíceis de auditar por meio de mudanças na associação a grupos.
Grupo de proprietários do IAM no projeto

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Essa regra identifica os Grupos do Google atribuídos à função de proprietário no nível do projeto, o que é crucial para reduzir vulnerabilidades de segurança causadas por permissões excessivas, evitar interrupções operacionais e controlar gastos indesejados na nuvem.
Conta de serviço proprietária do IAM na pasta

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Essa regra aumenta a segurança ao identificar contas de serviço com papéis de proprietário altamente permissivos no nível da pasta, o que é essencial para mitigar riscos de privilégios excessivos e aplicar o princípio de privilégio mínimo para um controle de recursos robusto.
Conta de serviço proprietária do IAM na organização

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Proteja sua organização contra ameaças de segurança críticas detectando contas de serviço com privilégios de proprietário excessivos no nível da organização, evitando o controle e a manipulação não autorizados de todos os recursos da nuvem.
Conta de serviço proprietária do IAM no projeto

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Essa regra identifica contas de serviço com papéis de proprietário no nível do projeto, um risco de segurança crítico. Essa regra ajuda a aplicar o princípio de privilégio mínimo, que é crucial para aumentar a segurança, garantir a confiabilidade operacional e evitar gastos descontrolados na nuvem.
Usuário proprietário do IAM na pasta

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Essa verificação identifica papéis de proprietário atribuídos pelo usuário no nível da pasta, permitindo a mitigação proativa de riscos de segurança causados por permissões excessivas e a prevenção de modificações não intencionais, potencialmente caras ou disruptivas, nos recursos.
Usuário proprietário do IAM na organização

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Detecta usuários atribuídos à função de proprietário no nível da organização, uma verificação essencial para evitar mudanças amplas e não intencionais que possam comprometer a segurança, prejudicar a confiabilidade do serviço, prejudicar o desempenho e gerar custos descontrolados.
Usuário proprietário do IAM no projeto

Gravidade:
Alta

Tags: IAM, proprietário, organização, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Evita custos não intencionais ao identificar usuários atribuídos à função de proprietário, mitigando assim os riscos de privilégios excessivos.
Projeto não permitido para contas pessoais do Gmail do IAM

Gravidade:
Alta

Tags: IAM, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Identifica vinculações do IAM no nível do projeto que concedem permissões a contas pessoais do Gmail (por exemplo, @gmail.com ou @googlemail.com). As práticas recomendadas exigem a restrição do acesso a identidades de domínio corporativo para minimizar o risco de vazamento de dados e comprometimento de credenciais.
Projeto do IAM exposto publicamente

Gravidade:
Crítico

Tags: IAM, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Identifica vinculações do IAM no nível do projeto que concedem permissões a allUsers ou allAuthenticatedUsers. Expor projetos publicamente permite o acesso não autenticado aos recursos e à estrutura do projeto, o que representa um risco de segurança grave.
Criador de token do grupo da conta de serviço do IAM na pasta

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Reforce a segurança evitando a representação ampla e baseada em grupos de contas de serviço no nível da pasta. Assim, você reduz o risco de escalonamento de privilégios e acesso não autorizado a recursos.
Criador de token do grupo da conta de serviço do IAM na organização

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Essa regra identifica grupos que recebem papéis de usuário da conta de serviço ou criador de token no nível da organização e ajuda a mitigar riscos de segurança críticos, como escalonamento de privilégios e comprometimento amplo de recursos, aplicando princípios de privilégio mínimo.
Criador de token do grupo da conta de serviço do IAM no projeto

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Aumenta a segurança do projeto ao identificar grupos com papéis de usuário da conta de serviço ou criador de token, permitindo a mitigação proativa de riscos de recursos de representação excessivamente amplos e simplificando os rastros de auditoria de acesso.
Criador de token principal da conta de serviço do IAM na pasta

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Verificação para detectar o usuário da conta de serviço e o criador de token em principais no nível da pasta
Criador de token principal da conta de serviço do IAM na organização

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Essa regra identifica principais com papéis de usuário da conta de serviço ou criador de token no nível da organização, permitindo a aplicação proativa do princípio do privilégio mínimo para evitar comprometimento generalizado do sistema e reduzir significativamente o risco de segurança.
Criador de token principal da conta de serviço do IAM no projeto

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Essa regra detecta principais com papéis de usuário da conta de serviço ou criador de token no nível do projeto, que concedem recursos de representação abrangentes e de alto risco em qualquer conta de serviço. Essa detecção de função ajuda a aplicar o princípio de privilégio mínimo e reduzir drasticamente os riscos de segurança.
Criador de token do conjunto principal da conta de serviço do IAM na pasta

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Identifica atribuições de principalSet com papéis de usuário da conta de serviço ou criador de token no nível da pasta, evitando privilégios excessivos de identidade temporária de conta de serviço para aumentar a segurança e aplicar o privilégio mínimo.
Criador do token do conjunto principal da conta de serviço do IAM na organização

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Reduz o risco organizacional ao identificar principalSets com identidade temporária de conta de serviço ou privilégios de criação de token excessivamente amplos no nível da organização, evitando possíveis violações de segurança generalizadas e acesso não autorizado a recursos.
Criador do token do conjunto principal da conta de serviço do IAM no projeto

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Restringir as funções de usuário da conta de serviço/criador de token para principalSets amplos (como grupos ou domínios) no nível do projeto reduz os riscos de escalonamento de privilégios generalizados e representação não autorizada, melhorando a postura geral de segurança do projeto.
Criador do token de usuário da conta de serviço do IAM na pasta

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Verificação para detectar o usuário da conta de serviço e o criador de token nos usuários no nível da pasta
Criador de token de usuário da conta de serviço do IAM na organização

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Verificação para detectar o usuário da conta de serviço e o criador de token nos usuários no nível da organização
Criador de token de usuário da conta de serviço do IAM no projeto

Gravidade:
Média

Tags: IAM, conta de serviço, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Essa regra identifica usuários com privilégios extensivos de identidade temporária de conta de serviço ou criação de token no nível do projeto e ajuda a neutralizar de forma preventiva as principais vulnerabilidades de segurança, como escalonamento de privilégios por contas violadas. Assim, ela protege ativos vitais e reduz possíveis perdas financeiras causadas por violações.
Pasta do leitor de secrets do IAM

Gravidade:
Alta

Tags: IAM, secret, Security, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Reforça a proteção de dados e ajuda a aplicar o princípio de privilégio mínimo ao identificar e corrigir permissões excessivamente amplas no nível da pasta que concedem acesso generalizado a secrets, minimizando o risco de exposição não autorizada.
Organização leitora de secrets do IAM

Gravidade:
Alta

Tags: IAM, secret, Security, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Essa regra identifica papéis do IAM no nível da organização que concedem acesso amplo a secrets (como proprietário, administrador/acessor do Secret Manager), o que é crucial para aplicar o princípio de privilégio mínimo e minimizar o risco de exposição generalizada de dados sensíveis.
Projeto leitor de secrets do IAM

Gravidade:
Alta

Tags: IAM, secret, Security, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Essa regra identifica vinculações do IAM no nível do projeto que concedem papéis excessivamente permissivos (como roles/owner, roles/secretmanager.admin ou roles/secretmanager.secretAccessor) com acesso amplo a todos os secrets. Essa regra ajuda a aplicar o princípio de privilégio mínimo, protegendo dados sensíveis e reduzindo o risco de incidentes de segurança dispendiosos.
A expiração da chave da conta de serviço do IAM é superior a 90 dias

Gravidade:
Média

Tags: IAM, chave de conta de serviço, segurança, CSPR

Recurso: iam.googleapis.com/ServiceAccountKey

Detalhes
A imposição de uma rotação de 90 dias para chaves conta de serviço gerenciadas pelo usuário reduz significativamente o risco de acesso não autorizado prolongado por credenciais comprometidas, protegendo seus serviços críticos e evitando incidentes de segurança dispendiosos.
Chave da conta de serviço do IAM com mais de 90 dias

Gravidade:
Média

Tags: IAM, chave de conta de serviço, segurança, CSPR

Recurso: iam.googleapis.com/ServiceAccountKey

Detalhes
Identificar chaves de conta de serviço gerenciadas pelo usuário ativas com mais de 90 dias permite a rotação proativa, reduzindo significativamente a superfície de ataque e minimizando os riscos de acesso não autorizado ou comprometimento de credenciais.
Chave da conta de serviço do IAM gerenciada pelo usuário

Gravidade:
Média

Tags: IAM, chave de conta de serviço, segurança, CSPR

Recurso: iam.googleapis.com/ServiceAccountKey

Detalhes
As chaves de conta de serviço gerenciadas pelo usuário não têm rotação automática, o que aumenta as vulnerabilidades de segurança e a carga operacional. A migração para chaves gerenciadas pelo Google aumenta a segurança e simplifica o gerenciamento de chaves.
Conta de serviço do IAM sem data de expiração

Gravidade:
Média

Tags: IAM, chave de conta de serviço, segurança, CSPR

Recurso: iam.googleapis.com/ServiceAccountKey

Detalhes
Defina datas de expiração para as chaves de conta de serviço gerenciadas pelo usuário para limitar o ciclo de vida ativo delas. Isso é crucial para minimizar os riscos de segurança e proteger seus recursos contra acesso não autorizado se uma chave for comprometida.
Pasta de administrador de usuários da conta de serviço do IAM

Gravidade:
Alta

Tags: IAM, conta de serviço, administrador, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Essa regra aumenta a segurança ao detectar principais em uma pasta que podem usar e gerenciar totalmente as contas de serviço. Essa permissão excessiva crítica, se comprometida, aumenta muito o risco de acesso não autorizado generalizado e manipulação de recursos.
Administrador de usuários da conta de serviço do IAM

Gravidade:
Alta

Tags: IAM, conta de serviço, administrador, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Essa regra identifica principais com papéis de usuário da conta de serviço e de administrador no nível da organização, uma verificação essencial para evitar escalonamento de privilégios significativo e aplicar o privilégio mínimo, protegendo seus recursos e mantendo a confiabilidade operacional.
Projeto de administrador de usuários da conta de serviço do IAM

Gravidade:
Alta

Tags: IAM, conta de serviço, administrador, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Identifica principais com papéis redundantes de usuário e administrador da conta de serviço em um projeto para ajudar você a aplicar o princípio de privilégio mínimo, simplificando o IAM e reforçando a segurança.
Administrador de usuários da conta de serviço do IAM

Gravidade:
Alta

Tags: IAM, conta de serviço, administrador, segurança, CSPR, CoNa, MVSP

Recurso: iam.googleapis.com/ServiceAccount

Detalhes
Essa regra identifica principais que têm os papéis de usuário e administrador da conta de serviço no nível da organização. Essa é uma verificação essencial para aplicar o princípio de privilégio mínimo, reduzir a superfície de ataque e minimizar os riscos de permissões excessivas.
Conta de serviço do IAM com chave gerenciada pelo usuário

Gravidade:
Média

Tags: IAM, chave de conta de serviço, segurança, CSPR

Recurso: iam_ServiceAccount_RESOURCE_1

Detalhes
Essa regra identifica contas de serviço que usam chaves gerenciadas pelo usuário, o que exige rotação manual e representa um risco de segurança maior. Essa regra ajuda a reforçar a postura de segurança fazendo a transição para chaves gerenciadas pelo Google ou implementando controles rigorosos de ciclo de vida das chaves.
O usuário do IAM pode criar um projeto no nível da pasta

Gravidade:
Média

Tags: IAM, criador de projetos, pasta, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Essa regra identifica usuários com privilégios diretos de criação de projetos no nível da pasta, o que é fundamental para evitar o crescimento descontrolado de recursos, proteger orçamentos, aplicar políticas de segurança e manter a estabilidade operacional.
O usuário do IAM pode criar um projeto no nível da organização

Gravidade:
Média

Tags: IAM, criador de projetos, pasta, segurança, CSPR, CoNa

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Validar se os direitos de criação de projetos não são concedidos aos usuários diretamente no nível da organização ajuda a aplicar o princípio do privilégio mínimo, evitando a proliferação descontrolada de recursos para melhorar o gerenciamento de custos, a segurança e a governança geral.
Permissões de caractere curinga da política de PAB

Gravidade:
Média

Tags: PAB, política, curinga, permissão, segurança

Recurso: iam.googleapis.com/PrincipalAccessBoundaryPolicy

Detalhes
Sinaliza políticas de limite de acesso de principal (PAB) que permitem permissões curinga "*", o que concede acesso a todas as permissões em todos os serviços, anulando a finalidade de um limite.
Pasta com papéis primários não permitidos

Gravidade:
Alta

Tags: IAM, segurança, privilégio mínimo, CSPR

Recurso: cloudresourcemanager.googleapis.com/Folder

Detalhes
Marcar papéis primitivos não permitidos (proprietário, editor) nas políticas do IAM da pasta
Organização não permitida para papéis primários

Gravidade:
Alta

Tags: IAM, segurança, privilégio mínimo, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Marcar papéis primitivos não permitidos (proprietário, editor) nas políticas do IAM da organização
Projeto com papéis primitivos não permitidos

Gravidade:
Alta

Tags: IAM, segurança, privilégio mínimo, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Marcar papéis primitivos não permitidos (proprietário, editor) nas políticas do IAM do projeto

Práticas recomendadas do Google Cloud: Memorystore para Memcache (2 resultados)

A instância do Memorystore tem

Gravidade:
Alta

Tags: confiabilidade, alta disponibilidade, BCDR

Recurso: memcache.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Memorystore estão configuradas com vários nós para garantir alta disponibilidade. As configurações de nó único não têm redundância, o que aumenta o risco de interrupção do serviço durante falhas.
HA zonal da instância do Memorystore

Gravidade:
Alta

Tags: confiabilidade, alta disponibilidade, BCDR, CoNa

Recurso: memcache.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Memorystore Memcached estão distribuídas em várias zonas distintas para garantir alta disponibilidade. Confiar em uma única zona cria um ponto único de falha, arriscando a interrupção do serviço durante falhas zonais.

Práticas recomendadas do Google Cloud: Memorystore para Redis (8 resultados)

Persistência da instância do Memorystore

Gravidade:
Alta

Tags: Redis, Memorystore, Reliability, DisasterRecovery, Persistence

Recurso: redis.googleapis.com/Instance

Detalhes
Verifica se as instâncias do nível Standard do Memorystore para Redis têm a persistência ativada. A persistência garante a recuperação de dados do disco. Essa regra sinaliza instâncias Standard em que "persistenceMode" está desativado ou ausente.
Autenticação do Redis ativada

Gravidade:
Alta

Tags: Redis, Memorystore, Instance, Security, Authentication, AccessControl

Recurso: redis.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Memorystore para Redis têm o Redis AUTH ativado. O AUTH do Redis exige que os clientes se autentiquem com uma senha antes de acessar o banco de dados. Essa é uma medida de segurança fundamental para evitar acessos não autorizados. Essa regra sinaliza instâncias em que "authEnabled" é "false".
Conjunto de rede autorizada do Redis

Gravidade:
Média

Tags: Redis, Memorystore, Instance, Security, Network, AccessControl, VPC, CoNa

Recurso: redis.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Memorystore para Redis têm uma rede autorizada configurada. Restringir o acesso a uma rede VPC específica limita a possível superfície de ataque. Embora essa regra não valide a rede específica, ela verifica se há alguma restrição de rede. Uma verificação mais robusta compararia com uma lista de redes permitidas (usando parâmetros).
Instância do Redis em várias zonas

Gravidade:
Alta

Tags: Reliability, Cache, HighAvailability, Locations

Recurso: redis.googleapis.com/Instance

Detalhes
Verifica se a réplica e a instância principal do Redis do Memorystore estão em zonas diferentes. No STANDARD_HA, colocar a réplica na mesma zona remove a capacidade de recuperação zonal.
Nível da instância do Redis ha

Gravidade:
Alta

Tags: Reliability, Cache, HighAvailability, Resiliency

Recurso: redis.googleapis.com/Instance

Detalhes
Verifica se a instância do Memorystore para Redis está usando o nível STANDARD_HA para garantir alta disponibilidade com failover automático para uma réplica.
Janela de manutenção do Redis configurada

Gravidade:
Alta

Tags: Redis, Memorystore, Instance, Availability, Reliability, Maintenance

Recurso: redis.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Memorystore para Redis têm uma janela de manutenção configurada. Com uma janela de manutenção definida, é possível controlar quando as operações de manutenção potencialmente disruptivas ocorrem. Sem uma janela definida, as atualizações podem acontecer a qualquer momento, o que pode afetar a disponibilidade do aplicativo. Essa regra sinaliza instâncias que não têm uma maintenancePolicy definida.
Redis no nível básico

Gravidade:
Alta

Tags: Redis, Memorystore, Instance, Availability, Reliability, HighAvailability, CSPR

Recurso: redis.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Memorystore para Redis estão usando o nível BASIC. O nível BÁSICO oferece um único nó do Redis e não oferece replicação nem failover automático. Isso o torna inadequado para cargas de trabalho de produção que exigem alta disponibilidade. Essa regra sinaliza qualquer instância que use o nível BÁSICO. É altamente recomendável fazer upgrade para STANDARD_HA em ambientes de produção.
O Redis padrão de alta disponibilidade tem réplicas

Gravidade:
Média

Tags: Redis, Memorystore, Instance, Availability, Reliability, HighAvailability, Performance, CSPR

Recurso: redis.googleapis.com/Instance

Detalhes
Verifica se as instâncias do Memorystore para Redis estão usando o nível STANDARD_HA e têm pelo menos uma réplica. Embora o STANDARD_HA ofereça recursos de alta disponibilidade, uma contagem de réplicas igual a zero elimina os benefícios da redundância. Essa regra sinaliza instâncias que não estão em STANDARD_HA e têm zero réplicas configuradas. Recomendamos aumentar a contagem de réplicas para pelo menos 1 (e, idealmente, 2 ou mais, até 5) para alta disponibilidade real.

Práticas recomendadas do Google Cloud: Memorystore for Redis Cluster (3 resultados)

Redis cluster ha

Gravidade:
Alta

Tags: Redis, Cluster, Reliability, HighAvailability, Resiliency

Recurso: redis.googleapis.com/Cluster

Detalhes
Verifica se as instâncias do Memorystore para Redis Cluster estão configuradas com disponibilidade multizona. As implantações de zona única criam um único ponto de falha e não são resilientes a interrupções zonais.
Persistência do cluster do Redis

Gravidade:
Alta

Tags: Redis, Memorystore, Cluster, Reliability, DisasterRecovery, Persistence

Recurso: redis.googleapis.com/Cluster

Detalhes
Verifica se os recursos do Memorystore for Redis Cluster têm a persistência ativada. A persistência (RDB ou AOF) é fundamental para a recuperação de desastres em caso de falha total do cluster. Essa regra sinaliza clusters do Redis em que "persistenceConfig.mode" não está definido como RDB ou AOF.
Réplica multizona do cluster do Redis

Gravidade:
Alta

Tags: Reliability, Cache, HighAvailability, Locations

Recurso: redis.googleapis.com/Cluster

Detalhes
Verifica se o posicionamento da réplica do cluster do Redis do Memorystore é multizona e se pelo menos uma réplica por fragmento está configurada.

Práticas recomendadas do Google Cloud: NetApp Volumes (1 resultado)

Política de snapshots do volume Netapp ativada

Gravidade:
Alta

Tags: confiabilidade, armazenamento, NetApp, backup, proteção de dados

Recurso: netapp.googleapis.com/Volume

Detalhes
Valida diretamente as configurações de programação e o estado da política de snapshot para o Google Cloud NetApp Volumes, garantindo que a recuperação pontual esteja ativa.

Práticas recomendadas do Google Cloud: rede (5 resultados)

Geração de registros de firewall de negação padrão do Compute

Gravidade:
Média

Tags: rede, firewall, segurança, CSPR, MVSP

Recurso: compute.googleapis.com/Firewall

Detalhes
Verifica se a geração de registros está ativada nas regras de firewall de negação padrão.
Compute firewall iap tcp tunnel

Gravidade:
Alta

Tags: rede, firewall, segurança, CSPR, IAP

Recurso: compute.googleapis.com/Firewall

Detalhes
Verifica se as regras de firewall que permitem o encaminhamento de TCP do IAP estão restritas ao intervalo de IP do Google IAP (35.235.240.0/20).
Registro em registros de políticas de firewall hierárquicas do Compute

Gravidade:
Média

Tags: rede, firewall, segurança, CSPR

Recurso: compute.googleapis.com/FirewallPolicy

Detalhes
Verifica se as políticas de firewall hierárquicas têm a geração de registros ativada.
O balanceador de carga do Compute não tem intervalos de origem

Gravidade:
Alta

Tags: rede, firewall, LB, segurança, CSPR

Recurso: compute.googleapis.com/Firewall

Detalhes
Verifica se as regras de firewall associadas aos balanceadores de carga definem explicitamente os intervalos de IP de origem.
Serviço de back-end da região do Compute CDN

Gravidade:
Média

Tags: Rede, segurança, CDN, CSPR

Recurso: compute.googleapis.com/RegionBackendService

Detalhes
Verifica se os serviços de back-end regionais têm o Cloud CDN ativado.

Práticas recomendadas do Google Cloud: serviço de política da organização (58 resultados)

Política da organização appengine disable code download

Gravidade:
Média

Tags: política da organização, App Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização appengine.disableCodeDownload está configurada no projeto ou nos recursos pai dele para impedir downloads de código não autorizados e proteger contra possíveis riscos de segurança.
Política da organização cloudbuild integrações permitidas

Gravidade:
Baixa

Tags: política da organização, Cloud Build, segurança, CSPR, CoNa

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização cloudbuild.allowedIntegrations está configurada no projeto ou em qualquer elemento pai para restringir serviços externos que podem invocar gatilhos de build.
Política da organização cloudfunctions allowed ingress

Gravidade:
Média

Tags: política da organização, Cloud Functions, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização cloudfunctions.allowedIngressSettings está sendo aplicada no projeto ou em qualquer elemento pai, restringindo o tráfego de entrada para o Cloud Functions.
Política da organização: desativar o acesso aos atributos de convidado do Compute

Gravidade:
Alta

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.disableGuestAttributesAccess está sendo aplicada no projeto ou em qualquer elemento pai, impedindo possível acesso não autorizado aos atributos de visitante.
Política da organização para desativar o grupo de endpoints da Internet

Gravidade:
Baixa

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.disableInternetNetworkEndpointGroup é aplicada no projeto ou nos recursos pai dele, evitando possíveis vulnerabilidades de segurança.
Política da organização compute disable nested virtualization

Gravidade:
Média

Tags: política da organização, Compute Engine, segurança, CSPR, CoNa

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.disableNestedVirtualization está configurada no projeto ou em qualquer recurso pai, impedindo o uso não autorizado da virtualização aninhada.
Política da organização para desativar a geração de registros da porta serial de computação

Gravidade:
Baixa

Tags: política da organização, Compute Engine, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.disableSerialPortLogging está sendo aplicada no projeto ou em qualquer recurso pai, evitando possíveis riscos de segurança causados por acesso não autorizado à porta serial.
A política da organização compute desativa o acesso à porta serial

Gravidade:
Alta

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.disableSerialPortAccess está sendo aplicada ao projeto ou aos pais dele, impedindo o acesso não autorizado às portas seriais.
Política da organização do Compute que exige login no SO

Gravidade:
Alta

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.requireOsLogin está sendo aplicada para garantir que o login do SO esteja ativado no projeto ou nos pais dele, evitando o acesso não autorizado às máquinas virtuais.
Política da organização exige VM protegida do Compute

Gravidade:
Média

Tags: política da organização, Compute Engine, segurança, CSPR, CoNa

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.requireShieldedVm é aplicada no projeto ou nos recursos pai dele, garantindo que apenas VMs protegidas sejam criadas, o que aumenta a segurança.
Política da organização "compute restrict dedicated interconnect"

Gravidade:
Baixa

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.restrictDedicatedInterconnectUsage é aplicada ao projeto ou a qualquer elemento pai, evitando possíveis riscos associados ao uso irrestrito da Interconexão dedicada.
Política da organização compute restrict load balancer creation

Gravidade:
Média

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.restrictLoadBalancerCreationForTypes está sendo aplicada para impedir a criação de balanceadores de carga não seguros no projeto ou nos recursos pai dele.
Política da organização: restrição de criação de encaminhamento de protocolo de computação

Gravidade:
Alta

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.restrictProtocolForwardingCreationForTypes está configurada no projeto ou em qualquer elemento pai para evitar possíveis vulnerabilidades de segurança.
Política da organização compute restrict shared VPC host projects

Gravidade:
Média

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.restrictSharedVpcHostProjects está configurada no projeto ou em qualquer elemento pai, evitando possíveis vulnerabilidades de segurança.
Política da organização compute restrict shared VPC subnetworks

Gravidade:
Baixa

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.restrictSharedVpcSubnetworks é aplicada no projeto ou nos pais dele, garantindo que apenas sub-redes aprovadas sejam usadas, o que aumenta a segurança da rede.
Política da organização de computação para restringir o peering de VPC

Gravidade:
Média

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.restrictVpcPeering é aplicada ao projeto ou aos pais dele, evitando um possível peering de VPC não autorizado.
Política da organização compute restrict vpn peer ips

Gravidade:
Média

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.restrictVpnPeerIPs está configurada no projeto ou em qualquer recurso pai, impedindo o acesso não autorizado ao IP do peer da VPN.
Política da organização do Compute para restringir a remoção da garantia do projeto XPN

Gravidade:
Média

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.restrictXpnProjectLienRemoval é aplicada ao projeto ou aos pais dele, impedindo a remoção não autorizada de garantias do projeto.
Política da organização para pular a criação de rede padrão de computação

Gravidade:
Média

Tags: política da organização, Compute Engine, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.skipDefaultNetworkCreation está sendo aplicada no projeto ou nos pais dele, evitando possíveis vulnerabilidades de segurança.
Restrições de uso de recursos do Cloud Storage para políticas da organização

Gravidade:
Alta

Tags: política da organização, Compute Engine, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.storageResourceUseRestrictions é aplicada para garantir que as restrições de uso de recursos de armazenamento sejam configuradas no projeto ou nos pais dele, evitando possíveis vulnerabilidades de segurança.
Política da organização para projetos de imagens confiáveis do Compute

Gravidade:
Média

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.trustedImageProjects está configurada no projeto ou em qualquer elemento pai, impedindo o uso de imagens não confiáveis.
A VM de computação da política da organização pode encaminhar IP

Gravidade:
Baixa

Tags: política da organização, Compute Engine, segurança, CSPR, CoNa

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.vmCanIpForward está configurada no projeto ou nos pais dele para permitir que as VMs encaminhem o tráfego IP, garantindo a funcionalidade adequada da rede.
Política da organização para acesso de IP externo da VM de computação

Gravidade:
Alta

Tags: política da organização, Compute Engine, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.vmExternalIpAccess é aplicada ao projeto ou aos pais dele, evitando possíveis vulnerabilidades de segurança.
Política da organização essentialcontacts allowed domains

Gravidade:
Média

Tags: política da organização, contatos essenciais, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização essentialcontacts.allowedContactDomains é aplicada no projeto ou em qualquer elemento pai, restringindo os domínios permitidos para contatos essenciais.
Funções da política da organização permitiram a saída do conector de VPC

Gravidade:
Alta

Tags: política da organização, função do Cloud, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização cloudfunctions.allowedVpcConnectorEgressSettings é aplicada ao projeto ou aos pais dele, impedindo configurações de saída não autorizadas para o Cloud Functions e aumentando a segurança.
As funções da política da organização exigem um conector de VPC

Gravidade:
Alta

Tags: política da organização, função do Cloud, segurança, CSPR, CoNa

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização cloudfunctions.requireVPCConnector é aplicada para garantir que o Cloud Functions use conectores VPC, aumentando a segurança da rede.
Política da organização do Compute Engine para desativar a criação de PSC

Gravidade:
Baixa

Tags: política da organização, Compute Engine, PSC, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.disablePrivateServiceConnectCreationForConsumers está configurada para impedir a criação não autorizada do Private Service Connect.
Modo de geração de registros de auditoria detalhado do Google Cloud para políticas da organização

Gravidade:
Baixa

Tags: política da organização, Cloud Logging, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização gcp.detailedAuditLoggingMode está configurada no projeto ou em qualquer recurso pai para ativar o registro de auditoria detalhado, ajudando no monitoramento de segurança e na conformidade abrangentes.
Política da organização do Google Cloud para desativar o Cloud Logging

Gravidade:
Baixa

Tags: política da organização, Cloud Logging, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização gcp.disableCloudLogging está configurada no projeto ou em qualquer elemento pai para garantir que o Cloud Logging seja aplicado corretamente.
Locais de recursos do Google Cloud da política da organização

Gravidade:
Média

Tags: política da organização, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização gcp.resourceLocations é aplicada ao projeto ou a qualquer recurso pai, garantindo que os recursos sejam criados nos locais geográficos designados, atendendo assim aos requisitos de compliance.
Política da organização do Google Cloud para restringir serviços que não usam CMEK

Gravidade:
Média

Tags: política da organização, CMEK, KMS, segurança, criptografia, CSPR, CoNa

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização gcp.restrictNonCmekServices é aplicada ao projeto ou aos recursos pai dele. Essa política restringe a criação de recursos sem chaves de criptografia gerenciadas pelo cliente (CMEK), garantindo que os dados em repouso sejam criptografados de acordo com os padrões da organização.
Política da organização do Google Cloud para restringir a versão do TLS

Gravidade:
Baixa

Tags: política da organização, segurança, TLS, CSPR, CoNa

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização gcp.restrictTLSVersion está configurada no projeto ou em qualquer recurso pai para restringir as versões do TLS compatíveis com as APIs do Google.
Política da organização IAM permitir desativar a criação de chaves da conta de serviço

Gravidade:
Alta

Tags: política da organização, IAM, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Reduz sua superfície de ataque ao identificar regras de firewall de entrada ativas que expõem protocolos de rede incomuns (não TCP, UDP ou ICMP) à Internet, evitando possíveis violações por serviços não monitorados.
Extensão da vida útil da credencial da conta de serviço de permissão do IAM da política da organização

Gravidade:
Média

Tags: política da organização, IAM, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização iam.allowServiceAccountCredentialLifetimeExtension está configurada no projeto ou em qualquer elemento pai, garantindo que as extensões de ciclo de vida das credenciais da conta de serviço sejam gerenciadas para manter a segurança.
Domínios de membros da política permitidos pelo IAM da política da organização

Gravidade:
Crítico

Tags: política da organização, IAM, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização iam.allowedPolicyMemberDomains é aplicada no projeto ou nos pais dele, garantindo que apenas domínios aprovados possam ser adicionados como membros da política, aumentando a segurança ao impedir o acesso não autorizado.
Concessões automáticas do IAM da política da organização para conta de serviço padrão

Gravidade:
Alta

Tags: política da organização, IAM, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização iam.automaticIamGrantsForDefaultServiceAccounts é aplicada ao projeto ou a qualquer elemento pai para garantir que as contas de serviço padrão não recebam papéis do IAM automaticamente, melhorando a segurança.
Política da organização IAM desativar criação de conta de serviço

Gravidade:
Baixa

Tags: política da organização, IAM, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização iam.disableServiceAccountCreation está sendo aplicada para impedir a criação de contas de serviço, reduzindo o risco de acesso não autorizado e possíveis violações de segurança.
Política da organização IAM: desativar upload de chave da conta de serviço

Gravidade:
Baixa

Tags: política da organização, IAM, segurança, CSPR, CoNa

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização iam.disableServiceAccountKeyUpload está sendo aplicada no projeto ou em qualquer recurso pai, evitando possíveis riscos de segurança associados a uploads não autorizados de chaves de conta de serviço.
Política da organização IAM desativar cluster de identidade da carga de trabalho

Gravidade:
Média

Tags: política da organização, IAM, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização iam.disableWorkloadIdentityClusterCreation está sendo aplicada no projeto ou em qualquer elemento pai, impedindo a criação de clusters de identidade da carga de trabalho se a política não estiver configurada.
Provedores de pool de Identidade da carga de trabalho do IAM da política da organização

Gravidade:
Média

Tags: política da organização, IAM, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização iam.workloadIdentityPoolProviders é aplicada ao projeto ou a qualquer elemento pai, garantindo que os provedores de pool de identidade da carga de trabalho estejam configurados corretamente para evitar acesso não autorizado.
Política da organização que restringe a computação não confidencial

Gravidade:
Baixa

Tags: política da organização, Compute Engine, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.restrictNonConfidentialComputing está configurada no projeto ou nos recursos pai dele, impedindo o uso de recursos de computação não confidencial que podem levar à exposição de dados.
Política da organização para restringir o uso da Interconexão por parceiro

Gravidade:
Baixa

Tags: política da organização, Compute Engine, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização compute.restrictPartnerInterconnectUsage é aplicada ao projeto ou a qualquer elemento principal, evitando o uso não autorizado da Interconexão por parceiro.
Execução da política da organização permitida para entrada

Gravidade:
Média

Tags: política da organização, Cloud Run, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização run.allowedIngress é aplicada ao projeto ou a qualquer elemento pai, restringindo o tráfego de entrada aos serviços do Cloud Run.
Serviços de usuários do serviço de política da organização

Gravidade:
Baixa

Tags: política da organização, serviços, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se o serviço serviceuser.services da política da organização está configurado no projeto ou nos pais dele, evitando possíveis vulnerabilidades de segurança.
Política da organização sql restrict authorized networks

Gravidade:
Alta

Tags: política da organização, Cloud SQL, segurança, CSPR, CoNa

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização sql.restrictAuthorizedNetworks é aplicada ao projeto ou aos pais dele, impedindo o acesso não autorizado a instâncias do Cloud SQL de redes não aprovadas.
Política da organização sql restrict public IP

Gravidade:
Alta

Tags: política da organização, Cloud SQL, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização sql.restrictPublicIp está sendo aplicada no projeto ou nos recursos pai dele, evitando possíveis vulnerabilidades de segurança ao restringir o acesso de IP público às instâncias do Cloud SQL.
Prevenção de acesso público do Cloud Storage com política da organização

Gravidade:
Alta

Tags: política da organização, Cloud Storage, armazenamento, segurança, CSPR

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização storage.publicAccessPrevention está sendo aplicada ao projeto ou a qualquer elemento pai, impedindo o acesso público aos buckets do Cloud Storage.
Segundos da política de retenção do Cloud Storage da política da organização

Gravidade:
Média

Tags: política da organização, Cloud Storage, segurança, CSPR, CoNa

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização storage.retentionPolicySeconds é aplicada ao projeto ou aos pais dele para garantir que os dados estejam protegidos contra exclusão acidental ou maliciosa.
Acesso uniforme no nível do bucket do Cloud Storage da política da organização

Gravidade:
Alta

Tags: política da organização, Cloud Storage, armazenamento, segurança, CSPR, CoNa, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_3

Detalhes
Verifica se a política da organização storage.uniformBucketLevelAccess é aplicada ao projeto ou a qualquer elemento pai, garantindo o controle de acesso consistente para todos os objetos em um bucket e evitando possíveis violações de dados.
Domínios de contato permitidos pela política da organização

Gravidade:
Alta

Tags: OrgPolicy, Security, Compliance, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Verifica se a política da organização essentialcontacts.allowedContactDomains está sendo aplicada.
Configurações de entrada permitidas pela política da organização

Gravidade:
Alta

Tags: OrgPolicy, Security, Compliance, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Verifica se a política da organização cloudfunctions.allowedIngressSettings está sendo aplicada.
Pools de workers permitidos pela política da organização

Gravidade:
Alta

Tags: OrgPolicy, Security, Compliance, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Verifica se a política da organização cloudbuild.allowedWorkerPools está sendo aplicada.
Isenção de desativação da geração de registros de auditoria da política da organização

Gravidade:
Alta

Tags: OrgPolicy, Security, Compliance, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Verifica se a política da organização iam.disableAuditLoggingExemption está sendo aplicada.
Política da organização desativa o bq omni aws

Gravidade:
Alta

Tags: OrgPolicy, Security, Compliance, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Verifica se a política da organização bigquery.disableBQOmniAWS está sendo aplicada.
Política da organização desativar bq omni azure

Gravidade:
Alta

Tags: OrgPolicy, Security, Compliance, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Verifica se a política da organização bigquery.disableBQOmniAzure está sendo aplicada.
A política da organização desativa tipos de máquinas que não são FIPS

Gravidade:
Alta

Tags: OrgPolicy, Security, Compliance, FIPS, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Verifica se a política da organização compute.disableNonFIPSMachineTypes está sendo aplicada. Isso garante que não seja possível criar tipos de máquinas que não estejam em conformidade com o FIPS.
A política da organização restringe o uso do Cloud NAT

Gravidade:
Alta

Tags: OrgPolicy, Security, Compliance, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Verifica se a política da organização compute.restrictCloudNATUsage está sendo aplicada.
A política da organização restringe o uso do serviço

Gravidade:
Alta

Tags: OrgPolicy, Security, Compliance, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Verifica se a política da organização gcp.restrictServiceUsage está sendo aplicada.

Práticas recomendadas do Google Cloud: Resource Manager (3 resultados)

Contatos essenciais

Gravidade:
Média

Tags: Contatos essenciais, Gerenciamento, Compliance, CSPR, MVSP

Recurso: cloudresourcemanager_Project_RESOURCE_4

Detalhes
Sinaliza projetos do Google Cloud que não têm contatos essenciais válidos configurados.
Projeto sem pasta

Gravidade:
Alta

Tags: projeto, gerenciamento de recursos, segurança, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Identifica projetos criados diretamente em uma organização, o que ignora a herança de políticas no nível da pasta, essencial para governança, postura de segurança e gerenciamento de custos consistentes.
Projetos de host do Resourcemanager

Gravidade:
Baixa

Tags: Compute, Project, SharedVPC, HostProject, Rede, Organization, CSPR

Recurso: compute.googleapis.com/Project

Detalhes
Verifica se um projeto na nuvem do Google Cloud está configurado como um projeto host da VPC compartilhada. Com a VPC compartilhada, uma organização pode conectar recursos de vários projetos a uma rede VPC comum, hospedada em um projeto host designado. Isso permite a administração centralizada da rede. Essa regra identifica projetos host verificando o campo xpnProjectStatus nos metadados do Compute Engine dos projetos. Um status HOST indica que é um projeto host da VPC compartilhada. Essa política é informativa e identifica projetos com essa configuração específica.

Práticas recomendadas do Google Cloud: SecOps (1 resultado)

Registros de acesso aos dados do IAM

Gravidade:
Alta

Tags: SecOps, Logging, IAM, Security, CSPR

Recurso: cloudresourcemanager.googleapis.com/Project

Detalhes
Verifica se os registros de acesso a dados (ADMIN_READ, DATA_WRITE, DATA_READ) estão ativados globalmente no nível do projeto.

Práticas recomendadas do Google Cloud - Secret Manager (2 resultados)

Rotação de 90 dias do Secret Manager

Gravidade:
Média

Tags: SecretManager, Secret, Rotation, Security, Age, CSPR, CoNa

Recurso: secretmanager.googleapis.com/SecretVersion

Detalhes
Verifica se um secret do Secret Manager está ativado e tem mais de 90 dias desde a criação. A rotação regular de secrets é uma prática recomendada de segurança para minimizar o impacto de um possível comprometimento. Essa regra examina dois campos: 1. "state" (estado), que verifica se o secret está no estado "ENABLED" (ATIVADO). 2. "createTime" verifica se o tempo de criação dos secrets é superior a 90 dias. Uma violação será gerada se as duas condições forem verdadeiras: o secret estiver ativado e o createTime indicar que ele tem mais de 90 dias. A regra usa time.now_ns() e time.parse_rfc3339_ns() para comparações de tempo precisas.
Replicação multirregional do Secret Manager

Gravidade:
Média

Tags: Reliability, Security, SecretManager, HighAvailability, BCDR, CSPR, CoNa

Recurso: secretmanager.googleapis.com/Secret

Detalhes
Verifica se os secrets do Secret Manager estão configurados com uma política de replicação multirregional (replicação automática ou gerenciada pelo usuário com pelo menos duas regiões distintas). A replicação de secrets em várias regiões garante alta disponibilidade e recuperação de desastres.

Práticas recomendadas do Google Cloud: Security Command Center (1 resultado)

O Security Command Center não está ativado na organização

Gravidade:
Alta

Tags: IAM, scc, Security, CSPR

Recurso: cloudresourcemanager.googleapis.com/Organization

Detalhes
Ativar o Security Command Center (SCC) no nível da organização oferece visibilidade essencial e centralizada sobre descobertas de segurança e status de compliance, permitindo a mitigação proativa de riscos para proteger seus recursos do Google Cloud.

Práticas recomendadas do Google Cloud: Proteção de Dados Sensíveis (1 resultado)

Serviço de DLP do Google Cloud ativado

Gravidade:
Média

Tags: DLP, Proteção de dados sensíveis, Segurança, ServiceUsage, Compliance, CoNa

Recurso: serviceusage.googleapis.com/Service

Detalhes
Verifica se o serviço de Proteção de Dados Sensíveis (DLP) (dlp.googleapis.com) está ativado. A Proteção de Dados Sensíveis ajuda você a descobrir, classificar e proteger seus dados sensíveis.

MySQL: geral (7 resultados)

Verifique se o Agente para cargas de trabalho computacionais do Google Cloud está configurado corretamente em todas as instâncias no escopo da avaliação.

Gravidade:
Crítico

Detalhes
As instâncias no escopo da avaliação precisam ter o Agente para cargas de trabalho computacionais do Google Cloud configurado para executar avaliações do Workload Manager. Se você não tiver configurado o agente corretamente, os resultados da avaliação poderão ficar incompletos ou imprecisos. A versão mínima recomendada é a 1.2.
Última atualização: 27 de agosto de 2025
Ativar a reinicialização automática para VMs que executam cargas de trabalho do MySQL

Gravidade:
Crítico

Detalhes
Para garantir que a VM seja reiniciada automaticamente em caso de falha, ative a política de reinicialização automática do Compute Engine para qualquer VM que esteja executando uma carga de trabalho do MySQL.
Última atualização: 27 de agosto de 2025
Provisionar o Hyperdisk com IOPS e capacidade de processamento mínimos

Gravidade:
Alta

Detalhes
Os valores padrão de IOPS e capacidade de processamento provisionadas para Hyperdisks pequenos podem ser muito baixos para garantir o desempenho adequado. Recomendamos aumentar esses valores para um mínimo de 10.000 IOPS e capacidade de processamento de 1 GiB/s. A partir de 10 de novembro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Desempenho padrão.
Última atualização: 10 de novembro de 2025
Definir a política de manutenção da VM como MIGRATE para cargas de trabalho do MySQL

Gravidade:
Crítico

Detalhes
Para evitar que eventos de manutenção da plataforma interrompam ou reiniciem uma VM que esteja executando cargas de trabalho do MySQL, o parâmetro onHostMaintenance da VM precisa ser definido como a opção recomendada MIGRATE.
Para mais informações, consulte Definir política de manutenção do host da VM.
Última atualização: 27 de agosto de 2025
Não execute cargas de trabalho do MySQL em tipos de disco PD Standard ou Hyperdisk Throughput

Gravidade:
Alta

Detalhes
O Google Cloud recomenda não executar cargas de trabalho do MySQL nos tipos de disco PD Standard e Hyperdisk Throughput, porque eles são baseados em disco rígido e podem levar à degradação da performance. A partir de 10 de novembro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Tipos de disco permanente, Hyperdisks e Hyperdisk Throughput.
Última atualização: 10 de novembro de 2025
Verifique se a replicação é enviada para uma máquina em uma zona ou região diferente.

Gravidade:
Alta

Detalhes
Para manter a alta disponibilidade adequada, recomendamos que você envie a replicação para uma máquina em uma zona ou região diferente do local principal. A partir de 10 de novembro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Well-Architected Framework: pilar de confiabilidade.
Última atualização: 10 de novembro de 2025
Verifique se innodb_buffer_pool_size ocupa a maior parte da memória da máquina

Gravidade:
Alta

Detalhes
Para otimizar o desempenho, o Google Cloud recomenda alocar ao parâmetro innodb_buffer_pool_size uma parte de 50% ou mais da memória da máquina. Isso garante que o pool de buffers tenha memória suficiente para armazenar dados e melhorar o desempenho. Esta diretriz não se aplica a VMs menores com menos de 4 GB de memória total, em que essa alocação pode não ser possível. A partir de 10 de novembro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Última atualização: 10 de novembro de 2025

OpenShift: otimização de custos (1 resultado)

Check hd storagepool

Gravidade:
Média

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Ao usar a classe de armazenamento Google Cloud Hyperdisk com seu cluster do OpenShift, recomendamos que você use pools de armazenamento. Isso ajuda a ter um gerenciamento mais eficiente dos recursos de disco, uma melhor previsibilidade de desempenho e um escalonamento simplificado do armazenamento em blocos no ambiente do OpenShift.

OpenShift: eficiência operacional (6 resultados)

Verifique o Filestore

Gravidade:
Média

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Recomendamos usar o Google Cloud Filestore para cargas de trabalho de armazenamento compartilhado (RWX) para integração de infraestrutura perfeita, confiabilidade de desempenho e gerenciamento automatizado do ciclo de vida no Google Cloud se o tamanho da capacidade necessária for maior que 90 GiB.
Verificar o monitoramento do gmp

Gravidade:
Média

Tags: Openshift, Observability, Operational Efficiency, GMP, Prometheus

Recurso: Openshift_Cluster

Detalhes
Recomendamos configurar a extração de métricas de aplicativos usando o Google Cloud
Verificar o bloqueio gerenciado do Cloud Storage

Gravidade:
Média

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Para uma integração de infraestrutura perfeita, confiabilidade de desempenho e gerenciamento automatizado do ciclo de vida, recomendamos que você use soluções de armazenamento em blocos gerenciadas pelo Google Cloud com seu cluster do OpenShift.
Verificar a injeção de sidecar de capacidade de observação

Gravidade:
Média

Tags: Openshift, Observabilidade, Eficiência operacional

Recurso: Openshift_Cluster

Detalhes
Implante o Coletor do OpenTelemetry no modo Sidecar para a telemetria de aplicativos e garantir um melhor isolamento da coleta de métricas entre aplicativos.
Verifique prod

Gravidade:
Média

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Para implementar políticas de maneira consistente, monitorar alertas e alocar custos para seu cluster do OpenShift, recomendamos que você aplique o rótulo production ou non-production ao cluster. Esse rótulo ajuda a transmitir se o cluster é executado em um ambiente de produção ou não produção.
Verificar o uso do gerenciamento de secrets

Gravidade:
Média

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Para processar informações sensíveis em clusters do OpenShift executados no Google Cloud, use o Secret Manager. Com ele, é possível centralizar o gerenciamento do ciclo de vida de secrets e melhorar a segurança com o controle de acesso baseado no Identity and Access Management (IAM).

OpenShift: confiabilidade (5 resultados)

Verificar o Filestore regional

Gravidade:
Média

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Se você estiver usando o Filestore Zonal, considere usar o Filestore Regional se o custo permitir. O Filestore Regional replica os dados do Filestore entre zonas e garante a disponibilidade dos dados durante falhas zonais.
Verificar o Filestore zonal

Gravidade:
Média

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Prefira os níveis Filestore Zonal ou Filestore Regional em vez dos níveis Filestore Basic. O Filestore Zonal/Regional não tem tempo de inatividade durante a manutenção (ao contrário dos níveis Basic) e oferece suporte a NFSv4, desempenho personalizado, replicação de instâncias e snapshots.
Verifique se os nós do plano de controle de alta disponibilidade estão em várias zonas.

Gravidade:
Crítico

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Recomendamos distribuir os nós do plano de controle do OpenShift em pelo menos três zonas diferentes em uma região do Google Cloud para garantir alta disponibilidade (HA) e operações da camada de gerenciamento, mesmo durante interrupções zonais.
Verificar se os nós de trabalho de alta disponibilidade estão em várias zonas

Gravidade:
Crítico

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Recomendamos provisionar nós de trabalho do OpenShift em pelo menos três zonas diferentes em uma região para criar uma infraestrutura resiliente que possa resistir a interrupções zonais sem afetar a disponibilidade das cargas de trabalho hospedadas.
Verificar o último carimbo de data/hora da métrica

Gravidade:
Média

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Para garantir a precisão dos resultados da avaliação, os dados de telemetria coletados do cluster do OpenShift precisam estar atualizados. Se a telemetria coletada tiver 24 horas ou mais, ela estará desatualizada e o WLM não poderá usá-la para uma avaliação confiável. Métricas desatualizadas geralmente indicam que o agente de carga de trabalho está mal configurado ou não consegue se conectar ao Google Cloud.

OpenShift: segurança (6 resultados)

Verificar bloco CMEK do Cloud Storage

Gravidade:
Média

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Recomendamos usar chaves de criptografia gerenciadas pelo cliente (CMEK) para o armazenamento em blocos gerenciado pelo Google Cloud. Assim, você tem mais controle sobre a criptografia de dados, além de oferecer suporte à revogação de chaves, políticas de rotação e maior capacidade de auditoria para atender a requisitos de compliance rigorosos.
Verificar a criptografia do eso etcd

Gravidade:
Alta

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Se o operador External Secrets (ESO) estiver instalado para uso com o Secret Manager do Google Cloud, a criptografia etcd precisará estar ativada. O ESO extrai secrets de fontes externas e pode sincronizá-los com secrets do Kubernetes. Se o etcd não estiver criptografado, esses secrets serão armazenados em texto simples.
Verificar a publicação do nó do gerenciador de secrets

Gravidade:
Alta

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Ao usar o Secret Manager com o driver CSI do Secrets Store, não use a opção ALLOW_NODE_PUBLISH_SECRET no DaemonSet do provedor do Secret Manager. Para evitar vazamentos de token, use o Security Token Service.
Verificar a sincronização da classe do provedor de segredos

Gravidade:
Média

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Se você estiver usando o Google Cloud Secret Manager com o driver CSI do Secrets Store, recomendamos que os recursos SecretProviderClass não contenham um bloco secretObjects para garantir que os secrets existam apenas na memória tmpfs e não toquem no repositório de dados do plano de controle.
Verificar a capacidade de observação da autenticação WIF

Gravidade:
Crítico

Tags: Openshift, Security

Recurso: Openshift_Cluster

Detalhes
Recomendamos usar a federação de identidade da carga de trabalho (WIF, na sigla em inglês) para autenticação do OTLP/Google Cloud. As chaves JSON estáticas (chaves de conta de serviço) são credenciais de "longa duração" de alto risco. O WIF os substitui por tokens de curta duração projetados diretamente no pod.
Verificar a federação de identidade da carga de trabalho

Gravidade:
Crítico

Tags: Openshift

Recurso: Openshift_Cluster

Detalhes
Recomendamos configurar o cluster do OpenShift para usar a federação de identidade da carga de trabalho como o método seguro para conceder às contas de serviço do Kubernetes acesso aos recursos do GCP sem chaves de longa duração.

Redis: geral (7 resultados)

Verifique se o Agente para cargas de trabalho computacionais do Google Cloud está configurado corretamente em todas as instâncias no escopo da avaliação.

Gravidade:
Crítico

Detalhes
As instâncias no escopo da avaliação precisam ter o Agente para cargas de trabalho computacionais do Google Cloud configurado para executar avaliações do Workload Manager. Se você não tiver configurado o agente corretamente, os resultados da avaliação poderão ficar incompletos ou imprecisos. A versão mínima recomendada é a 1.2.
Última atualização: 27 de agosto de 2025
Ativar a reinicialização automática para VMs que executam cargas de trabalho do Redis

Gravidade:
Crítico

Detalhes
Para garantir que a VM seja reiniciada automaticamente em caso de falha, ative a política de reinicialização automática do Compute Engine para qualquer VM que esteja executando uma carga de trabalho do Redis.
Última atualização: 27 de agosto de 2025
Provisionar o Hyperdisk com IOPS e capacidade de processamento mínimos

Gravidade:
Alta

Detalhes
Os valores padrão de IOPS e capacidade de processamento provisionadas para Hyperdisks pequenos podem ser muito baixos para garantir o desempenho adequado. Recomendamos aumentar esses valores para um mínimo de 10.000 IOPS e capacidade de processamento de 1 GiB/s. A partir de 10 de novembro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Desempenho padrão.
Última atualização: 10 de novembro de 2025
Definir a política de manutenção da VM como MIGRATE para cargas de trabalho do Redis

Gravidade:
Crítico

Detalhes
Para evitar que eventos de manutenção da plataforma interrompam ou reiniciem uma VM que esteja executando cargas de trabalho do Redis, o parâmetro onHostMaintenance da VM precisa ser definido como a opção recomendada MIGRATE.
Para mais informações, consulte Definir política de manutenção do host da VM.
Última atualização: 27 de agosto de 2025
Não execute cargas de trabalho do Redis em tipos de disco PD Standard ou Hyperdisk Throughput.

Gravidade:
Alta

Detalhes
O Google Cloud recomenda não executar cargas de trabalho do Redis nos tipos de disco PD Standard e Hyperdisk Throughput, porque eles são baseados em disco rígido e podem levar à degradação do desempenho. A partir de 10 de novembro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Tipos de disco permanente, Hyperdisks e Hyperdisk Throughput.
Última atualização: 10 de novembro de 2025
Verifique se a replicação é enviada para uma máquina em uma zona ou região diferente.

Gravidade:
Alta

Detalhes
Para manter a alta disponibilidade adequada, recomendamos que você envie a replicação para uma máquina em uma zona ou região diferente do local principal. A partir de 10 de novembro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Well-Architected Framework: pilar de confiabilidade.
Última atualização: 10 de novembro de 2025
Não use replicação sem persistência

Gravidade:
Alta

Detalhes
A persistência garante que o sistema grave os dados enviados à instância principal em um armazenamento durável. Em um sistema replicado, escolher a estratégia de persistência certa é fundamental para evitar a perda de dados em caso de falha. Se você optar por não usar nenhuma opção de persistência, o Google Cloud recomenda desativar a reinicialização automática do serviço Redis do systemd para evitar possíveis problemas de integridade de dados. A partir de 10 de novembro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Última atualização: 10 de novembro de 2025

SAP: geral (14 resultados)

DESCONTINUADO: instale o agente do Google Cloud para SAP em todas as VMs que executam cargas de trabalho do SAP

Gravidade:
Alta

Detalhes
Esta regra foi descontinuada. Ela foi substituída pela regra "Verifique se o agente do Google Cloud para SAP está configurado corretamente em todas as instâncias no escopo da avaliação", que é fornecida por padrão sem custos financeiros. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Última atualização: 27 de outubro de 2025
SAP General: Configure OS settings for X4 instances

Gravidade:
Crítico

Detalhes
Para garantir que as instâncias X4 estejam otimizadas para oferecer suporte às cargas de trabalho SAP, execute o utilitário de linha de comando fornecido pelo Agente para SAP do Google Cloud para verificar se a configuração do SO corresponde às recomendações de práticas recomendadas. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Crítica". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Tarefas pós-implantação no guia de planejamento do SAP HANA.
Última atualização: 27 de outubro de 2025
Verifique se o agente do Google Cloud para SAP está configurado corretamente em todas as instâncias no escopo da avaliação

Gravidade:
Crítico

Detalhes
As instâncias no escopo da avaliação precisam ter o agente para SAP configurado para a avaliação do Workload Manager. Se o agente não estiver configurado corretamente, os resultados da avaliação poderão estar incompletos ou imprecisos. Essa verificação é incluída por padrão, sem custos financeiros.
Para mais informações, consulte o Guia de planejamento do agente do Google Cloud para SAP e Verificar a versão do agente.
Última atualização: 18 de março de 2026
SAP geral: verifique se os servidores de aplicativos SAP e o SAP Central Services estão em zonas diferentes.

Gravidade:
Alta

Detalhes
Para evitar falhas regionais, o Google Cloud recomenda que pelo menos uma instância que hospede um servidor de aplicativos SAP seja executada em uma zona diferente dos Serviços centrais do SAP. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o Guia de planejamento de recuperação de desastres do SAP HANA.
Última atualização: 27 de outubro de 2025
SAP General: Allow full access to all APIs do Cloud

Gravidade:
Média

Detalhes
O Google Cloud recomenda que, para instâncias do Compute Engine, o escopo de acesso à API do Cloud seja definido como Allow full access to all Cloud APIs e use as permissões do IAM da conta de serviço da instância para controlar o acesso aos recursos do Google Cloud. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Atenção" para "Média". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte a seção Ativar o acesso às APIs do Google Cloud no guia de instalação do agente para SAP.
Última atualização: 27 de outubro de 2025
SAP General: ative a proteção contra exclusão em todas as VMs que executam cargas de trabalho SAP

Gravidade:
Alta

Detalhes
As instâncias do Compute com a opção deletionProtection ativada estão protegidas contra exclusão acidental. O Google Cloud recomenda ativar a proteção contra exclusão para todas as instâncias essenciais à execução de cargas de trabalho do SAP. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Evitar a exclusão acidental de VMs na documentação do Compute Engine.
Última atualização: 27 de outubro de 2025
SAP General: os processos do servidor de aplicativos SAP não podem ser executados em instâncias do Compute Engine que servem como (A)SCS ou ERS

Gravidade:
Alta

Detalhes
Para reduzir possíveis problemas de desempenho e evitar determinados cenários de falha em um cluster de alta disponibilidade gerenciado pelo Pacemaker, o Google Cloud recomenda não executar os processos do servidor de aplicativos SAP nas mesmas instâncias de computação que hospedam os serviços centrais do SAP ou o Enqueue Replication Server (ERS). Isso ocorre porque os servidores de aplicativos não são gerenciados pelo cluster do Pacemaker e não são migrados para uma nova VM em caso de interrupção. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Atenção" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte a seção Implantação distribuída com alta disponibilidade na arquitetura de referência para SAP no Google Cloud.
Última atualização: 27 de outubro de 2025
SAP General: ativar a reinicialização automática para cargas de trabalho do SAP

Gravidade:
Crítico

Detalhes
Para garantir que a VM seja reiniciada automaticamente em caso de falha, ative a política de reinicialização automática do Compute Engine para qualquer VM que esteja executando uma carga de trabalho do SAP.
Para mais informações, consulte Definir política de manutenção do host da VM.
Última atualização: 18 de abril de 2025
SAP General: defina a política de manutenção da VM como MIGRATE para cargas de trabalho SAP

Gravidade:
Crítico

MIGRATE para cargas de trabalho SAP">Detalhes
Para evitar que eventos de manutenção da plataforma interrompam ou reiniciem uma VM que esteja executando cargas de trabalho do SAP, o parâmetro onHostMaintenance da VM precisa ser definido como a opção recomendada MIGRATE. Essa recomendação não se aplica a instâncias X4 ou C3 Metal.
Para mais informações, consulte Definir política de manutenção do host da VM.
Última atualização: 18 de abril de 2025
SAP General: para migrações de instâncias do Compute Engine em várias séries de máquinas, defina a plataforma de CPU como "Automática".

Gravidade:
Média

Detalhes
Para migrações de instâncias do Compute Engine entre séries de máquinas, o Google Cloud recomenda definir a plataforma de CPU como "Automática" antes da migração. Só é recomendável definir uma plataforma de CPU específica se você quiser usar o mesmo tipo para a máquina de destino por motivos de desempenho ou compatibilidade avançada do conjunto de instruções. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Atenção" para "Média". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte os guias do Compute Engine sobre plataformas de CPU, como especificar uma plataforma mínima de CPU para instâncias de VM e como remover uma configuração de plataforma mínima de CPU.
Última atualização: 27 de outubro de 2025
SAP General: as imagens do SO com UEFI ativado são obrigatórias para servidores de geração mais recente.

Gravidade:
Alta

Detalhes
Ative a inicialização do UEFI para a VM criando uma imagem personalizada com o recurso do SO convidado UEFI_COMPATIBLE ou selecionando uma imagem pré-configurada compatível com UEFI. A compatibilidade com UEFI é um pré-requisito para tipos de máquinas de geração mais recente no Google Cloud. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Atenção" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte os guias do Compute Engine sobre Detalhes do sistema operacional, Família de máquinas com otimização de memória para Compute Engine e Ativar recursos do sistema operacional convidado.
Última atualização: 27 de outubro de 2025
SAP geral: verifique se o espaço de troca segue as recomendações da SAP.

Gravidade:
Alta

Detalhes
Configurar o espaço de troca em sistemas SAP baseados em Linux melhora o desempenho gerenciando a memória de forma mais eficiente. As recomendações da SAP para espaço de troca se baseiam na memória física disponível e na função do sistema como parte do banco de dados ou da camada de aplicativo. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte as notas da SAP sobre Recomendação de espaço de troca para Linux e Os serviços do HANA usam muita memória de troca.
Última atualização: 27 de outubro de 2025
SAP General: Check SELinux configuration for Compute Engine instances running SAP workloads

Gravidade:
Crítico

Detalhes
O Linux pode usar o SELinux para aumentar a segurança, mas ele pode interferir nos componentes do servidor SAP. Para implementações do SAP, defina o SELinux como o modo Disabled ou Permissive. A desativação do SELinux requer uma reinicialização do sistema, enquanto o modo permissivo pode ser definido sem reinicialização. Essa configuração garante a compatibilidade com ferramentas SAP que não são compatíveis com o SELinux.
Para mais informações, consulte Falha na inicialização da instância do SAP ou do Host Agent devido ao SELinux e Como mudar o SELinux para o modo permissivo.
Última atualização: 12 de junho de 2025
SAP General: ative uma solução de ajuste do sistema em todas as VMs que executam cargas de trabalho SAP.

Gravidade:
Alta
Detalhes
No Linux, os serviços de ajuste do sistema ajudam a otimizar o desempenho e a estabilidade das cargas de trabalho SAP definindo parâmetros recomendados para o sistema SAP. O Google Cloud recomenda ativar o serviço sapconf ou saptune no SUSE Linux Enterprise Server ou o serviço tuned no Red Hat Enterprise Linux. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte a nota da SAP Red Hat tuned-profiles for SAP (em inglês).
- Para SLES, consulte o guia do SUSE Como ajustar sistemas com saptune.
Última atualização: 27 de outubro de 2025

SAP: HANA (10 resultados)

SAP HANA: use um SO certificado

Gravidade:
Crítico

Detalhes
Para receber suporte da SAP e do Google Cloud para o SAP HANA em uma VM do Compute Engine, use uma versão do sistema operacional certificada pela SAP e pelo Google Cloud para uso com o SAP HANA.
Para mais informações, consulte Suporte a SO do SAP HANA no Google Cloud.
Última atualização: 18 de fevereiro de 2026
SAP HANA: use um tipo de VM personalizada certificada

Gravidade:
Crítico

Detalhes
Para receber suporte da SAP e do Google Cloud para o SAP HANA em uma VM personalizada do Compute Engine, use um tipo de VM personalizada que seja certificada pela SAP e pelo Google Cloud para uso com o SAP HANA.
Para mais informações, consulte Tipos de máquinas personalizados certificados para SAP HANA.
Última atualização: 9 de abril de 2025
SAP HANA: mapeie os volumes de dados e registros do SAP HANA para o mesmo tipo de disco permanente baseado em SSD.

Gravidade:
Crítico

Detalhes
Por motivos de desempenho, os volumes /hana/data e /hana/log do SAP HANA precisam ser mapeados para o mesmo tipo de disco permanente baseado em SSD. É possível mapear os dois volumes para o mesmo disco permanente ou, se o mesmo tipo de disco permanente for usado para cada um, mapear cada volume para um disco permanente separado.
Para mais informações, consulte o guia de planejamento do SAP HANA.
Última atualização: 9 de abril de 2025
SAP HANA: use um tipo de VM certificado

Gravidade:
Crítico

Detalhes
Para receber suporte da SAP e do Google Cloud para o SAP HANA em uma VM do Compute Engine, use um tipo de VM certificado pela SAP e pelo Google Cloud para uso com o SAP HANA.
Para mais informações, consulte VMs certificadas do Compute Engine para SAP HANA.
Última atualização: 18 de fevereiro de 2026
SAP HANA: tamanhos mínimos permitidos pela SAP para opções de disco permanente baseado em SSD

Gravidade:
Crítico

Detalhes
Para armazenamento em blocos, o SAP HANA exige uma capacidade mínima de 400 MB por segundo. Se você estiver usando discos permanentes SSD ou equilibrados, use o tamanho mínimo para esse tipo de disco permanente para fornecer a capacidade de processamento necessária. Se você estiver usando discos permanentes extremos, provisione no mínimo 20.000 IOPS.
Para mais informações, consulte Armazenamento em disco permanente no guia de planejamento do SAP HANA.
Última atualização: 18 de abril de 2025
SAP HANA: verifique se há backups do banco de dados SAP HANA

Gravidade:
Crítico

Detalhes
Criar backups regularmente e implementar uma estratégia de backup adequada ajuda a recuperar seu banco de dados do SAP HANA em situações como corrupção ou perda de dados devido a uma interrupção do serviço não planejada ou falha na infraestrutura. O Google Cloud recomenda seguir uma estratégia de backup que inclua a criação de pelo menos um backup completo do sistema do banco de dados SAP HANA por semana e pelo menos um backup delta ou baseado em snapshot do volume de dados do SAP HANA por dia. Backups diários completos do sistema também podem ser usados como substitutos para backups delta ou baseados em snapshots. Backups mais frequentes podem ser necessários para atender a requisitos específicos de RPO.
Para mais informações, consulte Backup e recuperação no guia de operações do SAP HANA ou Backup e recuperação do SAP HANA em instâncias bare metal.
Última atualização: 18 de abril de 2025
SAP HANA: verifique se os sites primário e de DR do SAP estão em regiões diferentes.

Gravidade:
Alta

Detalhes
Para se proteger contra interrupções em toda a região e manter a continuidade dos negócios, o nó principal do SAP HANA e os sites de recuperação de desastres (DR) precisam ser implantados em regiões geográficas diferentes. Essa abordagem reduz o risco de eventos catastróficos que afetam os componentes implantados em uma única região, diminuindo a possível perda de dados e o tempo de inatividade além do que a redundância no nível da zona pode oferecer. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Crítica" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o Guia de planejamento de recuperação de desastres do SAP HANA.
SAP HANA: ativar a reinicialização rápida do SAP HANA

Gravidade:
Alta

Detalhes
O Compute Engine inclui funcionalidades baseadas no RAS de memória da Intel, que podem reduzir significativamente o impacto de todos os erros de memória que, de outra forma, causariam falhas na VM. Quando combinado com a capacidade de reinicialização rápida do SAP HANA (disponível desde o HANA 2.0 SP04), os sistemas SAP HANA podem se recuperar desses eventos de falha. Essa configuração é recomendada para todas as famílias máquina virtual com otimização de memória. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Crítica" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Opção de reinicialização rápida do SAP HANA.
Última atualização: 27 de outubro de 2025
SAP HANA: use as configurações de configuração recomendadas para o Hyperdisk

Gravidade:
Crítico

Detalhes
Para ativar o melhor desempenho dos volumes do Hyperdisk usados com o SAP HANA, defina os valores recomendados pelo Google Cloud para as seguintes propriedades do SAP HANA: num_completion_queues, num_submit_queues, tables_preloaded_in_parallel e load_table_numa_aware.
Para mais informações, consulte Performance do Hyperdisk no guia de planejamento do SAP HANA.
Última atualização: 18 de abril de 2025
SAP HANA: use um disco separado para cada sistema de arquivos do SAP HANA

Gravidade:
Alta

Detalhes
Para ter o desempenho ideal do sistema SAP HANA, o Google Cloud recomenda usar um disco separado para cada sistema de arquivos do SAP HANA. É importante lembrar que os discos que hospedam os dados e os volumes de registro do SAP HANA não podem ser usados para nenhuma outra função, como servir de caminho de instalação ou caminho de instância do sistema. Essa recomendação também se aplica ao volume de backup do SAP HANA, se você salvar os backups em um disco. Também é recomendável hospedar sistemas de arquivos em discos separados para usar snapshots de dados como opção de backup e recuperação. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte a seção Armazenamento em disco permanente no guia de planejamento do SAP HANA.
Última atualização: 27 de outubro de 2025

SAP: HANA Insights (18 resultados)

Manutenção do SAP HANA: verifique a configuração adequada do parâmetro log_disk_usage_reclaim_threshold

Gravidade:
Alta

Parâmetro log_disk_usage_reclaim_threshold">Detalhes
Se o uso do disco do sistema de arquivos da partição de registro ("usedDiskSpace" em porcentagem de "totalDiskSpace") estiver acima do limite especificado, o logger vai acionar automaticamente uma "liberação de registro" interna (0 = desativado). Por padrão, o registrador de eventos mantém todos os segmentos de registros sem custo financeiro em cache para reutilização. Eles só são removidos se uma recuperação for acionada explicitamente usando "ALTER SYSTEM RECLAIM LOG" ou se um evento "DiskFull"/"LogFull" for atingido no nível do registrador de eventos. Esse parâmetro de limite pode ser usado para acionar a recuperação internamente antes que ocorra uma situação de "DiskFull"/"LogFull". A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte log_disk_usage_reclaim_threshold na Referência de parâmetros de configuração do SAP HANA.
Última atualização: 27 de outubro de 2025
Manutenção do SAP HANA: é necessária uma manutenção regular do catálogo de backup para melhorar o desempenho do backup.

Gravidade:
Alta

Detalhes
O catálogo de backup pode ficar muito grande com o tempo, principalmente se não for limpo regularmente. Isso pode causar problemas de desempenho e dificultar a localização dos backups necessários. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte SAP HANA multiple issue caused by large Log Backups due to large Backup Catalog size (em inglês) na base de conhecimento da SAP.
Última atualização: 27 de outubro de 2025
Alta disponibilidade e recuperação de desastres do SAP HANA: ativar a compactação de dados e registros

Gravidade:
Alta

Detalhes
A compactação de dados e registros pode ser usada para o envio inicial de dados completos, o envio subsequente de dados delta e o envio contínuo de registros. A compactação de dados e registros pode ser configurada para reduzir a quantidade de tráfego entre sistemas, especialmente em longas distâncias (por exemplo, ao usar o modo de replicação ASYNC). A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Compactação de dados e registros no guia de replicação do sistema SAP HANA.
Última atualização: 27 de outubro de 2025
Alta disponibilidade e recuperação de desastres do SAP HANA: use o valor recomendado para o parâmetro datashipping_parallel_channels

Gravidade:
Alta

Parâmetro datashipping_parallel_channels">Detalhes
O parâmetro datashipping_parallel_channels do SAP HANA define o número de canais de rede usados pelo envio de dados completo ou delta. O valor padrão é 4, o que significa que quatro canais de rede são usados para enviar dados. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte datashipping_parallel_channels no Guia de administração do SAP HANA.
Última atualização: 27 de outubro de 2025
Performance do SAP HANA: verifique a configuração adequada dos parâmetros de coleta de lixo.

Gravidade:
Alta

Detalhes
Em bancos de dados com um limite de alocação maior que 235 GB, os parâmetros gc_unused_memory_threshold_rel e gc_unused_memory_threshold_abs precisam ser configurados. Esses parâmetros ajudam a reduzir o risco de problemas (por exemplo, devido a esperas de MemoryReclaim) quando a coleta de lixo acontece de forma reativa. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Coleta de lixo do SAP HANA na base de conhecimento da SAP.
Última atualização: 27 de outubro de 2025
Performance do SAP HANA: ative o parâmetro load_table_numa_aware

Gravidade:
Alta

Parâmetro load_table_numa_aware">Detalhes
Para melhorar o desempenho dos sistemas SAP HANA baseados em NUMA, ative o parâmetro load_table_numa_aware. Quando esse parâmetro está ativado, o SAP HANA otimiza o posicionamento de dados em nós NUMA durante o carregamento da tabela. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Acesso à memória não uniforme (NUMA) do SAP HANA na base de conhecimento da SAP.
Última atualização: 27 de outubro de 2025
Manutenção do SAP HANA: verifique o status da licença do HANA.

Gravidade:
Alta

Detalhes
Uma chave de licença permanente é necessária para operar em um sistema HANA. Se uma chave de licença permanente expirar, uma segunda chave temporária será gerada automaticamente e ficará válida por 28 dias. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Chaves de licença para o banco de dados SAP HANA na base de conhecimento da SAP.
Última atualização: 27 de outubro de 2025
Manutenção do SAP HANA: verifique o modo de registro

Gravidade:
Crítico

Detalhes
Se log_mode estiver definido como "normal", o HANA vai criar backups de registros regulares, permitindo a recuperação pontual (restaurando até o momento anterior a uma falha). Se log_mode estiver definido como "overwrite" , nenhum backup de registros será criado. Só será possível recuperar o banco de dados para o último backup de dados. Desde 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Crítica". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Modos de registro em log no Guia de administração do SAP HANA.
Última atualização: 27 de outubro de 2025
Alta disponibilidade e recuperação de desastres do SAP HANA: defina logshipping_async_buffer_size no site principal

Gravidade:
Alta

logshipping_async_buffer_size no site principal">Detalhes
Se a replicação do sistema for desconectada durante uma transferência completa de dados, ela terá que começar do zero. Para reduzir o risco de situações de buffer cheio, o parâmetro logshipping_async_buffer_size pode ser ajustado para um valor de 1 GB no site principal. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Replicação do sistema SAP HANA na base de conhecimento da SAP.
Última atualização: 27 de outubro de 2025
Alta disponibilidade e recuperação de desastres do SAP HANA: use o valor recomendado para o parâmetro logshipping_max_retention_size

Gravidade:
Média

Parâmetro logshipping_max_retention_size">Detalhes
No contexto dos modos de operação de logreplay, o parâmetro logshipping_max_retention_size do SAP HANA define a quantidade máxima de registros de refazer que são mantidos no site principal para sincronização com o site secundário (padrão: 1 TB). Se o sistema de arquivos subjacente não for grande o suficiente para armazenar o tamanho de retenção configurado completo, poderá ocorrer, no pior caso, que o sistema de arquivos fique cheio e o site principal pare.
Para mais informações, consulte Replicação do sistema SAP HANA na base de conhecimento da SAP.
Última atualização: 17 de abril de 2025
Performance do SAP HANA: verifique a configuração adequada do parâmetro max_cpuload_for_parallel_merge

Gravidade:
Alta

Parâmetro max_cpuload_for_parallel_merge">Detalhes
Por padrão, várias fusões automáticas (até num_merge_threads) de diferentes tabelas ou partições podem ser executadas até um limite de utilização da CPU de 45%, mas assim que esse limite é excedido, no máximo uma fusão automática é executada por vez. No pior caso, isso pode resultar em um backlog de mesclagem automática maior, embora recursos suficientes do sistema para lidar com mesclagens automáticas paralelas ainda estejam disponíveis. Nesse caso, considere aumentar esse parâmetro para um valor maior que a utilização normal da CPU e menor que um limite crítico que permitiria que as fusões automáticas introduzissem gargalos de recursos. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Fusões delta do SAP HANA na base de conhecimento da SAP.
Última atualização: 27 de outubro de 2025
Escalonamento horizontal do SAP HANA: verifique se todos os hosts em um ambiente de escalonamento horizontal têm uma versão consistente do SO e do kernel.

Gravidade:
Crítico

Detalhes
Em um ambiente de escalonamento horizontal do SAP HANA, manter a consistência no SO e no kernel em todos os nós do sistema é crucial para o desempenho e a estabilidade ideais. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Crítica". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte SAP HANA: Supported Operating Systems (em inglês) na base de conhecimento da SAP.
Última atualização: 27 de outubro de 2025
Performance do SAP HANA: verifique a configuração adequada do parâmetro parallel_merge_threads

Gravidade:
Alta

Parâmetro parallel_merge_threads">Detalhes
Se parallel_merge_threads for definido como um valor específico, ele será usado para paralelismo, enquanto token_per_table definirá o número de tokens consumidos. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Fusões delta do SAP HANA na base de conhecimento da SAP.
Última atualização: 27 de outubro de 2025
Manutenção do SAP HANA: verifique a configuração adequada do parâmetro automatic_reorg_threshold

Gravidade:
Média

Parâmetro automatic_reorg_threshold">Detalhes
O parâmetro automatic_reorg_threshold especifica quando a reorganização automática das tabelas de armazenamento de linhas é acionada. Se o valor for definido como 30(padrão), a reorganização automática não será acionada com tanta frequência quanto poderia ser.
Para mais informações, consulte Alerta incorreto do SAP HANA 71: "Fragmentação do armazenamento de linhas" na base de conhecimento da SAP.
Última atualização: 21 de abril de 2025
Performance do SAP HANA: verifique os parâmetros padrão e de tamanho da pilha de trabalho

Gravidade:
Média

Detalhes
Os parâmetros de pilha de encadeamento default_stack_size_kb e worker_stack_size_kb determinam a quantidade de dados que um encadeamento recém-criado pode acessar.
Para mais informações, consulte Indexserver Crash Due to STACK OVERFLOW in Evaluator::ExpressionParser na base de conhecimento da SAP.
Última atualização: 22 de abril de 2025
Manutenção do SAP HANA: verifique a hora da última verificação de consistência da tabela

Gravidade:
Alta

Detalhes
São necessárias verificações regulares de consistência para detectar corrupções ocultas o mais cedo possível. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Verificações de consistência e corrupções do SAP HANA na base de conhecimento da SAP.
Última atualização: 27 de outubro de 2025
Performance do SAP HANA: verifique a configuração adequada do parâmetro tables_preloaded_in_parallel em VMs X4

Gravidade:
Média

Parâmetro tables_preloaded_in_parallel em VMs X4">Detalhes
O parâmetro tables_preloaded_in_parallel permite controlar o número de tabelas carregadas em paralelo depois que você inicia o sistema SAP HANA, oferecendo flexibilidade para otimizar o desempenho. Recomendamos um valor mínimo de 32.
Para mais informações, consulte Cargas e descargas do SAP HANA na base de conhecimento da SAP.
Última atualização: 22 de abril de 2025
Escalonamento horizontal do SAP HANA: verifique se todos os hosts em um ambiente de escalonamento horizontal têm um fuso horário consistente.

Gravidade:
Crítico

Detalhes
Em um ambiente de escalonamento horizontal do SAP HANA, manter a consistência nos fusos horários é fundamental para manter a estabilidade do sistema. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Crítica". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Verificar o banco de dados HANA para a troca de horário de verão na base de conhecimento da SAP.
Última atualização: 27 de outubro de 2025

SAP: práticas recomendadas de segurança do HANA (19 resultados)

Segurança do SAP HANA: ativar a criptografia para backups de dados e registros

Gravidade:
Alta

Detalhes
A criptografia protege os backups contra acesso não autorizado, criptografando os dados antes da transferência para o local de backup. Isso significa que, mesmo que um usuário não autorizado tenha acesso aos dados de backup, ele não poderá lê-los sem a chave de descriptografia. Isso se aplica a backups baseados em arquivos e a backups criados com ferramentas de backup de terceiros. O Google Cloud recomenda que você ative a criptografia de backup no sistema SAP HANA. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte a declaração de criptografia de backup do sistema no guia de referência do SAP HANA.
Última atualização: 27 de outubro de 2025
Segurança do SAP HANA: proteção contra usuários com privilégios DEVELOPMENT em um ambiente de produção

Gravidade:
Alta

Privilégios de DESENVOLVIMENTO em um ambiente de produção">Detalhes
Pelo menos um usuário ou função tem o privilégio DEVELOPMENT no banco de dados de produção. O Google Cloud recomenda que você não tenha usuários com esse privilégio. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte a seção de privilégio DEVELOPMENT nas listas de verificação e recomendações de segurança do SAP HANA.
Última atualização: 27 de outubro de 2025
Segurança do SAP HANA: exigir que os usuários mudem a senha inicial

Gravidade:
Média

Detalhes
O parâmetro force_first_password_change no SAP HANA especifica se os usuários precisam mudar a senha depois de criados. O Google Cloud recomenda que você ative o parâmetro force_first_password_change.
Para mais informações, consulte Opções de configuração da política de senhas no guia de segurança do SAP HANA One.
Última atualização: 23 de abril de 2025
Segurança do SAP HANA: proteção contra usuários com privilégios SAP_INTERNAL_HANA_SUPPORT em ambiente de produção

Gravidade:
Alta

Privilégios SAP_INTERNAL_HANA_SUPPORT no ambiente de produção">Detalhes
Pelo menos uma conta tem a função SAP_INTERNAL_HANA_SUPPORT. O Google Cloud recomenda que você não tenha usuários com esse privilégio. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte a função SAP_INTERNAL_HANA_SUPPORT nas listas de verificação e recomendações de segurança do SAP HANA.
Última atualização: 27 de outubro de 2025
Segurança do SAP HANA: verifique a configuração adequada do parâmetro last_used_passwords

Gravidade:
Média

Parâmetro last_used_passwords">Detalhes
A reutilização de senhas é uma vulnerabilidade de segurança comum. O parâmetro last_used_passwords no SAP HANA impede que os usuários reutilizem as senhas mais recentes. O parâmetro especifica o número de senhas anteriores que um usuário não pode usar ao mudar a senha atual. O Google Cloud recomenda definir last_used_passwords como um valor de 5 ou mais.
Para mais informações, consulte Opções de configuração da política de senhas no guia de segurança do SAP HANA One.
Última atualização: 23 de abril de 2025
Segurança do SAP HANA: ativar a criptografia de volumes de registros

Gravidade:
Alta

Detalhes
A criptografia protege os registros do SAP HANA contra acesso não autorizado. Uma maneira de fazer isso é criptografar os registros no nível do sistema operacional. O SAP HANA também oferece suporte à criptografia na camada de persistência, o que pode aumentar a segurança. O Google Cloud recomenda que você criptografe os volumes de registros. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte recomendações para criptografia de dados nas listas de verificação e recomendações de segurança do SAP HANA.
Última atualização: 27 de outubro de 2025
Segurança do SAP HANA: verifique a configuração adequada do parâmetro maximum_invalid_connect_attempts

Gravidade:
Média

maximum_invalid_connect_attempts parameter">Detalhes
O parâmetro maximum_invalid_connect_attempts no SAP HANA especifica o número máximo de tentativas de login com falha possíveis. O usuário é bloqueado assim que esse número é atingido. O Google Cloud recomenda definir maximum_invalid_connect_attempts como um valor de 6 ou mais.
Para mais informações, consulte Opções de configuração da política de senhas no guia de segurança do SAP HANA One.
Última atualização: 23 de abril de 2025
Segurança do SAP HANA: verifique a configuração adequada do parâmetro maximum_password_lifetime

Gravidade:
Média

Parâmetro "maximum_password_lifetime">Detalhes
O parâmetro maximum_password_lifetime no SAP HANA especifica o número de dias após o qual a senha de um usuário expira. O parâmetro vai aplicar medidas de segurança para mudar a senha do usuário periodicamente. O Google Cloud recomenda definir maximum_password_lifetime como um valor de 182 ou menor.
Para mais informações, consulte Opções de configuração da política de senhas no guia de segurança do SAP HANA One.
Última atualização: 23 de abril de 2025
Segurança do SAP HANA: verifique a configuração adequada do parâmetro maximum_unused_initial_password_lifetime

Gravidade:
Média

maximum_unused_initial_password_lifetime parameter">Detalhes
A senha inicial tem apenas uma finalidade temporária. O parâmetro maximum_unused_initial_password_lifetime no SAP HANA especifica o número de dias em que a senha inicial ou qualquer senha definida por um administrador de usuários para um usuário é válida. O Google Cloud recomenda definir maximum_unused_initial_password_lifetime como um valor de 7 ou menor.
Para mais informações, consulte Opções de configuração da política de senhas no guia de segurança do SAP HANA One.
Última atualização: 23 de abril de 2025
Segurança do SAP HANA: verifique a configuração adequada do parâmetro maximum_unused_productive_password_lifetime

Gravidade:
Média

maximum_unused_productive_password_lifetime parameter">Detalhes
O parâmetro maximum_unused_productive_password_lifetime no SAP HANA especifica o número de dias após o qual uma senha expira se o usuário não tiver feito login. Isso ajuda a reduzir o risco de contas comprometidas devido à inatividade prolongada da senha. O Google Cloud recomenda definir maximum_unused_productive_password_lifetime como um valor de 365 ou menor.
Para mais informações, consulte Opções de configuração da política de senhas no guia de segurança do SAP HANA One.
Última atualização: 23 de abril de 2025
Segurança do SAP HANA: verifique a configuração adequada do parâmetro minimal_password_length

Gravidade:
Média

minimal_password_length parameter">Detalhes
O parâmetro minimal_password_length no SAP HANA especifica o número mínimo de caracteres que uma senha precisa ter. É importante observar que o parâmetro minimal_password_length é essencial para melhorar a segurança do SAP HANA. Uma senha com menos de oito caracteres tem mais chances de ser descoberta ou quebrada, o que pode permitir que um usuário não autorizado acesse seu sistema. Para melhorar a segurança do seu sistema SAP HANA, o Google Cloud recomenda aumentar o valor do parâmetro minimal_password_length para 8 ou mais.
Para mais informações, consulte Opções de configuração da política de senhas no guia de segurança do SAP HANA One.
Última atualização: 23 de abril de 2025
Segurança do SAP HANA: verifique a configuração adequada do parâmetro minimum_password_lifetime

Gravidade:
Média

Parâmetro minimum_password_lifetime">Detalhes
O parâmetro minimum_password_lifetime no SAP HANA especifica o número mínimo de dias que precisam passar antes que um usuário possa mudar a senha. Esse parâmetro ajuda a aplicar políticas de expiração de senha e melhorar a segurança do sistema, impedindo que os usuários mudem as senhas com frequência.
Para mais informações, consulte Opções de configuração da política de senhas no guia de segurança do SAP HANA One.
Última atualização: 25 de abril de 2025
Segurança do SAP HANA: verifique a configuração adequada do parâmetro password_expire_warning_time

Gravidade:
Média

Parâmetro password_expire_warning_time">Detalhes
O parâmetro password_expire_warning_time no SAP HANA especifica o número de dias antes da expiração de uma senha em que o usuário recebe uma notificação. É importante notificar os usuários sobre os prazos de expiração das senhas para garantir que eles as mudem antes que expirem. O valor padrão para o tempo de aviso de expiração da senha é de 14 dias.
Para mais informações, consulte Opções de configuração da política de senhas no guia de segurança do SAP HANA One.
Última atualização: 25 de abril de 2025
Segurança do SAP HANA: verifique a configuração adequada do parâmetro password_layout

Gravidade:
Média

Parâmetro password_layout">Detalhes
O parâmetro password_layout no SAP HANA especifica os tipos de caracteres que a senha precisa ter. É necessário pelo menos um caractere de cada tipo selecionado.
Para mais informações, consulte Opções de configuração da política de senhas no guia de segurança do SAP HANA One.
Última atualização: 25 de abril de 2025
Segurança do SAP HANA: verifique a configuração adequada do parâmetro password_lock_time

Gravidade:
Média

Parâmetro password_lock_time">Detalhes
O parâmetro password_lock_time no SAP HANA especifica o número de minutos em que um usuário fica bloqueado após o número máximo de tentativas de login sem sucesso. O Google Cloud recomenda definir password_lock_time como um valor de 1440 ou mais.
Para mais informações, consulte Opções de configuração da política de senhas no guia de segurança do SAP HANA One.
Última atualização: 25 de abril de 2025
Segurança do SAP HANA: ative a criptografia do volume persistente (de dados)

Gravidade:
Alta

Detalhes
Recomendamos proteger os dados do SAP HANA contra acesso não autorizado. Uma maneira de fazer isso é criptografar os dados no nível do sistema operacional. O SAP HANA também oferece suporte à criptografia na camada de persistência, o que pode aumentar a segurança. Recomendamos que você criptografe volumes de dados. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte recomendações para criptografia de dados nas listas de verificação e recomendações de segurança do SAP HANA.
Última atualização: 27 de outubro de 2025
Segurança do SAP HANA: versões do HANA afetadas pelo CVE-2019-0357

Gravidade:
Crítico

Detalhes
A CVE-2019-0357 é uma vulnerabilidade que permite que usuários do banco de dados com privilégios de administrador executem comandos do sistema operacional como raiz em versões específicas do SAP HANA.
Para mais informações, consulte a nota de segurança da SAP para CVE-2019-0357.
Última atualização: 25 de abril de 2025
Segurança do SAP HANA: proteção contra usuários com privilégios de depuração em ambiente de produção

Gravidade:
Alta

Detalhes
Pelo menos um usuário tem o privilégio DEBUG ou ATTACH DEBUGGER no sistema. O Google Cloud recomenda que você não tenha usuários com esse privilégio. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte recomendações para usuários de banco de dados nas listas de verificação e recomendações de segurança do SAP HANA.
Última atualização: 27 de outubro de 2025
Segurança do SAP HANA: restringir remetentes na configuração de replicação do sistema

Gravidade:
Alta

Detalhes
A replicação do sistema é configurada com allowed_sender quando a interface de escuta é global. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte recomendações para configurações de rede nas listas de verificação e recomendações de segurança do SAP HANA.
Última atualização: 27 de outubro de 2025

SAP: alta disponibilidade (33 resultados)

Corosync: use o valor recomendado para o parâmetro consensus

Gravidade:
Alta

parâmetro de consenso">Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP no Google Cloud, o valor padrão do parâmetro consensus é definido como 1,2 vez o valor do parâmetro token. Recomendamos não modificar esse valor. Se você mudar o valor padrão, verifique se ele é pelo menos 1,2 vezes o valor de token. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Atenção" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Valores de parâmetro de configuração do Corosync no guia de planejamento de alta disponibilidade do SAP HANA.
Última atualização: 27 de outubro de 2025
Corosync: use o valor recomendado para o parâmetro join

Gravidade:
Alta

join parameter">Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP no Google Cloud, defina o parâmetro join do Corosync como um valor de 60 para estar em conformidade com as práticas recomendadas do Google Cloud. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Atenção" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Valores de parâmetro de configuração do Corosync no guia de planejamento de alta disponibilidade do SAP HANA.
Última atualização: 27 de outubro de 2025
Corosync: use o valor recomendado para o parâmetro max_messages

Gravidade:
Média

Parâmetro max_messages">Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP no Google Cloud, para evitar o excesso de mensagens entre os nós do cluster durante o processamento de tokens, defina o parâmetro max_messages do Corosync como um valor de 20. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Atenção" para "Média". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Valores de parâmetro de configuração do Corosync no guia de planejamento de alta disponibilidade do SAP HANA.
Última atualização: 27 de outubro de 2025
Corosync: use o valor recomendado para o parâmetro token_retransmits_before_loss_const

Gravidade:
Crítico

Parâmetro "token_retransmits_before_loss_const">Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP no Google Cloud, defina o parâmetro token_retransmits_before_loss_const do Corosync com um valor de 10 ou mais para estar em conformidade com as práticas recomendadas do Google Cloud.
Para mais informações, consulte Valores de parâmetro de configuração do Corosync no guia de planejamento de alta disponibilidade do SAP HANA.
Última atualização: 14 de abril de 2025
Corosync: use o valor recomendado para o parâmetro token

Gravidade:
Crítico

token parameter">Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP no Google Cloud, defina o valor do parâmetro token do Corosync como o valor de tempo limite recomendado de 20000 para estar em conformidade com a prática recomendada do Google Cloud para detecção de falhas.
Para mais informações, consulte Valores de parâmetro de configuração do Corosync no guia de planejamento de alta disponibilidade do SAP HANA.
Última atualização: 14 de abril de 2025
Corosync: use o valor recomendado para o parâmetro transport

Gravidade:
Crítico
transport parameter">Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP no Google Cloud, defina o valor do protocolo transport do Corosync de acordo com seu sistema operacional. Para sistemas Red Hat da versão 8 e mais recentes, o parâmetro precisa ser definido como knet. Para outros sistemas operacionais compatíveis, um valor de udpu é esperado.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte o Guia de configuração de cluster de alta disponibilidade para SAP HANA no RHEL.
- Para o SLES, consulte o guia de configuração de cluster de alta disponibilidade para SAP HANA no SLES.
Última atualização: 14 de abril de 2025
Pacemaker: defina pcmk_delay_max no recurso do cluster do dispositivo de isolamento

Gravidade:
Crítico

pcmk_delay_max no recurso de cluster do dispositivo de isolamento">Detalhes
Para evitar condições de disputa de isolamento em clusters de alta disponibilidade do Linux Pacemaker para SAP, o parâmetro pcmk_delay_max precisa ser especificado com um valor de 30 ou mais na definição do recurso de isolamento.
Para mais informações, consulte Opções especiais para recursos de isolamento.
Última atualização: 14 de abril de 2025
Pacemaker: use o valor de tempo limite recomendado para operações SAPHana

Gravidade:
Crítico
Operações do SAPHana">Detalhes
A definição do recurso SAPHana em um cluster HA do Linux Pacemaker contém um valor de tempo limite para as operações stop, start, promote e demote. Para clusters de alta disponibilidade do Pacemaker no Linux para SAP no Google Cloud, recomendamos um valor de pelo menos 3600 para cada operação.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte o Guia de configuração de cluster de alta disponibilidade para SAP HANA no RHEL.
- Para o SLES, consulte o guia de configuração de cluster de alta disponibilidade para SAP HANA no SLES.
Última atualização: 14 de abril de 2025
Pacemaker: verifique se uma implementação de IP de alias não está em uso

Gravidade:
Crítico

Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP no Google Cloud, não é recomendável usar endereços IP de alias que se movem entre instâncias do Compute Engine como um mecanismo de failover porque não atendem aos requisitos de alta disponibilidade. Em determinados cenários de falha, como um evento de falha zonal, talvez não seja possível remover um endereço IP de alias de uma instância de computação. Como resultado, talvez não seja possível mover o endereço IP de alias para outra instância de computação, o que torna o failover impossível.
Para mais informações, consulte Implementações de VIP de IP de alias no guia de planejamento de alta disponibilidade do SAP HANA.
Última atualização: 14 de abril de 2025
Pacemaker: verifique se todos os recursos do cluster estão íntegros

Gravidade:
Crítico

Detalhes
Para garantir a alta disponibilidade do sistema SAP e protegê-lo contra eventos inesperados do host, todos os recursos no cluster gerenciado pelo Pacemaker precisam estar no estado "Iniciado".
Para mais informações, consulte O agente de recursos foi interrompido no guia Como solucionar problemas de configurações de alta disponibilidade para SAP.
Última atualização: 12 de junho de 2025
Pacemaker: use as configurações recomendadas para o tempo limite padrão da operação do cluster.

Gravidade:
Alta
Detalhes
Em um cluster do Pacemaker, o parâmetro timeout em op_defaults define um padrão global para quanto tempo as operações podem levar antes de serem consideradas com falha. Se um tempo limite específico for configurado para um recurso individual, ele vai substituir o padrão global. O Google Cloud recomenda definir um valor de tempo limite padrão de 600. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte Definir os padrões do cluster.
- Para o SLES, consulte Inicialização do cluster e muito mais.
Última atualização: 27 de outubro de 2025
Pacemaker: use as propriedades de cluster recomendadas para o recurso ASCS

Gravidade:
Crítico
Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP no Google Cloud, meta_attributes são parâmetros de configuração que influenciam o comportamento de um recurso no cluster. Para o recurso ASCS, a SUSE e a Red Hat recomendam definir resource-stickiness como um valor de 5000. Além disso, para ENSA1, defina migration-threshold como 1 e failure-timeout como 60. Desde 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Crítica". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para RHEL, consulte Criar recurso para gerenciar a instância (A)SCS.
- Para SLES - ENSA1, consulte Configurar os recursos para o ASCS.
- Para SLES - ENSA2, consulte Configurar os recursos para o ASCS.
Última atualização: 27 de outubro de 2025
Pacemaker: use a configuração de recurso ERS recomendada para ENSA1

Gravidade:
Crítico
Detalhes
Em um cluster de alta disponibilidade do SAP Central Services (ABAP ou Java), é obrigatório definir IS_ERS=true para o recurso ERS em uma configuração do servidor de replicação de enfileiramento (ENSA1), porque ele é usado para identificar o nó em que o serviço ERS está ativo. Para uma configuração do ENSA2, essa configuração é opcional, mas recomendada.
Para mais informações, consulte estes guias:
- Para o RHEL, consulte Como criar um recurso para gerenciar a instância do ERS ou acesse a base de conhecimento da Red Hat.
- Para o SLES, consulte Configurar recursos do cluster.
- Para o cluster de alta disponibilidade do SAP NetWeaver Enqueue Replication 1 (SAP NetWeaver 7.40 e 7.50), consulte Configurar os recursos do ERS.
- Para o cluster de alta disponibilidade do SAP S/4 HANA - Enqueue Replication 2, consulte Configurar os recursos para a instância do ERS.
Última atualização: 15 de abril de 2025
Pacemaker: use os padrões de recursos recomendados para o cluster SAP CS.

Gravidade:
Alta
Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker, para ajudar a gerenciar o comportamento dos recursos e as políticas de failover, a primitiva rsc_defaults define meta_attributes padrão para todos os recursos. A SUSE e a Red Hat recomendam definir resource-stickiness como 1, indicando uma baixa preferência para que os recursos permaneçam no nó atual, e migration-threshold como 3, permitindo até três falhas em um nó antes que um recurso seja movido para outro nó. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL 9, consulte Configurar propriedades gerais do cluster.
- Para o RHEL 8, consulte Como configurar propriedades gerais do cluster.
- Para o SLES, consulte Configurar a base do cluster.
Última atualização: 27 de outubro de 2025
Pacemaker: use a configuração recomendada de recuperação automática e monitoramento do SAPInstance de alta disponibilidade do NetWeaver.

Gravidade:
Crítico
Detalhes
A primitiva SAPInstance no Pacemaker gerencia instâncias de aplicativos SAP, garantindo a inicialização, a interrupção e o monitoramento corretos. Para aumentar a estabilidade das instâncias SAP, o Google Cloud recomenda definir o atributo de instância para AUTOMATIC_RECOVER=false. Além disso, é recomendável definir a operação monitor para ter um valor timeout de 60 e um valor de intervalo definido como 11 para SLES e 20 para RHEL. Desde 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Crítica". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para RHEL, consulte Criar recurso para gerenciar a instância (A)SCS.
- Para o SLES, consulte Configurar os recursos para ASCS.
Última atualização: 27 de outubro de 2025
Alta disponibilidade: verifique o nome do host virtual configurado para hosts do SAP Central Services

Gravidade:
Crítico
Detalhes
Para garantir a alta disponibilidade dos serviços centrais do SAP, no arquivo DEFAULT.PFL, os valores dos parâmetros serverhost e replicatorhost precisam estar alinhados com a configuração do cluster do Pacemaker. Essa configuração garante a operação contínua, mesmo que um dos hosts apresente uma falha, porque o cluster pode fazer failover automático para o outro host. Desde 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Crítica". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte os parâmetros de perfil da versão instalada do ENSA:
- Para ENSA1, consulte Parâmetros de perfil para clientes de enfileiramento.
- Para o ENSA2, consulte Parâmetros de perfil do Enqueue Replicator 2.
Última atualização: 27 de outubro de 2025
Pacemaker: migrar do agente de isolamento gcpstonith legado

Gravidade:
Alta
Agente de isolamento gcpstonith">Detalhes
O módulo de isolamento gcpstonith foi descontinuado. Migre para o agente de isolamento fence_gce agrupado do SO para ter confiabilidade e funcionalidade ideais com seu cluster do Pacemaker no Google Cloud. O fence_gce está incluído nas distribuições do Linux compatíveis com a extensão ou o complemento de alta disponibilidade (HA, na sigla em inglês). A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte estes guias:
- Para configurar o isolamento de um cluster de alta disponibilidade no RHEL, consulte Configurar isolamento.
- Para configurar o isolamento de um cluster de alta disponibilidade no SLES, consulte Configurar o isolamento.
- Para migrar do gcpstonith para o fence_gce, consulte O agente de isolamento gcpstonith foi descontinuado.
Última atualização: 27 de outubro de 2025
Pacemaker: defina o parâmetro migration-threshold do cluster de alta disponibilidade com o valor recomendado para o SAP HANA

Gravidade:
Alta
migration-threshold parameter to the recommended value for SAP HANA">Details
Para migrar o recurso do SAP HANA para um novo nó de cluster em caso de falha em um cluster de alta disponibilidade do Linux Pacemaker, a definição do recurso do SAP HANA precisa especificar o parâmetro migration-threshold com o valor recomendado de 5000. Esse parâmetro determina o número de erros antes que um failover ocorra e marca o nó do cluster como inelegível para hospedar o recurso SAP HANA. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Atenção" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte o Guia de configuração de cluster de alta disponibilidade para SAP HANA no RHEL.
- Para o SLES, consulte o guia de configuração de cluster de alta disponibilidade para SAP HANA no SLES.
Última atualização: 27 de outubro de 2025
Pacemaker: use as configurações de monitor recomendadas para verificação de integridade e ILB

Gravidade:
Alta
Detalhes
Em uma configuração do Pacemaker no Google Cloud Platform, a primitiva de verificação de integridade e a primitiva do balanceador de carga interno (ILB, na sigla em inglês) trabalham juntas para alta disponibilidade. A verificação de integridade monitora o status da instância ao detectar uma porta específica, enquanto o ILB gerencia o roteamento de tráfego. As configurações de monitoramento recomendadas para a verificação de integridade são um interval de 10 segundos e um timeout de 20 segundos. As configurações de monitoramento recomendadas para o ILB são um interval de 3600 segundos e um timeout de 60 segundos. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para RHEL, consulte Criar um recurso de endereço IP virtual.
- Para o SLES, consulte Criar um recurso de IP de cluster local para o endereço VIP.
Última atualização: 27 de outubro de 2025
Pacemaker: atualizar as restrições de preferência de local do recurso

Gravidade:
Crítico
Detalhes
Um cluster de alta disponibilidade do Pacemaker no Linux contém uma restrição de preferência de local definida em um ou mais recursos. Para clusters de alta disponibilidade do Linux Pacemaker para SAP no Google Cloud, as restrições de local podem impedir o failover correto dos recursos do cluster em caso de falha. Essas restrições geralmente ocorrem quando um recurso é movido manualmente entre nós no cluster.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte Gerenciar recursos de cluster.
- Para o SLES, consulte Migração manual de recursos.
Última atualização: 16 de abril de 2025
Pacemaker: desativar o modo de manutenção

Gravidade:
Crítico
Detalhes
Para permitir que uma configuração de cluster de alta disponibilidade do Linux Pacemaker monitore e gerencie os recursos do aplicativo, os nós do cluster que hospedam esses recursos não podem estar no modo de manutenção.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte Realizar manutenção do cluster.
- Para SLES, consulte Ativar e desativar o modo de manutenção em um cluster de alta disponibilidade.
Última atualização: 16 de abril de 2025
Pacemaker: use o valor recomendado para o parâmetro resource-stickiness do SAP HANA

Gravidade:
Alta
Parâmetro resource-stickiness para SAP HANA">Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP HANA, defina o parâmetro resource-stickiness com o valor recomendado de 1000. Esse parâmetro define a preferência de um recurso por permanecer no nó atual. O valor de 1000 é alto o suficiente para minimizar a migração desnecessária do recurso para outro nó. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte Configurar propriedades gerais do cluster de alta disponibilidade.
- Para SLES, consulte Configurar propriedades e recursos do cluster.
Última atualização: 27 de outubro de 2025
Pacemaker: use os valores recomendados para os recursos primários e secundários do SAP HANA.

Gravidade:
Alta
Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP HANA no Google Cloud, os atributos meta no recurso msl do SAP HANA (classificado como primário ou secundário) determinam como esse recurso é gerenciado no cluster. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte Como criar um recurso SAPHana promovível.
- Para SLES, consulte Criar recurso SAPHana.
Última atualização: 27 de outubro de 2025
Pacemaker: use as configurações de failover recomendadas do SAP HANA

Gravidade:
Crítico
Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP HANA no Google Cloud, o recurso SAPHana contém a configuração para controlar a disponibilidade e a proteção de dados da replicação do sistema SAP HANA gerenciada pelo cluster de alta disponibilidade. O Google Cloud recomenda definir os valores dos atributos da instância da seguinte maneira: AUTOMATED_REGISTER=true, DUPLICATE_PRIMARY_TIMEOUT=7200 e PREFER_SITE_TAKEOVER=true. Desde 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Crítica". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte Como criar um recurso SAPHana promovível.
- Para SLES, consulte Criar recurso SAPHana.
Última atualização: 27 de outubro de 2025
Pacemaker: use os valores recomendados para a operação de monitor de recursos do SAP HANA

Gravidade:
Alta
Detalhes
O recurso SAPHana gerencia as instâncias que fazem parte do par replicado do SAP HANA. Em caso de falha na instância de replicação principal do SAP HANA, o agente de recursos SAPHana pode acionar uma transferência da replicação do sistema SAP HANA com base em como os parâmetros do agente de recursos foram definidos. Os valores interval e timeout da operação de monitoramento precisam ser definidos como os valores recomendados com base no fornecedor do SO. Para o Red Hat, o monitor principal precisa ter um interval de 59 e um timeout de 700, enquanto o monitor secundário precisa ter um interval de 61 e um timeout de 700. Para o SUSE, o monitor principal precisa ter um interval de 60 e um timeout de 700, enquanto o monitor secundário precisa ter um interval de 61 e um timeout de 700. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte Como criar um recurso SAPHana promovível.
- Para o SLES, consulte Como criar o recurso SAPHana.
Última atualização: 27 de outubro de 2025
Pacemaker: faça upgrade do cluster de alta disponibilidade do SUSE e dos hooks do provedor de alta disponibilidade/DR do SAP HANA para usar SAPHanaSR-angi

Gravidade:
Alta
Detalhes
Para garantir suporte e estabilidade de longo prazo para seu cluster de alta disponibilidade baseado em SLES que executa o SAP HANA, o Google Cloud recomenda usar o pacote de agente de recursos SAPHanaSR-angi no SLES para SAP 15 SP6 ou versões mais recentes. No SLES para SAP 16, o SAPHanaSR-angi substitui os pacotes SAPHana e SAPHanaSR-ScaleOut.
Para mais informações, consulte estes guias:
- Faça upgrade para o SAPHanaSR-angi em um cluster de alta disponibilidade com escalonamento vertical.
- Artigos da SUSE sobre O que é SAPHanaSR-angi e Como fazer upgrade para SAPHanaSR-angi.
Última atualização: 12 de março de 2026
Pacemaker: use as configurações recomendadas para a propriedade do cluster Stonith

Gravidade:
Crítico
Detalhes
Para preservar a integridade e a alta disponibilidade do cluster, a configuração do Pacemaker precisa ativar o STONITH para ativar o isolamento de nós e ter um tempo limite adequado definido para garantir a conclusão das operações do STONITH. Essas configurações são essenciais para isolar nós com falha e evitar que eles interrompam as operações do cluster. Recomendamos definir stonith-enabled=true e stonith-timeout como 300 para alcançar os melhores resultados. Desde 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Crítica". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte Definir os padrões do cluster.
- Para o SLES, consulte Configurar as propriedades gerais do cluster.
Última atualização: 27 de outubro de 2025
Pacemaker: use os valores recomendados para o recurso de clonagem da topologia do SAP HANA

Gravidade:
Alta
Detalhes
Em um cluster de alta disponibilidade do Linux Pacemaker para SAP HANA no Google Cloud, os atributos meta no recurso de clonagem da topologia do SAP HANA determinam como esse recurso é gerenciado no cluster. As configurações recomendadas para um recurso de topologia do SAP HANA são um valor clone_node_max de 1 e um valor interleave de true. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte Como criar um recurso SAPHanaTopology clonado.
- Para o SLES, consulte Como criar SAPHanaTopology.
Última atualização: 27 de outubro de 2025
Pacemaker: use os valores recomendados para a configuração do monitor de topologia do SAP HANA

Gravidade:
Crítico
Detalhes
Um cluster de alta disponibilidade do Linux Pacemaker contém um recurso SAPHanaTopology que inclui uma operação de monitoramento com um valor interval e um valor timeout. Para clusters de alta disponibilidade do Linux Pacemaker para SAP no Google Cloud, recomendamos um valor entre 10 e 60 segundos para o interval e um valor de 600 segundos para o timeout.
Para mais informações, consulte o guia do seu SO:
- Para RHEL, consulte Criar o recurso SAPHanaTopology.
- Para o SLES, consulte Criar o recurso primitivo SAPHanaTopology.
Última atualização: 16 de abril de 2025
Pacemaker: use os valores de tempo limite recomendados para a operação de início/parada da topologia do SAP HANA.

Gravidade:
Alta
Detalhes
O parâmetro timeout define o tempo máximo permitido para a conclusão de uma operação, como iniciar ou parar um recurso. Se a operação não for concluída nesse período, ela será considerada com falha. As configurações recomendadas para um recurso de topologia do SAP HANA são um valor de tempo limite de start de 600 e um valor de tempo limite de stop de 300. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte Criar o recurso SAPHanaTopology.
- Para SLES, consulte SAPHanaTopology.
Última atualização: 27 de outubro de 2025
Alta disponibilidade: use parâmetros ENSA2 para o Enqueue Replicator

Gravidade:
Alta

Detalhes
Em sistemas em que a versão do SAP NetWeaver é compatível com o ENSA2, mas o arquivo DEFAULT.PFL ainda contém parâmetros do ENSA1, essa incompatibilidade pode causar problemas com a funcionalidade do servidor de enfileiramento e o comportamento do cluster. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de média para alta. Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte Parâmetros de perfil do Enqueue Replicator 2 no portal de ajuda da SAP.
Última atualização: 27 de outubro de 2025
Alta disponibilidade: garanta a configuração multizonal para o SAP HANA

Gravidade:
Alta

Detalhes
Para garantir a capacidade de recuperação de uma configuração de alta disponibilidade do SAP HANA, os nós principal e secundário precisam estar em zonas diferentes na mesma região. A partir de 27 de outubro de 2025, a gravidade dessa regra de avaliação foi atualizada de "Média" para "Alta". Essa mudança também se aplica às avaliações atuais que incluem essa regra.
Para mais informações, consulte o guia de planejamento do SAP HANA.
Última atualização: 27 de outubro de 2025
Alta disponibilidade: defina o hook de replicação do sistema para SAP HANA

Gravidade:
Crítico
Detalhes
Em uma configuração de alta disponibilidade do SAP HANA, os hooks de HA/DR monitoram a replicação e os serviços individuais, como o indexserver, fornecido pelo fornecedor do sistema operacional. Essas configurações afetam o SAP HANA, que não consegue informar imediatamente ao cluster se a instância secundária ficar dessincronizada ou se os serviços do SAP HANA falharem.
Para mais informações, consulte o guia do seu SO:
- Para o RHEL, consulte Ativar o hook de provedor HA/DR do SAP HANA.
- Para o SLES, consulte Ativar o hook de provedor de HA/DR do SAP HANA.
Última atualização: 17 de março de 2026

SAP: NetWeaver (3 resultados)

SAP NetWeaver: use um tipo de VM personalizada certificada

Gravidade:
Crítico

Detalhes
Para receber suporte da SAP e do Google Cloud para o SAP NetWeaver em uma VM personalizada do Compute Engine, use um tipo de VM personalizada certificada pela SAP e pelo Google Cloud para uso com o SAP NetWeaver.
Para mais informações, consulte Máquinas certificadas no guia de planejamento do SAP NetWeaver.
Última atualização: 9 de abril de 2025
SAP NetWeaver: use um SO certificado

Gravidade:
Crítico

Detalhes
Para receber suporte da SAP e do Google Cloud para o SAP NetWeaver em uma VM do Compute Engine, use uma versão do sistema operacional certificada pela SAP e pelo Google Cloud para uso com o SAP NetWeaver.
Para mais informações, consulte Suporte do SO para SAP NetWeaver no Google Cloud.
Última atualização: 18 de fevereiro de 2026
SAP NetWeaver: use um tipo de VM certificado

Gravidade:
Crítico

Detalhes
Para receber suporte da SAP e do Google Cloud para o SAP NetWeaver em uma VM do Compute Engine, use um tipo de VM e uma plataforma de CPU certificados pela SAP e pelo Google Cloud para uso com o SAP NetWeaver.
Para mais informações, consulte Tipos de máquinas no guia de planejamento do SAP NetWeaver.
Última atualização: 3 de março de 2026

SQL Server: otimização de custos (2 resultados)

SQL: consolidação de quatro núcleos

Gravidade:
Média

Detalhes
É possível economizar nos custos de licenciamento do SQL Server por núcleo consolidando VMs com menos de quatro núcleos. Para mais informações, consulte seu contrato de licenciamento.
Licenciamento do SQL Server.
Última atualização: 18 de março de 2024
SQL: desativar multissegmentação simultânea (SMT)

Gravidade:
Média

Detalhes
Ao desativar a SMT, o número de vCPUs de cada núcleo é reduzido pela metade. Isso pode reduzir os custos de licenciamento. Para mais informações, consulte seu contrato de licenciamento.
Uma prática recomendada do setor para um TCO ideal na maioria das cargas de trabalho do SQL Server é definir o número de linhas de execução por núcleo como um e, em seguida, dimensionar corretamente o formato da VM de acordo com os requisitos da carga de trabalho. Também é possível controlar o número de núcleos usando núcleos visíveis personalizados. Consulte seu gerente técnico de contas para mais detalhes.
como definir o número de linhas de execução por núcleo.
Última atualização: 7 de fevereiro de 2024

SQL Server: cluster de failover (2 resultados)

SQL: ativar o clustering de failover

Gravidade:
Crítico

Detalhes
Para ativar o cluster de failover no agente do Compute Engine, adicione a flag enable-wsfc=true aos metadados da VM.
Como ativar o cluster de failover no Compute Engine.
Última atualização: 11 de janeiro de 2024
SQL: tags de rede presentes

Gravidade:
Baixa

Detalhes
Para permitir que os clientes se conectem ao SQL Server, permita a comunicação entre os nós do WSFC e que o balanceador de carga realize verificações de integridade. As regras de firewall são aplicadas a VMs com essas tags de rede.
Configure a instância de cluster de failover.
Última atualização: 6 de outubro de 2025

SQL Server: desempenho (10 resultados)

SQL: ativar a extensão do pool de buffer

Gravidade:
Média

Detalhes
Com o recurso de extensão do pool de buffers, é possível enviar páginas limpas para um SSD local, em vez de descartá-las. Isso funciona nos mesmos moldes da memória virtual, ou seja, por meio de trocas. Além disso, esse processo concede acesso às páginas limpas do SSD local, o que é mais rápido do que acessar o disco regular para buscar os dados.
Ativar a extensão do pool de buffers em Práticas recomendadas para VMs do SQL Server.
Última atualização: 11 de janeiro de 2024
SQL: formatar discos secundários

Gravidade:
Média

Detalhes
A formatação de um disco com uma unidade de alocação de 64 KB permite que o SQL Server leia e grave extensões com mais eficiência, o que aumenta o desempenho de E/S do disco.
Última atualização: 11 de janeiro de 2024
SQL: evite a fragmentação de índice

Gravidade:
Média

Detalhes
Se um ou mais índices estiverem 95%ou mais fragmentados, recomendamos programar jobs de desfragmentação.
Última atualização: 11 de janeiro de 2024
SQL: mover arquivos de dados e de registros para um novo disco

Gravidade:
Média

Detalhes
Por padrão, a imagem pré-configurada do SQL Server é fornecida com tudo instalado no disco permanente de inicialização, que é ativado como a unidade "C:". Considere anexar um disco permanente SSD secundário e mover os arquivos de registros e dados para o novo disco.
Coloque os dados e arquivos de registro em unidades separadas na documentação do SQL Server.
Última atualização: 11 de janeiro de 2024
SQL: defina o perfil de energia como "Alto desempenho"

Gravidade:
Média

Detalhes
Para configurar o SQL Server e ter o melhor desempenho possível no Google Cloud, recomendamos definir o perfil de energia como "Alto desempenho" em vez de "Equilibrado".
Como definir o perfil de energia.
Última atualização: 11 de janeiro de 2024
SQL: corresponda o grau máximo de paralelismo ao número de CPUs no servidor

Gravidade:
Média

Detalhes
A configuração padrão recomendada para o grau máximo de paralelismo é correspondê-lo com o número de CPUs no servidor. Na prática, o número 8 funciona como um bom valor padrão.
Processamento paralelo de consultas em Práticas recomendadas para VMs do SQL Server.
Última atualização: 11 de janeiro de 2024
SQL: usar tabelas compactadas

Gravidade:
Média

Detalhes
A compactação de tabelas pode agilizar o desempenho do sistema.
Usar tabelas compactadas em "Práticas recomendadas para VMs do SQL Server".
Última atualização: 11 de janeiro de 2024
SQL: usar SSDs locais para tempDB

Gravidade:
Baixa

Detalhes
Crie novas instâncias do SQL Server com um ou mais SSDs locais para armazenar arquivos tempdb e de paginação do Windows.
Última atualização: 6 de outubro de 2025
SQL: defina o arquivo de registro como uma quantidade fixa e agende backups regulares

Gravidade:
Média

Detalhes
Desative o crescimento automático e defina o arquivo de registros em um tamanho fixo.
Última atualização: 11 de janeiro de 2024
SQL: otimizar arquivos de registros virtuais

Gravidade:
Baixa

Detalhes
Monitore o crescimento do arquivo de registros virtuais e tome medidas para evitar a fragmentação dele.
Como otimizar arquivos de registros virtuais em Práticas recomendadas para VMs do SQL Server.
Última atualização: 6 de outubro de 2025

SQL Server: estabilidade (3 resultados)

SQL: fazer backup regularmente

Gravidade:
Média

Detalhes
Durante backups regulares do banco de dados, tenha cuidado para não consumir muitas IOPS de disco permanente. Use a SSD local para organizar seus backups e enviá-los por push para um bucket do Cloud Storage.
Fazer backup em Práticas recomendadas para VMs do SQL Server.
Última atualização: 11 de janeiro de 2024
SQL: o agente de backup e recuperação de desastres do Google Cloud não foi detectado

Gravidade:
Média

Detalhes
Considere as soluções de backup e recuperação de desastres do Google para uma proteção ideal.
Serviço de backup e DR.
Última atualização: 25 de junho de 2024
SQL: corresponda a configuração de memória máxima do servidor com a memória física disponível na instância

Gravidade:
Média

Detalhes
A configuração de memória máxima do servidor corresponde à memória física disponível na instância.
Última atualização: 11 de janeiro de 2024

Referência de práticas recomendadas do Google Cloud Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Níveis de gravidade

Práticas recomendadas compatíveis

Contagem de regras por práticas recomendadas

Práticas recomendadas do Google Cloud: chaves de API (4 resultados)

Chave de API sem restrição link

Chave de API sem restrição de serviço link

Chave de API com mais de 90 dias link

Chaves de API link

Práticas recomendadas do Google Cloud: Transparência no acesso (1 resultado)

A transparência no acesso da organização está ativada. link

Práticas recomendadas do Google Cloud: AlloyDB para PostgreSQL (4 resultados)

Backups automáticos do cluster do Alloy desativados link

Backups contínuos do cluster do AlloyDB não ativados link

Política de manutenção do cluster do Alloy link

IP público da instância do Alloy link

Práticas recomendadas do Google Cloud: Apigee X (1 resultado)

Instâncias multirregionais da Apigee link

Práticas recomendadas do Google Cloud: Artifact Registry (1 resultado)

Artifact Registry multirregional link

Práticas recomendadas do Google Cloud: BigQuery (10 resultados)

CMEK do conjunto de dados do BigQuery desativada link

Conjunto de dados do BigQuery sem rótulos link

O conjunto de dados do BigQuery não tem tags de recursos link

Multirregião do conjunto de dados do BigQuery link

Conjunto de dados público do BigQuery link

CMEK da tabela do BigQuery link

Expiração da tabela do BigQuery link

Tabela do BigQuery sem rótulos link

Tags de recursos ausentes na tabela do BigQuery link

Partição da tabela do BigQuery link

Práticas recomendadas do Google Cloud: Cloud Bigtable (3 resultados)

Redundância de cluster do Bigtable link

Replicação da instância do Bigtable ativada link

Roteamento de vários clusters do perfil do Bigtable link

Práticas recomendadas do Google Cloud: Cloud Build (1 resultado)

Redundância do pool do Cloud Build link

Práticas recomendadas do Google Cloud: Cloud DNS (3 resultados)

Registro de política de DNS link

DNSSEC público da zona de DNS link

Geração de registros públicos da zona de DNS link

Práticas recomendadas do Google Cloud: Cloud Functions (3 resultados)

Cloudfunctions ingress gclb link

Instância mínima da função link

Funções multirregionais do projeto link

Práticas recomendadas do Google Cloud: Cloud Key Management Service (14 resultados)

Nível de proteção de chave criptográfica do Cloud KMS hsm link

Software de nível de proteção de chave criptográfica do Cloud KMS link

Rotação simétrica de chave criptográfica do Cloud KMS link

Resolvadores redundantes de conexão EKM do Cloud KMS link

Pasta de chaves do Cloud KMS exposta publicamente link

Organização de chaves do Cloud KMS exposta publicamente link

Projeto de chave do Cloud KMS exposto publicamente link

Chave do Cloud KMS exposta publicamente link

Finalidade da chave simétrica do Cloud KMS link

Keyring do Cloud KMS exposto publicamente link

Rotação de chaves do Cloud KMS desativada link

Rotação de chaves do Cloud KMS ativada há um ano link

Keyring multirregional do Cloud KMS link

Papel de proprietário do Cloud KMS link

Práticas recomendadas do Google Cloud: Cloud Load Balancing (4 resultados)

Nível de rede da regra de encaminhamento do Compute link

Calcular a distribuição de zonas do serviço de back-end regional do Compute link

Distribuição de back-end global link

Verificação de integridade do pool de destino ativada link

Práticas recomendadas do Google Cloud: Cloud Logging (3 resultados)

Coletor de registros link

Multirregião do bucket de registros link

Coletor de geração de registros não agregado na pasta ou organização link

Práticas recomendadas do Google Cloud: Cloud Pub/Sub (7 resultados)

Pub/Sub sub espera exponencial link

Tópico de mensagens inativas da assinatura do Pub/Sub configurado link

Deadletter da assinatura do Pub/Sub link

Política de nova tentativa de assinatura do Pub/Sub configurada link

Retenção de mensagens do tópico do Pub/Sub link

Política do Cloud Storage para mensagens do tópico do Pub/Sub link

Esquema de tópicos do Pub/Sub link

Práticas recomendadas do Google Cloud: Cloud Router (6 resultados)

O roteador do Compute anuncia todas as sub-redes link

bfd ativado no roteador do Compute Engine link

Referência de práticas recomendadas do Google Cloud

Chave de API sem restrição

Chave de API sem restrição de serviço

Chave de API com mais de 90 dias

Chaves de API

A transparência no acesso da organização está ativada.

Backups automáticos do cluster do Alloy desativados

Backups contínuos do cluster do AlloyDB não ativados

Política de manutenção do cluster do Alloy

IP público da instância do Alloy

Instâncias multirregionais da Apigee

Artifact Registry multirregional

CMEK do conjunto de dados do BigQuery desativada

Conjunto de dados do BigQuery sem rótulos

O conjunto de dados do BigQuery não tem tags de recursos

Multirregião do conjunto de dados do BigQuery

Conjunto de dados público do BigQuery

CMEK da tabela do BigQuery

Expiração da tabela do BigQuery

Tabela do BigQuery sem rótulos

Tags de recursos ausentes na tabela do BigQuery

Partição da tabela do BigQuery

Redundância de cluster do Bigtable

Replicação da instância do Bigtable ativada

Roteamento de vários clusters do perfil do Bigtable

Redundância do pool do Cloud Build

Registro de política de DNS

DNSSEC público da zona de DNS

Geração de registros públicos da zona de DNS

Cloudfunctions ingress gclb

Instância mínima da função

Funções multirregionais do projeto

Nível de proteção de chave criptográfica do Cloud KMS hsm

Software de nível de proteção de chave criptográfica do Cloud KMS

Rotação simétrica de chave criptográfica do Cloud KMS

Resolvadores redundantes de conexão EKM do Cloud KMS

Pasta de chaves do Cloud KMS exposta publicamente

Organização de chaves do Cloud KMS exposta publicamente

Projeto de chave do Cloud KMS exposto publicamente

Chave do Cloud KMS exposta publicamente

Finalidade da chave simétrica do Cloud KMS

Keyring do Cloud KMS exposto publicamente

Rotação de chaves do Cloud KMS desativada

Rotação de chaves do Cloud KMS ativada há um ano

Keyring multirregional do Cloud KMS

Papel de proprietário do Cloud KMS

Nível de rede da regra de encaminhamento do Compute

Calcular a distribuição de zonas do serviço de back-end regional do Compute

Distribuição de back-end global

Verificação de integridade do pool de destino ativada

Coletor de registros

Multirregião do bucket de registros

Coletor de geração de registros não agregado na pasta ou organização

Pub/Sub sub espera exponencial

Tópico de mensagens inativas da assinatura do Pub/Sub configurado

Deadletter da assinatura do Pub/Sub

Política de nova tentativa de assinatura do Pub/Sub configurada

Retenção de mensagens do tópico do Pub/Sub

Política do Cloud Storage para mensagens do tópico do Pub/Sub

Esquema de tópicos do Pub/Sub

O roteador do Compute anuncia todas as sub-redes

bfd ativado no roteador do Compute Engine

Sinal de atividade do BGP do roteador do Compute Engine

Redundância de peering BGP do roteador do Compute Engine

Roteadores multirregionais do projeto

Redundância de roteadores regionais do projeto

Executar a entrada do balanceador de carga global

Executar instância mínima do serviço

Serviço do Cloud Run sem saída de VPC

Backup multirregional do Cloud SQL

Certificado da autoridade de certificação da instância do Cloud SQL inválido

Proteção contra exclusão de instâncias do Cloud SQL

Janela de manutenção da instância do Cloud SQL

PITR da instância do Cloud SQL desativada

Redimensionamento automático do Cloud Storage da instância do Cloud SQL

Arquivo local do Cloud SQL MySQL ativado

Cloudsql mysql skip show database

Registro de consulta lenta do MySQL do Cloud SQL desativado

Cloudsql sem backup automático

A política de senha do Cloud SQL não está ativada