Ergebnisse zu Sicherheitslücken

Security Health Analytics- und Web Security Scanner-Detektoren generieren Ergebnisse zu Sicherheitslücken, die in Security Command Center verfügbar sind. Wenn sie in Security Command Center aktiviert sind, generieren integrierte Dienste wie VM Manager auch Ergebnisse zu Sicherheitslücken.

Ob Sie Ergebnisse aufrufen und bearbeiten können, hängt von den IAM-Rollen (Identity and Access Management) und Berechtigungen ab, die Ihnen zugewiesen wurden. Weitere Informationen zu IAM-Rollen in Security Command Center finden Sie unter Zugriffssteuerung.

Detektoren und Compliance

Security Command Center überwacht Ihre Compliance mit Detektoren, die den Steuerelementen einer Vielzahl von Sicherheitsstandards zugeordnet sind.

Für jeden unterstützten Sicherheitsstandard prüft Security Command Center eine Teilmenge der Kontrollen. Für die geprüften Steuerelemente zeigt Security Command Center an, wie viele bestanden wurden. Für die Kontrollen, die nicht bestanden wurden, zeigt Security Command Center eine Liste von Ergebnissen an, in denen die Fehler beschrieben werden.

CIS prüft und zertifiziert die Zuordnungen von Security Command Center-Detektoren zu jeder unterstützten Version des CIS Google Cloud Foundations Benchmark. Zusätzliche Compliance-Zuordnungen sind nur zu Referenzzwecken enthalten.

Security Command Center unterstützt regelmäßig neue Benchmark-Versionen und ‑Standards. Ältere Versionen werden weiterhin unterstützt, aber irgendwann eingestellt. Wir empfehlen, die neueste unterstützte Benchmark oder den neuesten unterstützten Standard zu verwenden.

Mit dem Dienst für den Sicherheitsstatus können Sie Organisationsrichtlinien und Security Health Analytics-Detektoren den Standards und Kontrollen zuordnen, die für Ihr Unternehmen gelten. Nachdem Sie eine Sicherheitskonfiguration erstellt haben, können Sie die Umgebung auf Änderungen überwachen, die sich auf die Compliance Ihres Unternehmens auswirken könnten.

Mit Compliance Manager (Vorschau) können Sie Frameworks bereitstellen, die regulatorische Kontrollen Cloud-Kontrollen zuordnen. Nachdem Sie ein Framework erstellt haben, können Sie die Umgebung auf Änderungen überwachen, die sich auf die Compliance Ihres Unternehmens auswirken könnten, und Ihre Umgebung prüfen.

Weitere Informationen zum Verwalten der Compliance finden Sie unter Compliance mit Sicherheitsstandards bewerten und melden.

Unterstützte Sicherheitsstandards

Google Cloud

Security Command Center ordnet Detektoren für Google Cloud einem oder mehreren der folgenden Compliancestandards zu:

AWS

Security Command Center ordnet Detektoren für Amazon Web Services (AWS) einem oder mehreren der folgenden Compliancestandards zu:

Eine Anleitung zum Aufrufen und Exportieren von Complianceberichten finden Sie unter Compliance mit Sicherheitsstandards bewerten und melden.

Deaktivierung nach Behebung des Problems

Nachdem Sie ein Ergebnis zu einer Sicherheitslücke oder Fehlkonfiguration behoben haben, legt der Security Command Center-Dienst, der das Ergebnis erkannt hat, den Status des Ergebnisses beim nächsten Scan automatisch auf INACTIVE fest. Wie lange es dauert, bis Security Command Center ein behobenes Ergebnis auf INACTIVE setzt, hängt vom Zeitplan des Scans ab, der das Ergebnis erkennt.

Die Security Command Center-Dienste setzen den Status eines Ergebnisses zu einer Sicherheitslücke oder Fehlkonfiguration auch auf INACTIVE, wenn bei einem Scan festgestellt wird, dass die vom Ergebnis betroffene Ressource gelöscht wurde.

Weitere Informationen zu Scanintervallen finden Sie in den folgenden Themen:

Ergebnisse von Security Health Analytics

Detektoren von Security Health Analytics überwachen einen Teil der Ressourcen aus Cloud Asset Inventory (CAI), wobei sie Benachrichtigungen über Ressourcenänderungen und Richtlinienänderungen der Identitäts- und Zugriffsverwaltung (IAM) erhalten. Einige Detektoren rufen Daten ab, indem sie Google Cloud APIs direkt aufrufen, wie in Tabellen weiter unten auf dieser Seite angegeben.

Weitere Informationen zu Security Health Analytics, Scanplänen und der Unterstützung von Security Health Analytics für integrierte und benutzerdefinierte Moduldetektoren finden Sie unter Übersicht über Security Health Analytics.

In den folgenden Tabellen werden die Detektoren von Security Health Analytics, die unterstützten Assets und Compliance-Standards, die für Scans verwendeten Einstellungen und die generierten Ergebnistypen beschrieben. Sie können Ergebnisse auf den folgenden Seiten in der Google Cloud Konsole nach verschiedenen Attributen filtern:

  • Auf der Seite Sicherheitslücken in der Standard- und Premium-Stufe.
  • In der Enterprise-Stufe auf der Seite Risiko > Übersicht. Wählen Sie die Ansicht CVE-Sicherheitslücken aus.

Eine Anleitung zum Beheben von Ergebnissen und zum Schutz Ihrer Ressourcen finden Sie unter Ergebnisse von Security Health Analytics beheben.

Ergebnisse zu Sicherheitslücken beim API-Schlüssel

Der Detektor API_KEY_SCANNER identifiziert Sicherheitslücken in Verbindung mit API-Schlüsseln, die in Ihrer Cloud-Bereitstellung verwendet werden.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: API_KEY_APIS_UNRESTRICTED

Ergebnisbeschreibung: API-Schlüssel werden zu häufig verwendet. Zur Behebung dieses Problems beschränken Sie die Nutzung der API-Schlüssel so, dass nur die von der Anwendung benötigten APIs zugelassen werden.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.12
  • CIS GCP Foundation 1.1: 1.14
  • CIS GCP Foundation 1.2: 1.14
  • CIS GCP Foundation 1.3: 1.14
  • CIS GCP Foundation 2.0: 1.14
  • CIS GCP Foundation 3.0: 1.14
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

Ruft das Attribut restrictions aller API-Schlüssel in einem Projekt ab und prüft, ob einer auf cloudapis.googleapis.com festgelegt ist.

  • Echtzeit-Scans: Nein

Kategoriename in der API: API_KEY_APPS_UNRESTRICTED

Ergebnisbeschreibung: API-Schlüssel werden uneingeschränkt verwendet und ermöglichen die Nutzung durch nicht vertrauenswürdige Anwendungen.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.11
  • CIS GCP Foundation 1.1: 1.13
  • CIS GCP Foundation 1.2: 1.13
  • CIS GCP Foundation 1.3: 1.13
  • CIS GCP Foundation 2.0: 1.13
  • CIS GCP Foundation 3.0: 1.13

Ruft des Attribut restrictions aller API-Schlüssel in einem Projekt ab und prüft, ob browserKeyRestrictions, serverKeyRestrictions, androidKeyRestrictions oder iosKeyRestrictions festgelegt ist.

  • Echtzeit-Scans: Nein

Kategoriename in der API: API_KEY_EXISTS

Ergebnisbeschreibung: Ein Projekt nutzt API-Schlüssel anstelle der Standardauthentifizierung.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.10
  • CIS GCP Foundation 1.1: 1.12
  • CIS GCP Foundation 1.2: 1.12
  • CIS GCP Foundation 1.3: 1.12
  • CIS GCP Foundation 2.0: 1.12
  • CIS GCP Foundation 3.0: 1.12
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

Ruft alle API-Schlüssel ab, die zu einem Projekt gehören.

  • Echtzeit-Scans: Nein

Kategoriename in der API: API_KEY_NOT_ROTATED

Ergebnisbeschreibung: Der API-Schlüssel wurde seit mehr als 90 Tagen nicht rotiert.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.13
  • CIS GCP Foundation 1.1: 1.15
  • CIS GCP Foundation 1.2: 1.15
  • CIS GCP Foundation 1.3: 1.15
  • CIS GCP Foundation 2.0: 1.15
  • CIS GCP Foundation 3.0: 1.15
  • NIST 800-53 R5: PL-8, SA-8
  • PCI-DSS v4.0: 2.2.2, 6.2.1
  • ISO-27001 v2022: A.8.27
  • Cloud Controls Matrix 4: DSP-07
  • NIST Cybersecurity Framework 1.0: PR-IP-2
  • CIS Controls 8.0: 16.10

Ruft den im Attribut createTime aller API-Schlüssel enthaltenen Zeitstempel ab und prüft, ob 90 Tage vergangen sind.

  • Echtzeit-Scans: Nein

Ergebnisse zu Sicherheitslücken in Cloud Asset Inventory

Sicherheitslücken dieses Detektortyps beziehen sich alle auf Cloud Asset Inventory-Konfigurationen und gehören zum Typ CLOUD_ASSET_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: CLOUD_ASSET_API_DISABLED

Ergebnisbeschreibung:Die Erfassung von Google Cloud Ressourcen und IAM-Richtlinien durch Cloud Asset Inventory ermöglicht Sicherheitsanalysen, das Tracking von Ressourcenänderungen und die Complianceprüfung. Wir empfehlen, den Cloud Asset Inventory-Dienst für alle Projekte zu aktivieren. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren.

Preisstufe: Premium

Unterstützte Assets
pubsub.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.3: 2.13
  • CIS GCP Foundation 2.0: 2.13
  • CIS GCP Foundation 3.0: 2.13
  • NIST 800-53 R5: CM-8, PM-5
  • PCI-DSS v4.0: 11.2.1, 11.2.2, 12.5.1, 9.5.1, 9.5.1.1
  • ISO-27001 v2022: A.5.9, A.8.8
  • Cloud Controls Matrix 4: UEM-04
  • NIST Cybersecurity Framework 1.0: ID-AM-1, PR-DS-3
  • SOC2 v2017: CC3.2.6, CC6.1.1
  • HIPAA: 164.310(d)(2)(iii)
  • CIS Controls 8.0: 1.1, 6.6

Prüft, ob der Cloud Asset Inventory-Dienst aktiviert ist.

  • Echtzeit-Scans: Ja

Ergebnisse zu Speichersicherheitslücken

Sicherheitslücken dieses Detektortyps beziehen sich alle auf Cloud Storage-Bucket-Konfigurationen und gehören zum Typ STORAGE_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: BUCKET_CMEK_DISABLED

Ergebnisbeschreibung: Ein Bucket ist nicht mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung dazu finden Sie unter Detektoren aktivieren und deaktivieren.

Preisstufe: Premium

Unterstützte Assets
storage.googleapis.com/Bucket

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

Prüft das Feld encryption in Bucket-Metadaten auf den Ressourcennamen Ihres CMEK.

  • Echtzeit-Scans: Ja

Kategoriename in der API: BUCKET_POLICY_ONLY_DISABLED

Ergebnisbeschreibung: Der einheitliche Zugriff auf Bucket-Ebene, zuvor "Nur Bucket-Richtlinie" genannt, ist nicht konfiguriert.

Preisstufe: Premium

Unterstützte Assets
storage.googleapis.com/Bucket

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.2: 5.2
  • CIS GCP Foundation 1.3: 5.2
  • CIS GCP Foundation 2.0: 5.2
  • CIS GCP Foundation 3.0: 5.2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Prüft, ob das Attribut uniformBucketLevelAccess für einen Bucket auf "enabled":false gesetzt ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: PUBLIC_BUCKET_ACL

Ergebnisbeschreibung: Ein Cloud Storage-Bucket ist öffentlich zugänglich.

Preisstufe: Premium oder Standard

Unterstützte Assets
storage.googleapis.com/Bucket

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 5.1
  • CIS GCP Foundation 1.1: 5.1
  • CIS GCP Foundation 1.2: 5.1
  • CIS GCP Foundation 1.3: 5.1
  • CIS GCP Foundation 2.0: 5.1
  • CIS GCP Foundation 3.0: 5.1
  • NIST 800-53 R4: AC-2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Prüft die IAM-Zulassungsrichtlinie eines Buckets auf öffentliche Rollen, allUsers oder allAuthenticatedUsers.

  • Echtzeit-Scans: Ja

Kategoriename in der API: PUBLIC_LOG_BUCKET

Ergebnisbeschreibung: Ein als Logsenke verwendeter Storage-Bucket ist öffentlich zugänglich.

Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar.

Preisstufe: Premium oder Standard

Unterstützte Assets
storage.googleapis.com/Bucket

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: AU-9
  • PCI-DSS v3.2.1: 10.5
  • ISO-27001 v2013: A.12.4.2, A.18.1.3, A.8.2.3

Prüft die IAM-Zulassungsrichtlinie eines Buckets für die Hauptkonten allUsers oder allAuthenticatedUsers, die öffentlichen Zugriff gewähren.

  • Zusätzliche Eingaben: Liest die Logsenke (den Logfilter und das Logziel) für einen Bucket, um zu ermitteln, ob es sich um einen Log-Bucket handelt.
  • Echtzeit-Scans: Ja, aber nur wenn sich die IAM-Richtlinie für den Bucket ändert, nicht wenn die Logsenke geändert wird

Ergebnisse zu Sicherheitslücken bei Compute-Images

Der Detektor COMPUTE_IMAGE_SCANNER identifiziert Sicherheitslücken im Zusammenhang mitGoogle Cloud -Imagekonfigurationen.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: PUBLIC_COMPUTE_IMAGE

Ergebnisbeschreibung: Ein Compute Engine-Image ist öffentlich zugänglich.

Preisstufe: Premium oder Standard

Unterstützte Assets
compute.googleapis.com/Image

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

Prüft die IAM-Zulassungsrichtlinie in den Ressourcenmetadaten auf die Hauptkonten allUsers oder allAuthenticatedUsers, die öffentlichen Zugang gewähren.

  • Echtzeit-Scans: Ja

Ergebnisse zu Sicherheitslücken bei Compute-Instanzen

Der COMPUTE_INSTANCE_SCANNER-Detektor identifiziert Sicherheitslücken in Verbindung mit Compute Engine-Instanzkonfigurationen.

COMPUTE_INSTANCE_SCANNER-Detektoren melden keine Ergebnisse zu Compute Engine-Instanzen, die von GKE erstellt wurden. Der Name solcher Instanzen beginnt mit "gke-" und kann von Nutzern nicht bearbeitet werden. Weitere Informationen zum Schutz dieser Instanzen finden Sie im Abschnitt mit den Ergebnissen zu Container-Sicherheitslücken.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: CONFIDENTIAL_COMPUTING_DISABLED

Ergebnisbeschreibung: Confidential Computing ist auf Compute Engine-Instanzen deaktiviert.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.2: 4.11
  • CIS GCP Foundation 1.3: 4.11
  • CIS GCP Foundation 2.0: 4.11
  • CIS GCP Foundation 3.0: 4.11
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Prüft das Attribut confidentialInstanceConfig von Instanzmetadaten für das Schlüssel/Wert-Paar "enableConfidentialCompute":true.

  • Von Scans ausgeschlossene Assets:
    • GKE-Instanzen
    • Serverloser VPC-Zugriff
    • Instanzen im Zusammenhang mit Dataflow-Jobs
    • Compute Engine-Instanzen, die nicht vom Typ N2D sind
  • Echtzeit-Scans: Ja

Kategoriename in der API: COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

Ergebnisbeschreibung: Es werden projektweite SSH-Schlüssel verwendet, sodass eine Anmeldung bei allen Instanzen im Projekt möglich ist.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 4.2
  • CIS GCP Foundation 1.1: 4.3
  • CIS GCP Foundation 1.2: 4.3
  • CIS GCP Foundation 1.3: 4.3
  • CIS GCP Foundation 2.0: 4.3
  • CIS GCP Foundation 3.0: 4.3
  • NIST 800-53 R5: AC-17, IA-5, SC-8
  • PCI-DSS v4.0: 2.2.7, 4.1.1, 4.2.1, 4.2.1.2, 4.2.2, 8.3.2
  • ISO-27001 v2022: A.5.14
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-2
  • SOC2 v2017: CC6.1.11, CC6.1.3, CC6.1.8, CC6.7.2
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(1), 164.312(e)(2)(i), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.10, 5.2

Prüft das Objekt metadata.items[] in den Instanzmetadaten auf das Schlüssel/Wert-Paar "key": "block-project-ssh-keys", "value": TRUE.

  • Von Scans ausgeschlossene Assets: GKE-Instanzen, Dataflow-Job, Windows-Instanz
  • Zusätzliche IAM-Berechtigungen: roles/compute.Viewer
  • Zusätzliche Eingaben: Liest Metadaten aus Compute Engine
  • Echtzeit-Scans: Nein

Kategoriename in der API: COMPUTE_SECURE_BOOT_DISABLED

Ergebnisbeschreibung: Für diese Shielded VM ist Secure Boot nicht aktiviert. Mit Secure Boot können Sie VM-Instanzen vor erweiterten Bedrohungen wie Rootkits und Bootkits schützen.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

Prüft das Attribut shieldedInstanceConfig in Compute Engine-Instanzen, um festzustellen, ob enableSecureBoot auf true gesetzt ist. Dieser Detektor prüft, ob angehängte Laufwerke mit Secure Boot kompatibel sind und ob Secure Boot aktiviert ist.

  • Von Scans ausgeschlossene Assets: GKE-Instanzen, Compute Engine-Laufwerke mit GPU-Beschleunigern und ohne Container-Optimized OS, serverloser VPC-Zugriff
  • Echtzeit-Scans: Ja

Kategoriename in der API: COMPUTE_SERIAL_PORTS_ENABLED

Ergebnisbeschreibung: Serielle Ports sind für eine Instanz aktiviert und ermöglichen Verbindungen zur seriellen Konsole der Instanz.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 4.4
  • CIS GCP Foundation 1.1: 4.5
  • CIS GCP Foundation 1.2: 4.5
  • CIS GCP Foundation 1.3: 4.5
  • CIS GCP Foundation 2.0: 4.5
  • CIS GCP Foundation 3.0: 4.5
  • NIST 800-53 R5: CM-6, CM-7
  • PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.1
  • ISO-27001 v2022: A.8.9
  • SOC2 v2017: CC6.6.1, CC6.6.3, CC6.6.4
  • CIS Controls 8.0: 4.8

Prüft das Objekt metadata.items[] in den Instanzmetadaten auf das Schlüssel/Wert-Paar "key": "serial-port-enable", "value": TRUE.

  • Von Scans ausgeschlossene Assets: GKE-Instanzen
  • Zusätzliche IAM-Berechtigungen: roles/compute.Viewer
  • Zusätzliche Eingaben: Liest Metadaten aus Compute Engine
  • Echtzeit-Scans: Ja

Kategoriename in der API: DEFAULT_SERVICE_ACCOUNT_USED

Ergebnisbeschreibung: Eine Instanz ist für die Verwendung des Standarddienstkontos konfiguriert.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.1: 4.1
  • CIS GCP Foundation 1.2: 4.1
  • CIS GCP Foundation 1.3: 4.1
  • CIS GCP Foundation 2.0: 4.1
  • CIS GCP Foundation 3.0: 4.1
  • NIST 800-53 R5: IA-5
  • PCI-DSS v4.0: 2.2.2, 2.3.1
  • ISO-27001 v2022: A.8.2, A.8.9
  • NIST Cybersecurity Framework 1.0: PR-AC-1
  • SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 4.7

Prüft das Attribut serviceAccounts in den Instanzmetadaten auf E-Mail-Adressen von Dienstkonten mit dem Präfix PROJECT_NUMBER[email protected], die auf das von Google erstellte Standarddienstkonto hinweisen.

  • Von Scans ausgeschlossene Assets: GKE-Instanzen, Dataflow-Jobs
  • Echtzeit-Scans: Ja

Kategoriename in der API: DISK_CMEK_DISABLED

Ergebnisbeschreibung: Laufwerke auf dieser VM werden nicht mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Disk

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

Prüft das Feld kmsKeyName im Objekt diskEncryptionKey in den Metadaten des Laufwerks für den Ressourcennamen Ihres CMEK.

  • Von Scans ausgeschlossene Assets: Laufwerke, die mit Cloud Composer-Umgebungen, Dataflow-Jobs und GKE-Instanzen verknüpft sind
  • Echtzeit-Scans: Ja

Kategoriename in der API: DISK_CSEK_DISABLED

Ergebnisbeschreibung: Laufwerke auf dieser VM werden nicht mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln (Customer-Supplied Encryption Keys, CSEKs) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Sonderfalldetektor.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Disk

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 4.6
  • CIS GCP Foundation 1.1: 4.7
  • CIS GCP Foundation 1.2: 4.7
  • CIS GCP Foundation 1.3: 4.7
  • CIS GCP Foundation 2.0: 4.7
  • CIS GCP Foundation 3.0: 4.7
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Prüft das Feld sha256 im Objekt diskEncryptionKey auf den Ressourcennamen Ihres CSEK.

  • Von Scans ausgeschlossene Assets:
    Compute Engine-Laufwerke, deren Sicherheitsmarkierung enforce_customer_supplied_disk_encryption_keys nicht auf true gesetzt ist.
  • Zusätzliche IAM-Berechtigungen: roles/compute.Viewer
  • Zusätzliche Eingaben: Liest Metadaten aus Compute Engine
  • Echtzeit-Scans: Ja

Kategoriename in der API: FULL_API_ACCESS

Ergebnisbeschreibung: Eine Instanz ist so konfiguriert, dass sie das Standarddienstkonto mit uneingeschränktem Zugriff auf alle Google Cloud-APIs verwendet.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 4.1
  • CIS GCP Foundation 1.1: 4.2
  • CIS GCP Foundation 1.2: 4.2
  • CIS GCP Foundation 1.3: 4.2
  • CIS GCP Foundation 2.0: 4.2
  • CIS GCP Foundation 3.0: 4.2
  • NIST 800-53 R4: AC-6
  • NIST 800-53 R5: IA-5
  • PCI-DSS v3.2.1: 7.1.2
  • PCI-DSS v4.0: 2.2.2, 2.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.8.2, A.8.9
  • NIST Cybersecurity Framework 1.0: PR-AC-1
  • SOC2 v2017: CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 4.7

Ruft das Feld scopes im Attribut serviceAccounts ab, um zu prüfen, ob ein Standarddienstkonto verwendet wird und ob ihm der Bereich cloud-platform zugewiesen ist.

  • Von Scans ausgeschlossene Assets: GKE-Instanzen, Dataflow-Jobs
  • Echtzeit-Scans: Ja

Kategoriename in der API: HTTP_LOAD_BALANCER

Ergebnisbeschreibung: Eine Instanz verwendet einen Load-Balancer, der für die Verwendung eines Ziel-HTTP-Proxys anstelle eines Ziel-HTTPS-Proxys konfiguriert ist.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/TargetHttpProxy

Dieses Ergebnis korrigieren

Compliance standards:

  • PCI-DSS v3.2.1: 2.3

Bestimmt, ob das Attribut selfLink der Ressource targetHttpProxy mit dem Attribut target in der Weiterleitungsregel übereinstimmt und ob die Weiterleitungsregel ein Feld loadBalancingScheme enthält, das auf External festgelegt ist.

  • Zusätzliche IAM-Berechtigungen: roles/compute.Viewer
  • Zusätzliche Eingaben: Liest Weiterleitungsregeln für einen HTTP-Ziel-Proxy aus Compute Engine und prüft auf externe Regeln
  • Echtzeit-Scans: Ja

Kategoriename in der API: INSTANCE_OS_LOGIN_DISABLED

Ergebnisbeschreibung: OS Login ist für diese Instanz deaktiviert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 4.3
  • CIS GCP Foundation 1.1: 4.4
  • CIS GCP Foundation 1.2: 4.4
  • CIS GCP Foundation 1.3: 4.4
  • CIS GCP Foundation 2.0: 4.4
  • NIST 800-53 R5: AC-2
  • ISO-27001 v2022: A.5.15
  • SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9
  • CIS Controls 8.0: 5.6, 6.7

Prüft, ob das Attribut enable-oslogin des Custom metadata der Instanz auf TRUE gesetzt ist.

  • Von Scans ausgeschlossene Assets: GKE-Instanzen, Instanzen, die mit Dataflow-Jobs zusammenhängen, serverloser VPC-Zugriff
  • Zusätzliche IAM-Berechtigungen: roles/compute.Viewer
  • Zusätzliche Eingaben: Liest Metadaten aus Compute Engine.
  • Echtzeit-Scans: Nein

Kategoriename in der API: IP_FORWARDING_ENABLED

Ergebnisbeschreibung: Die IP-Weiterleitung ist für Instanzen aktiviert.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 4.5
  • CIS GCP Foundation 1.1: 4.6
  • CIS GCP Foundation 1.2: 4.6
  • CIS GCP Foundation 1.3: 4.6
  • CIS GCP Foundation 2.0: 4.6
  • CIS GCP Foundation 3.0: 4.6
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

Prüft, ob das Attribut canIpForward der Instanz auf true gesetzt ist.

  • Von Scans ausgeschlossene Assets: GKE-Instanzen, serverloser VPC-Zugriff
  • Echtzeit-Scans: Ja

Kategoriename in der API: OS_LOGIN_DISABLED

Ergebnisbeschreibung: OS Login ist für dieses Projekt deaktiviert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 4.3
  • CIS GCP Foundation 1.1: 4.4
  • CIS GCP Foundation 1.2: 4.4
  • CIS GCP Foundation 1.3: 4.4
  • CIS GCP Foundation 2.0: 4.4
  • NIST 800-53 R5: AC-2
  • ISO-27001 v2022: A.5.15
  • SOC2 v2017: CC6.1.4, CC6.1.6, CC6.1.8, CC6.1.9
  • CIS Controls 8.0: 5.6, 6.7

Prüft das Objekt commonInstanceMetadata.items[] in den Projektmetadaten auf das Schlüssel/Wert-Paar "key": "enable-oslogin", "value": TRUE. Der Detektor prüft außerdem alle Instanzen in einem Compute Engine-Projekt, um festzustellen, ob OS Login für einzelne Instanzen deaktiviert ist.

  • Von Scans ausgeschlossene Assets: GKE-Instanzen, Instanzen, die mit Dataflow-Jobs zusammenhängen
  • Zusätzliche IAM-Berechtigungen: roles/compute.Viewer
  • Zusätzliche Eingaben: Liest Metadaten aus Compute Engine. Außerdem prüft der Detektor die Compute Engine-Instanzen im Projekt.
  • Echtzeit-Scans: Nein

Kategoriename in der API: PUBLIC_IP_ADDRESS

Ergebnisbeschreibung: Eine Instanz hat eine öffentliche IP-Adresse.

Preisstufe: Premium oder Standard

Unterstützte Assets
compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.1: 4.9
  • CIS GCP Foundation 1.2: 4.9
  • CIS GCP Foundation 1.3: 4.9
  • CIS GCP Foundation 2.0: 4.9
  • CIS GCP Foundation 3.0: 4.9
  • NIST 800-53 R4: CA-3, SC-7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Prüft, ob das Attribut networkInterfaces ein Feld accessConfigs enthält, das für die Verwendung einer öffentlichen IP-Adresse konfiguriert ist.

  • Von Scans ausgeschlossene Assets: GKE-Instanzen, Instanzen, die mit Dataflow-Jobs zusammenhängen
  • Echtzeit-Scans: Ja

Kategoriename in der API: SHIELDED_VM_DISABLED

Ergebnisbeschreibung: Auf dieser Instanz ist Shielded VM deaktiviert.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.1: 4.8
  • CIS GCP Foundation 1.2: 4.8
  • CIS GCP Foundation 1.3: 4.8
  • CIS GCP Foundation 2.0: 4.8
  • CIS GCP Foundation 3.0: 4.8

Prüft das Attribut shieldedInstanceConfig in Compute Engine-Instanzen, um festzustellen, ob die Felder enableIntegrityMonitoring und enableVtpm auf true gesetzt sind. Die Felder geben an, ob Shielded VM aktiviert ist.

  • Von Scans ausgeschlossene Assets: GKE-Instanzen und serverloser VPC-Zugriff
  • Echtzeit-Scans: Ja

Kategoriename in der API: WEAK_SSL_POLICY

Ergebnisbeschreibung: Eine Instanz hat eine schwache SSL-Richtlinie.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/TargetHttpsProxy
compute.googleapis.com/TargetSslProxy

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.1: 3.9
  • CIS GCP Foundation 1.2: 3.9
  • CIS GCP Foundation 1.3: 3.9
  • CIS GCP Foundation 2.0: 3.9
  • CIS GCP Foundation 3.0: 3.9
  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.14.1.3

Prüft, ob sslPolicy in den Asset-Metadaten leer ist oder die Google Cloud -Standardrichtlinie verwendet wird, und ob für die angehängte sslPolicies-Ressource profile auf Restricted oder Modern, minTlsVersion auf TLS 1.2 und customFeatures auf leer gesetzt ist oder die folgenden Chiffren nicht enthält: TLS_RSA_WITH_AES_128_GCM_SHA256, TLS_RSA_WITH_AES_256_GCM_SHA384, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA.

  • Zusätzliche IAM-Berechtigungen: roles/compute.Viewer
  • Zusätzliche Eingaben: Liest SSL-Richtlinien für den Speicher von Zielproxys und prüft auf schwache Richtlinien
  • Echtzeit-Scans: Ja, aber nur wenn der TargetHttpsProxy des TargetSslProxy aktualisiert wird, nicht wenn die SSL-Richtlinie aktualisiert wird

Ergebnisse zu Container-Sicherheitslücken

Diese Ergebnistypen beziehen sich alle auf GKE-Containerkonfigurationen und gehören zum Detektortyp CONTAINER_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: ALPHA_CLUSTER_ENABLED

Ergebnisbeschreibung: Alphacluster-Features sind für einen GKE-Cluster aktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GKE 1.0: 6.10.2

Prüft, ob das Attribut enableKubernetesAlpha eines Clusters auf true festgelegt ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: AUTO_REPAIR_DISABLED

Ergebnisbeschreibung: Das automatische Reparaturfeature eines GKE-Clusters, das Knoten in einem fehlerfreien, laufenden Zustand hält, ist deaktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.7
  • CIS GKE 1.0: 6.5.2
  • PCI-DSS v3.2.1: 2.2

Prüft das Attribut management eines Knotenpools auf das Schlüssel/Wert-Paar "key":, "autoRepair", "value": true.

  • Echtzeit-Scans: Ja

Kategoriename in der API: AUTO_UPGRADE_DISABLED

Ergebnisbeschreibung: Das Feature für automatische Upgrades eines GKE-Clusters, das Cluster und Knotenpools auf die neueste stabile Version von Kubernetes aktualisiert, ist deaktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.8
  • CIS GKE 1.0: 6.5.3
  • PCI-DSS v3.2.1: 2.2

Prüft das Attribut management eines Knotenpools auf das Schlüssel/Wert-Paar "key":, "autoUpgrade", "value": true.

  • Echtzeit-Scans: Ja

Kategoriename in der API: BINARY_AUTHORIZATION_DISABLED

Ergebnisbeschreibung: Die Binärautorisierung ist entweder im GKE-Cluster deaktiviert oder die Richtlinie für die Binärautorisierung ist so konfiguriert, dass alle Images bereitgestellt werden können.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

Dabei wird Folgendes geprüft:

  • Prüft, ob das Attribut binaryAuthorization eines der folgenden Schlüssel/Wert-Paare enthält:
    • "evaluationMode": "PROJECT_SINGLETON_POLICY_ENFORCE"
    • "evaluationMode": "POLICY_BINDINGS"
    • "evaluationMode": "POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE"
  • Prüft, ob das Attribut defaultAdmissionRule der Richtlinie das Schlüssel/Wert-Paar evaluationMode: ALWAYS_ALLOW nicht enthält.

  • Echtzeit-Scans: Ja

Kategoriename in der API: CLUSTER_LOGGING_DISABLED

Ergebnisbeschreibung: Logging ist für einen GKE-Cluster nicht aktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.1
  • CIS GKE 1.0: 6.7.1
  • PCI-DSS v3.2.1: 10.2.2, 10.2.7

Prüft, ob das Attribut loggingService eines Clusters den Speicherort enthält, den Cloud Logging zum Schreiben von Logs verwenden soll.

  • Echtzeit-Scans: Ja

Kategoriename in der API: CLUSTER_MONITORING_DISABLED

Ergebnisbeschreibung: Monitoring ist in GKE-Clustern deaktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.2
  • CIS GKE 1.0: 6.7.1
  • PCI-DSS v3.2.1: 10.1, 10.2

Prüft, ob das Attribut monitoringService eines Clusters den Speicherort enthält, den Cloud Monitoring zum Schreiben von Messwerten verwenden soll.

  • Echtzeit-Scans: Ja

Kategoriename in der API: CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED

Ergebnisbeschreibung: Clusterhosts sind nicht so konfiguriert, dass nur private interne IP-Adressen für den Zugriff auf Google APIs verwendet werden.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.16
  • PCI-DSS v3.2.1: 1.3

Prüft, ob das Attribut privateIpGoogleAccess eines Subnetzwerks auf false gesetzt ist.

  • Zusätzliche Eingaben: Liest Subnetzwerke aus dem Speicher und sendet Ergebnisse nur für Cluster mit Subnetzwerken
  • Echtzeit-Scans: Ja, aber nur wenn der Cluster aktualisiert wird; nicht für Updates des Subnetzwerks.

Kategoriename in der API: CLUSTER_SECRETS_ENCRYPTION_DISABLED

Ergebnisbeschreibung: Die Verschlüsselung von Secrets auf Anwendungsebene ist in einem GKE-Cluster deaktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GKE 1.0: 6.3.1

Prüft das Attribut keyName des Objekts databaseEncryption auf das Schlüssel/Wert-Paar "state": ENCRYPTED.

  • Echtzeit-Scans: Ja

Kategoriename in der API: CLUSTER_SHIELDED_NODES_DISABLED

Ergebnisbeschreibung: Shielded GKE-Knoten sind für einen Cluster nicht aktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GKE 1.0: 6.5.5

Prüft das Attribut shieldedNodes auf das Schlüssel/Wert-Paar "enabled": true.

  • Echtzeit-Scans: Ja

Kategoriename in der API: COS_NOT_USED

Ergebnisbeschreibung: Compute Engine-VMs nutzen nicht Container-Optimized OS, das für das sichere Ausführen von Docker-Containern in Google Cloud entwickelt wurde.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.9
  • CIS GKE 1.0: 6.5.1
  • PCI-DSS v3.2.1: 2.2

Prüft das Attribut config eines Knotenpools auf das Schlüssel/Wert-Paar "imageType": "COS".

  • Echtzeit-Scans: Ja

Kategoriename in der API: INTEGRITY_MONITORING_DISABLED

Ergebnisbeschreibung: Integritätsmonitoring ist für einen GKE-Cluster deaktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GKE 1.0: 6.5.6

Prüft das Attribut shieldedInstanceConfig des Objekts nodeConfig auf das Schlüssel/Wert-Paar "enableIntegrityMonitoring": true.

  • Echtzeit-Scans: Ja

Kategoriename in der API: INTRANODE_VISIBILITY_DISABLED

Ergebnisbeschreibung: Die knoteninterne Sichtbarkeit ist für einen GKE-Cluster deaktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GKE 1.0: 6.6.1

Prüft das Attribut networkConfig auf das Schlüssel/Wert-Paar "enableIntraNodeVisibility": true.

  • Echtzeit-Scans: Ja

Kategoriename in der API: IP_ALIAS_DISABLED

Ergebnisbeschreibung: Ein GKE-Cluster wurde mit deaktivierten Alias-IP-Bereichen erstellt.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.13
  • CIS GKE 1.0: 6.6.2
  • PCI-DSS v3.2.1: 1.3.4, 1.3.7

Prüft, ob das Feld useIPAliases von ipAllocationPolicy in einem Cluster auf false gesetzt ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: LEGACY_AUTHORIZATION_ENABLED

Ergebnisbeschreibung: Die Legacy-Autorisierung ist in GKE-Clustern aktiviert.

Preisstufe: Premium oder Standard

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.3
  • CIS GKE 1.0: 6.8.3
  • PCI-DSS v3.2.1: 4.1

Prüft das Attribut legacyAbac eines Clusters auf das Schlüssel/Wert-Paar "enabled": true.

  • Echtzeit-Scans: Ja

Kategoriename in der API: LEGACY_METADATA_ENABLED

Ergebnisbeschreibung: Legacy-Metadaten sind für GKE-Cluster aktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GKE 1.0: 6.4.1

Prüft das Attribut config eines Knotenpools auf das Schlüssel/Wert-Paar "disable-legacy-endpoints": "false".

  • Echtzeit-Scans: Ja

Kategoriename in der API: MASTER_AUTHORIZED_NETWORKS_DISABLED

Ergebnisbeschreibung: Autorisierte Control Plane Authorized Networks ist in GKE-Clustern nicht aktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.4
  • CIS GKE 1.0: 6.6.3
  • PCI-DSS v3.2.1: 1.2.1, 1.3.2

Prüft das Attribut masterAuthorizedNetworksConfig eines Clusters für das Schlüssel/Wert-Paar "enabled": false.

  • Echtzeit-Scans: Ja

Kategoriename in der API: NETWORK_POLICY_DISABLED

Ergebnisbeschreibung: Die Netzwerkrichtlinie ist in GKE-Clustern deaktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.11
  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.3
  • ISO-27001 v2013: A.13.1.1

Prüft das Feld networkPolicy des Attributs addonsConfig auf das Schlüssel/Wert-Paar "disabled": true.

  • Echtzeit-Scans: Ja

Kategoriename in der API: NODEPOOL_BOOT_CMEK_DISABLED

Beschreibung: Bootlaufwerke in diesem Knotenpool werden nicht mit vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEK) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

Prüft das Attribut bootDiskKmsKey von Knotenpools auf den Ressourcennamen Ihres CMEK.

  • Echtzeit-Scans: Ja

Kategoriename in der API: NODEPOOL_SECURE_BOOT_DISABLED

Ergebnisbeschreibung: Secure Boot ist für einen GKE-Cluster deaktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GKE 1.0: 6.5.7

Prüft das Attribut shieldedInstanceConfig des Objekts nodeConfig auf das Schlüssel/Wert-Paar "enableSecureBoot": true.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OVER_PRIVILEGED_ACCOUNT

Ergebnisbeschreibung: Ein Dienstkonto hat in einem Cluster übermäßig Zugriff auf das Projekt.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.17
  • NIST 800-53 R4: AC-6, SC-7
  • CIS GKE 1.0: 6.2.1
  • PCI-DSS v3.2.1: 2.1, 7.1.2
  • ISO-27001 v2013: A.9.2.3

Wertet das Attribut config eines Knotenpools aus, um zu prüfen, ob kein Dienstkonto angegeben wurde oder ob das Standarddienstkonto verwendet wird.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OVER_PRIVILEGED_SCOPES

Ergebnisbeschreibung: Ein Knotendienstkonto hat große Zugriffsbereiche.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.18
  • CIS GKE 1.0: 6.2.1
 Prüft, ob der im Attribut config.oauthScopes eines Knotenpools aufgeführte Zugriffsbereich ein eingeschränkter Zugriffsbereich des Dienstkontos ist: https://www.googleapis.com/auth/devstorage.read_only, https://www.googleapis.com/auth/logging.write oder https://www.googleapis.com/auth/monitoring.
  • Echtzeit-Scans: Ja

Kategoriename in der API: POD_SECURITY_POLICY_DISABLED

Ergebnisbeschreibung: PodSecurityPolicy ist in einem GKE-Cluster deaktiviert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.14
  • CIS GKE 1.0: 6.10.3

Prüft das Attribut podSecurityPolicyConfig eines Clusters für das Schlüssel/Wert-Paar "enabled": false.

  • Zusätzliche IAM-Berechtigungen: roles/container.clusterViewer
  • Zusätzliche Eingaben: Liest Clusterinformationen aus GKE, da Pod-Sicherheitsrichtlinien ein Betafeature sind. Kubernetes hat die PodSecurityPolicy in Version 1.21 offiziell verworfen. Die PodSecurityPolicy wird in Version 1.25 eingestellt. Informationen zu Alternativen finden Sie unter Einstellung der PodSecurityPolicy.
  • Echtzeit-Scans: Nein

Kategoriename in der API: PRIVATE_CLUSTER_DISABLED

Ergebnisbeschreibung: Für einen GKE-Cluster ist ein privater Cluster deaktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.15
  • CIS GKE 1.0: 6.6.5
  • PCI-DSS v3.2.1: 1.3.2

Prüft, ob das Feld enablePrivateNodes des Attributs privateClusterConfig auf false gesetzt ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: RELEASE_CHANNEL_DISABLED

Ergebnisbeschreibung: Ein GKE-Cluster ist nicht auf eine Release-Version abonniert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GKE 1.0: 6.5.4

Prüft das Attribut releaseChannel auf das Schlüssel/Wert-Paar "channel": UNSPECIFIED.

  • Echtzeit-Scans: Ja

Kategoriename in der API: WEB_UI_ENABLED

Ergebnisbeschreibung: Die GKE-Web-UI (Dashboard) ist aktiviert.

Preisstufe: Premium oder Standard

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 7.6
  • CIS GKE 1.0: 6.10.1
  • PCI-DSS v3.2.1: 6.6

Prüft das Feld kubernetesDashboard des Attributs addonsConfig auf das Schlüssel/Wert-Paar "disabled": false.

  • Echtzeit-Scans: Ja

Kategoriename in der API: WORKLOAD_IDENTITY_DISABLED

Ergebnisbeschreibung: Workload Identity ist in einem GKE-Cluster deaktiviert.

Preisstufe: Premium

Unterstützte Assets
container.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GKE 1.0: 6.2.2

Prüft, ob das Attribut workloadIdentityConfig eines Clusters festgelegt ist. Der Detektor prüft auch, ob das Attribut workloadMetadataConfig eines Knotenpools auf GKE_METADATA gesetzt ist.

  • Zusätzliche IAM-Berechtigungen: roles/container.clusterViewer
  • Echtzeit-Scans: Ja

Ergebnisse zu Dataproc-Sicherheitslücken

Alle Sicherheitslücken dieses Detektortyps beziehen sich auf Dataproc und gehören zum Detektortyp DATAPROC_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: DATAPROC_CMEK_DISABLED

Ergebnisbeschreibung: Ein Dataproc-Cluster wurde ohne CMEK für die Verschlüsselung erstellt. Mit CMEK werden die von Ihnen im Cloud Key Management Service erstellten und verwalteten Schlüssel mit den Schlüsseln umschlossen, die Google Cloud zum Verschlüsseln Ihrer Daten verwendet. Dadurch haben Sie mehr Kontrolle über den Zugriff auf Ihre Daten. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren.

Preisstufe: Premium

Unterstützte Assets
dataproc.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.3: 1.17
  • CIS GCP Foundation 2.0: 1.17
  • CIS GCP Foundation 3.0: 8.1
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Prüft, ob das Feld kmsKeyName im Attribut encryptionConfiguration leer ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: DATAPROC_IMAGE_OUTDATED

Ergebnis-Beschreibung: Ein Dataproc-Cluster wurde mit einer Dataproc-Image-Version erstellt, die von Sicherheitslücken im Apache Log4j 2-Dienstprogramm betroffen ist (CVE-2021-44228) und CVE-2021-45046).

Preisstufe: Premium oder Standard

Unterstützte Assets
dataproc.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

Prüft, ob das Feld softwareConfig.imageVersion im Attribut config einer Cluster vor 1.3.95 liegt oder ob es eine Sub-Minor-Image-Version vor 1.4.77, 1.5.53 oder 2.0.27 ist.

  • Echtzeit-Scans: Ja

Ergebnisse zu Dataset-Sicherheitslücken

Sicherheitslücken dieses Detektortyps beziehen sich alle auf BigQuery-Dataset-Konfigurationen und gehören zum Detektortyp DATASET_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: BIGQUERY_TABLE_CMEK_DISABLED

Ergebnisbeschreibung: Eine BigQuery-Tabelle ist nicht für die Verwendung eines vom Kunden verwalteten Verschlüsselungsschlüssels (CMEK) konfiguriert. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren.

Preisstufe: Premium

Unterstützte Assets
bigquery.googleapis.com/Table

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.2: 7.2
  • CIS GCP Foundation 1.3: 7.2
  • CIS GCP Foundation 2.0: 7.2
  • CIS GCP Foundation 3.0: 7.2
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Prüft, ob das Feld kmsKeyName im Attribut encryptionConfiguration leer ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: DATASET_CMEK_DISABLED

Ergebnisbeschreibung: Ein BigQuery-Dataset ist nicht für die Verwendung eines standardmäßigen CMEK konfiguriert. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren.

Preisstufe: Premium

Unterstützte Assets
bigquery.googleapis.com/Dataset

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.2: 7.3
  • CIS GCP Foundation 1.3: 7.3
  • CIS GCP Foundation 2.0: 7.3
  • CIS GCP Foundation 3.0: 7.3
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Prüft, ob das Feld kmsKeyName im Attribut defaultEncryptionConfiguration leer ist.

  • Echtzeit-Scans: Nein

Kategoriename in der API: PUBLIC_DATASET

Ergebnisbeschreibung: Ein Dataset ist für den öffentlichen Zugriff konfiguriert.

Preisstufe: Premium oder Standard

Unterstützte Assets
bigquery.googleapis.com/Dataset

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.1: 7.1
  • CIS GCP Foundation 1.2: 7.1
  • CIS GCP Foundation 1.3: 7.1
  • CIS GCP Foundation 2.0: 7.1
  • CIS GCP Foundation 3.0: 7.1
  • NIST 800-53 R4: AC-2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Prüft die IAM-Zulassungsrichtlinie in den Ressourcenmetadaten auf die Hauptkonten allUsers oder allAuthenticatedUsers, die öffentlichen Zugang gewähren.

  • Echtzeit-Scans: Ja

Ergebnisse zu DNS-Sicherheitslücken

Sicherheitslücken dieses Detektortyps beziehen sich auf Cloud DNS-Konfigurationen und gehören zum Detektortyp DNS_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: DNSSEC_DISABLED

Ergebnisbeschreibung: DNSSEC ist für Cloud DNS-Zonen deaktiviert.

Preisstufe: Premium

Unterstützte Assets
dns.googleapis.com/ManagedZone

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 3.3
  • CIS GCP Foundation 1.1: 3.3
  • CIS GCP Foundation 1.2: 3.3
  • CIS GCP Foundation 1.3: 3.3
  • CIS GCP Foundation 2.0: 3.3
  • CIS GCP Foundation 3.0: 3.3
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2013: A.8.2.3
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Prüft, ob das Feld state des Attributs dnssecConfig auf off gesetzt ist.

  • Von Scans ausgeschlossene Assets: Cloud DNS-Zonen, die nicht öffentlich sind
  • Echtzeit-Scans: Ja

Kategoriename in der API: RSASHA1_FOR_SIGNING

Ergebnisbeschreibung: RSASHA1 wird für die Schlüsselsignierung in Cloud DNS-Zonen verwendet.

Preisstufe: Premium

Unterstützte Assets
dns.googleapis.com/ManagedZone

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 3.4, 3.5
  • CIS GCP Foundation 1.1: 3.4, 3.5
  • CIS GCP Foundation 1.2: 3.4, 3.5
  • CIS GCP Foundation 1.3: 3.4, 3.5
  • CIS GCP Foundation 2.0: 3.4, 3.5
  • CIS GCP Foundation 3.0: 3.4, 3.5
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Prüft, ob das Objekt defaultKeySpecs.algorithm des Attributs dnssecConfig auf rsasha1 gesetzt ist.

  • Echtzeit-Scans: Ja

Ergebnisse zu Firewall-Sicherheitslücken

Sicherheitslücken dieses Detektortyps beziehen sich alle auf Firewall-Konfigurationen und gehören zum Detektortyp FIREWALL_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: EGRESS_DENY_RULE_NOT_SET

Ergebnisbeschreibung: Für eine Firewall wurde keine Regel für ausgehenden Traffic festgelegt. Regeln zum Ablehnen von ausgehendem Traffic sollten eingerichtet werden, um unerwünschten ausgehenden Traffic zu blockieren.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • PCI-DSS v3.2.1: 7.2

Prüft, ob das Attribut destinationRanges in der Firewall auf 0.0.0.0/0 gesetzt ist und das Attribut denied das Schlüssel/Wert-Paar "IPProtocol": "all" enthält.

  • Zusätzliche Eingaben: Liest ausgehende Firewalls für ein Projekt aus dem Speicher.
  • Echtzeit-Scans: Ja, aber nur bei Projektänderungen, nicht bei Änderungen an Firewallregeln

Kategoriename in der API: FIREWALL_RULE_LOGGING_DISABLED

Ergebnisbeschreibung: Das Logging von Firewallregeln ist deaktiviert. Firewallregel-Logging sollte aktiviert sein, damit Sie Netzwerkzugriffe prüfen können.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SI-4
  • PCI-DSS v3.2.1: 10.1, 10.2
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut logConfig in den Firewallmetadaten, um zu ermitteln, ob es leer ist oder das Schlüssel/Wert-Paar "enable": false enthält.

Kategoriename in der API: OPEN_CASSANDRA_PORT

Ergebnisbeschreibung: Eine Firewall ist für einen offenen CASSANDRA-Port mit generischem Zugriff konfiguriert.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:7000-7001, 7199, 8888, 9042, 9160, 61620-61621.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_CISCOSECURE_WEBSM_PORT

Ergebnisbeschreibung: Eine Firewall ist für einen offenen CISCOSECURE_WEBSM-Port mit generischem Zugriff konfiguriert.

Preisstufe: Premium oder Standard

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für das folgende Protokoll und den folgenden Port: TCP:9090.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_DIRECTORY_SERVICES_PORT

Ergebnisbeschreibung: Eine Firewall ist mit einem offenen DIRECTORY_SERVICE-Port konfiguriert, der generischen Zugriff zulässt.

Preisstufe: Premium oder Standard

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:445 und UDP:445.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_DNS_PORT

Ergebnisbeschreibung: Eine Firewall ist mit einem offenen DNS-Port konfiguriert, der generischen Zugriff zulässt.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:53 und UDP:53.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_ELASTICSEARCH_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen ELASTICSEARCH-Port hat, der generischen Zugriff zulässt.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:9200, 9300.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_FIREWALL

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie öffentlich zugänglich ist.

Preisstufe: Premium oder Standard

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • PCI-DSS v3.2.1: 1.2.1

Prüft die Attribute sourceRanges und allowed auf eine von zwei Konfigurationen:

  • Das Attribut sourceRanges enthält 0.0.0.0/0 und das Attribut allowed enthält eine Kombination aus Regeln mit einem beliebigen protocol oder protocol:port, mit Ausnahme von:
    • icmp
    • tcp:22
    • tcp:443
    • tcp:3389
    • udp:3389
    • sctp:22
  • Das Attribut sourceRanges enthält eine Kombination aus IP-Bereichen, die alle nicht privaten IP-Adressen umfassen, und das Attribut allowed enthält eine Kombination aus Regeln, die entweder alle TCP-Ports oder alle UDB-Ports zulassen.

Kategoriename in der API: OPEN_FTP_PORT

Ergebnisbeschreibung: Eine Firewall ist mit einem offenen FTP-Port konfiguriert, der generischen Zugriff zulässt.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für das folgende Protokoll und den folgenden Port: TCP:21.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_HTTP_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen HTTP-Port hat, der generischen Zugriff zulässt.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:80.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_LDAP_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen LDAP-Port hat, der generischen Zugriff zulässt.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:389, 636 und UDP:389.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_MEMCACHED_PORT

Ergebnisbeschreibung: Eine Firewall ist für einen offenen MEMCACHED-Port mit generischem Zugriff konfiguriert.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:11211, 11214-11215 und UDP:11211, 11214-11215.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_MONGODB_PORT

Ergebnisbeschreibung: Eine Firewall ist für einen offenen MONGODB-Port mit generischem Zugriff konfiguriert.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:27017-27019.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_MYSQL_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen MySQL-Port hat, der generischen Zugriff zulässt.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für das folgende Protokoll und den folgenden Port: TCP:3306.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_NETBIOS_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen NETBIOS-Port hat, der generischen Zugriff zulässt.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:137-139 und UDP:137-139.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_ORACLEDB_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen ORACLEDB-Port hat, der generischen Zugriff zulässt.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:1521, 2483-2484 und UDP:2483-2484.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_POP3_PORT

Ergebnisbeschreibung: Eine Firewall ist für einen offenen POP3-Port mit generischem Zugriff konfiguriert.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für das folgende Protokoll und den folgenden Port: TCP:110.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_POSTGRESQL_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen PostgreSQL-Port hat, der generischen Zugriff zulässt.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:5432 und UDP:5432.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_RDP_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen RDP-Port hat, der generischen Zugriff zulässt.

Preisstufe: Premium oder Standard

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 3.7
  • CIS GCP Foundation 1.1: 3.7
  • CIS GCP Foundation 1.2: 3.7
  • CIS GCP Foundation 1.3: 3.7
  • CIS GCP Foundation 2.0: 3.7
  • CIS GCP Foundation 3.0: 3.7
  • NIST 800-53 R4: SC-7
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • ISO-27001 v2013: A.13.1.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

Prüft das Attribut allowed in den Firewallmetadaten für die folgenden Protokolle und Ports: TCP:3389 und UDP:3389.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_REDIS_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen REDIS-Port hat, der generischen Zugriff zulässt.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft, ob das Attribut allowed in den Firewallmetadaten das folgende Protokoll und den folgenden Port enthält: TCP:6379.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_SMTP_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen SMTP-Port hat, der generischen Zugriff zulässt.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft, ob das Attribut allowed in den Firewallmetadaten das folgende Protokoll und den folgenden Port enthält: TCP:25.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_SSH_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen SSH-Port hat, der generischen Zugriff zulässt.

Preisstufe: Premium oder Standard

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 3.6
  • CIS GCP Foundation 1.1: 3.6
  • CIS GCP Foundation 1.2: 3.6
  • CIS GCP Foundation 1.3: 3.6
  • CIS GCP Foundation 2.0: 3.6
  • CIS GCP Foundation 3.0: 3.6
  • NIST 800-53 R4: SC-7
  • NIST 800-53 R5: CA-9, SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.2.1, 1.4.1
  • ISO-27001 v2013: A.13.1.1
  • SOC2 v2017: CC6.6.1, CC6.6.4
  • CIS Controls 8.0: 4.4, 4.5

Prüft, ob das Attribut allowed in den Firewallmetadaten die folgenden Protokolle und Ports enthält: TCP:22 und SCTP:22.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_TELNET_PORT

Ergebnisbeschreibung: Eine Firewall ist so konfiguriert, dass sie einen offenen TELNET-Port hat, über den generischer Zugriff möglich ist.

Preisstufe: Premium oder Standard

Unterstützte Assets
compute.googleapis.com/Firewall

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 1.2.1
  • ISO-27001 v2013: A.13.1.1

Prüft, ob das Attribut allowed in den Firewallmetadaten das folgende Protokoll und den folgenden Port enthält: TCP:23.

  • Echtzeit-Scans: Ja

Ergebnisse zu IAM-Sicherheitslücken

Sicherheitslücken dieses Detektortyps beziehen sich alle auf die IAM-Konfiguration (Identity and Access Management) und gehören zum Detektortyp IAM_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: ACCESS_TRANSPARENCY_DISABLED

Ergebnisbeschreibung: Google Cloud Access Transparency ist für Ihre Organisation deaktiviert. Access Transparency-Logs werden erstellt, wenn Google Cloud Mitarbeiter auf die Projekte in Ihrer Organisation zugreifen, um Support zu leisten. Aktivieren Sie Access Transparency, um zu protokollieren, wer von Google Cloud auf Ihre Informationen zugreift, wann und warum.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.3: 2.14
  • CIS GCP Foundation 2.0: 2.14
  • CIS GCP Foundation 3.0: 2.14

Prüft, ob Access Transparency für Ihre Organisation aktiviert ist.

  • Echtzeit-Scans: Nein

Kategoriename in der API: ADMIN_SERVICE_ACCOUNT

Ergebnisbeschreibung: Ein Dienstkonto hat die Berechtigung Administrator, Inhaber oder Bearbeiter. Diese Rollen sollten nicht von Nutzern erstellten Dienstkonten zugewiesen werden.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.4
  • CIS GCP Foundation 1.1: 1.5
  • CIS GCP Foundation 1.2: 1.5
  • CIS GCP Foundation 1.3: 1.5
  • CIS GCP Foundation 2.0: 1.5
  • CIS GCP Foundation 3.0: 1.5
  • NIST 800-53 R5: AC-6
  • ISO-27001 v2022: A.5.15, A.8.2
  • Cloud Controls Matrix 4: IAM-09
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC6.1.3, CC6.1.4, CC6.1.7, CC6.1.8, CC6.3.1, CC6.3.2, CC6.3.3
  • CIS Controls 8.0: 5.4

Prüft die IAM-Zulassungsrichtlinie in Ressourcenmetadaten auf alle vom Nutzer erstellten Dienstkonten (angegeben durch das Präfix iam.gserviceaccount.com), denen roles/Owner oder roles/Editor oder eine Rollen-ID, die admin enthält, zugewiesen ist.

  • Von Scans ausgeschlossene Assets: Container Registry-Dienstkonto (containerregistry.iam.gserviceaccount.com) und Security Command Center-Dienstkonto (security-center-api.iam.gserviceaccount.com)
  • Echtzeit-Scans: Ja, außer wenn die IAM-Aktualisierung wird für einen Ordner durchgeführt wird

Kategoriename in der API: ESSENTIAL_CONTACTS_NOT_CONFIGURED

Beschreibung des Problems:Ihre Organisation hat keine Person oder Gruppe festgelegt, die Benachrichtigungen von Google Cloud über wichtige Ereignisse wie Angriffe, Sicherheitslücken und Datenvorfälle in Ihrer Google Cloud Organisation erhält. Wir empfehlen, eine oder mehrere Personen oder Gruppen in Ihrem Unternehmen als wichtige Kontakte festzulegen.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.3: 1.16
  • CIS GCP Foundation 2.0: 1.16
  • CIS GCP Foundation 3.0: 1.16
  • NIST 800-53 R5: IR-6
  • ISO-27001 v2022: A.5.20, A.5.24, A.5.5, A.5.6
  • Cloud Controls Matrix 4: SEF-08
  • NIST Cybersecurity Framework 1.0: RS-CO-1
  • SOC2 v2017: CC2.3.1
  • CIS Controls 8.0: 17.2

Prüft, ob für die folgenden wichtigen Kontaktkategorien ein Kontakt angegeben ist:

  • Rechtsabteilung
  • Sicherheit
  • Sperrung
  • Technisch

  • Echtzeit-Scans: Nein

Kategoriename in der API: KMS_ROLE_SEPARATION

Ergebnisbeschreibung: Die Aufgabentrennung wird nicht erzwungen und ein Nutzer ist vorhanden, der eine der folgenden Cloud Key Management Service-Rollen (Cloud KMS) hat: CryptoKey-Verschlüsseler/Entschlüsseler, Entschlüsseler oder Verschlüsseler.

Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.9
  • CIS GCP Foundation 1.1: 1.11
  • CIS GCP Foundation 2.0: 1.11
  • NIST 800-53 R4: AC-5
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.10.1.2, A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
 Prüft IAM-Zulassungsrichtlinien in Ressourcenmetadaten und ruft Hauptkonten ab, denen gleichzeitig eine der folgenden Rollen zugewiesen ist: roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter und roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer, roles/cloudkms.signerVerifier, roles/cloudkms.publicKeyViewer.
  • Echtzeit-Scans: Ja

Kategoriename in der API: NON_ORG_IAM_MEMBER

Ergebnisbeschreibung: Ein Nutzer verwendet keine organisationsgebundenen Anmeldedaten. Gemäß CIS GCP Foundations 1.0 lösen derzeit nur Identitäten mit @gmail.com-E-Mail-Adressen diesen Detektor aus.

Preisstufe: Premium oder Standard

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.1
  • CIS GCP Foundation 1.1: 1.1
  • CIS GCP Foundation 1.2: 1.1
  • CIS GCP Foundation 1.3: 1.1
  • CIS GCP Foundation 2.0: 1.1
  • CIS GCP Foundation 3.0: 1.1
  • NIST 800-53 R4: AC-3
  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

Vergleicht @gmail.com-E-Mail-Adressen im Feld user der IAM-Zulassungsrichtlinien mit einer Liste genehmigter Identitäten für Ihre Organisation.

  • Echtzeit-Scans: Ja

Kategoriename in der API: OPEN_GROUP_IAM_MEMBER

Ergebnisbeschreibung: Ein Google Groups-Konto, das ohne Genehmigung verknüpft werden kann, wird als Hauptkonto auf einer IAM-Zulassungsrichtlinie verwendet.

Preisstufe: Premium oder Standard

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

 Prüft die IAM-Richtlinie in Ressourcenmetadaten auf alle Bindungen, die ein Mitglied (Hauptkonto) mit dem Präfix group enthalten. Wenn die Gruppe eine offene Gruppe ist, generiert Security Health Analytics dieses Ergebnis.
  • Zusätzliche Eingaben: Liest Google-Gruppen-Metadaten, um zu prüfen, ob die identifizierte Gruppe eine offene Gruppe ist.
  • Echtzeit-Scans: Nein

Kategoriename in der API: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER

Ergebnisbeschreibung: Ein Nutzer hat die Rolle Dienstkontonutzer oder Ersteller von Dienstkonto-Tokens auf Projektebene, statt für ein bestimmtes Dienstkonto.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.5
  • CIS GCP Foundation 1.1: 1.6
  • CIS GCP Foundation 1.2: 1.6
  • CIS GCP Foundation 1.3: 1.6
  • CIS GCP Foundation 2.0: 1.6
  • CIS GCP Foundation 3.0: 1.6
  • NIST 800-53 R4: AC-6
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 7.1.2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
 Prüft die IAM-Zulassungsrichtlinie in den Ressourcenmetadaten auf alle Hauptkonten, denen roles/iam.serviceAccountUser oder roles/iam.serviceAccountTokenCreator auf Projektebene zugewiesen ist.
  • Von Scans ausgeschlossene Assets: Cloud Build-Dienstkonten
  • Echtzeit-Scans: Ja

Kategoriename in der API: PRIMITIVE_ROLES_USED

Ergebnisbeschreibung:Ein Nutzer hat eine der folgenden einfachen Rollen:

  • Inhaber (roles/owner)
  • Bearbeiter (roles/editor)
  • Betrachter (roles/viewer)

Diese Rollen sind zu weit gefasst und sollten nicht verwendet werden.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: AC-6
  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

Prüft die IAM-Zulassungsrichtlinie in Ressourcenmetadaten auf alle Hauptkonten, denen die Rolle roles/owner, roles/editor oder roles/viewer zugewiesen ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: REDIS_ROLE_USED_ON_ORG

Ergebnisbeschreibung: Eine Redis-IAM-Rolle wird auf Organisations- oder Ordnerebene zugewiesen.

Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization

Dieses Ergebnis korrigieren

Compliance standards:

  • PCI-DSS v3.2.1: 7.1.2
  • ISO-27001 v2013: A.9.2.3

Prüft die IAM-Zulassungsrichtlinie in den Ressourcenmetadaten auf Hauptkonten, denen roles/redis.admin, roles/redis.editor, roles/redis.viewer auf Organisations- oder Ordnerebene zugewiesen ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: SERVICE_ACCOUNT_ROLE_SEPARATION

Ergebnisbeschreibung: Einem Nutzer wurden die Rollen Dienstkontoadministrator und Dienstkontonutzer zugewiesen. Dies verstößt gegen das Prinzip der "Aufgabentrennung".

Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.7
  • CIS GCP Foundation 1.1: 1.8
  • CIS GCP Foundation 1.2: 1.8
  • CIS GCP Foundation 1.3: 1.8
  • CIS GCP Foundation 2.0: 1.8
  • CIS GCP Foundation 3.0: 1.8
  • NIST 800-53 R4: AC-5
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3
 Prüft die IAM-Zulassungrichtlinie in Ressourcenmetadaten auf alle Hauptkonten, denen sowohl roles/iam.serviceAccountUser als auch roles/iam.serviceAccountAdmin zugewiesen ist.
  • Echtzeit-Scans: Ja

Kategoriename in der API: SERVICE_ACCOUNT_KEY_NOT_ROTATED

Ergebnisbeschreibung: Ein Dienstkontoschlüssel wurde seit mehr als 90 Tagen nicht rotiert.

Preisstufe: Premium

Unterstützte Assets
iam.googleapis.com/ServiceAccountKey

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.6
  • CIS GCP Foundation 1.1: 1.7
  • CIS GCP Foundation 1.2: 1.7
  • CIS GCP Foundation 1.3: 1.7
  • CIS GCP Foundation 2.0: 1.7
  • CIS GCP Foundation 3.0: 1.7

Wertet den Zeitstempel der Schlüsselerstellung aus, der im Attribut validAfterTime in den Schlüsselmetadaten des Dienstkontos erfasst ist.

  • Von Scans ausgeschlossene Assets: Abgelaufene Dienstkontoschlüssel und Schlüssel, die nicht von Nutzern verwaltet werden
  • Echtzeit-Scans: Ja

Kategoriename in der API: USER_MANAGED_SERVICE_ACCOUNT_KEY

Ergebnisbeschreibung: Ein Nutzer verwaltet einen Dienstkontoschlüssel.

Preisstufe: Premium

Unterstützte Assets
iam.googleapis.com/ServiceAccountKey

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.3
  • CIS GCP Foundation 1.1: 1.4
  • CIS GCP Foundation 1.2: 1.4
  • CIS GCP Foundation 1.3: 1.4
  • CIS GCP Foundation 2.0: 1.4
  • CIS GCP Foundation 3.0: 1.4

Prüft, ob das Attribut keyType in den Metadaten des Dienstkontoschlüssels auf User_Managed gesetzt ist.

  • Echtzeit-Scans: Ja

Ergebnisse zu KMS-Sicherheitslücken

Sicherheitslücken dieses Detektortyps beziehen sich alle auf Cloud KMS-Konfigurationen und gehören zum Detektortyp KMS_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: KMS_KEY_NOT_ROTATED

Ergebnisbeschreibung: Für einen Cloud KMS-Verschlüsselungsschlüssel ist keine Rotation konfiguriert. Verschlüsselungsschlüssel sollten innerhalb eines Zeitraums von 90 Tagen rotiert werden.

Preisstufe: Premium

Unterstützte Assets
cloudkms.googleapis.com/CryptoKey

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.8
  • CIS GCP Foundation 1.1: 1.10
  • CIS GCP Foundation 1.2: 1.10
  • CIS GCP Foundation 1.3: 1.10
  • CIS GCP Foundation 2.0: 1.10
  • NIST 800-53 R4: SC-12
  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v3.2.1: 3.5
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2013: A.10.1.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Prüft Ressourcenmetadaten auf das Vorhandensein von rotationPeriod- oder nextRotationTime-Attributen.

  • Von Scans ausgeschlossene Assets: Asymmetrische Schlüssel und Schlüssel mit deaktivierten oder gelöschten primären Versionen
  • Echtzeit-Scans: Ja

Kategoriename in der API: KMS_PROJECT_HAS_OWNER

Ergebnisbeschreibung: Ein Nutzer hat Inhaber-Berechtigungen für ein Projekt mit kryptografischen Schlüsseln.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.1: 1.11
  • CIS GCP Foundation 1.2: 1.11
  • CIS GCP Foundation 1.3: 1.11
  • CIS GCP Foundation 2.0: 1.11
  • NIST 800-53 R4: AC-6, SC-12
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 3.5
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.10.1.2, A.9.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Prüft die IAM-Zulassungsrichtlinie in Projektmetadaten auf Hauptkonten, denen roles/Owner zugewiesen ist.

  • Zusätzliche Eingaben: Liest CryptoKeys für ein Projekt aus dem Speicher und sendet Ergebnisse nur für Projekte mit CryptoKeys
  • Echtzeit-Scans: Ja, aber nur bei Änderungen an der IAM-Zulassungsrichtlinie, nicht bei Änderungen an KMS-Schlüsseln

Kategoriename in der API: KMS_PUBLIC_KEY

Ergebnisbeschreibung: Ein kryptografischer Cloud KMS-Schlüssel ist öffentlich zugänglich.

Preisstufe: Premium

Unterstützte Assets
cloudkms.googleapis.com/CryptoKey
cloudkms.googleapis.com/KeyRing

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.1: 1.9
  • CIS GCP Foundation 1.2: 1.9
  • CIS GCP Foundation 1.3: 1.9
  • CIS GCP Foundation 2.0: 1.9
  • CIS GCP Foundation 3.0: 1.9
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Prüft die IAM-Zulassungsrichtlinie in den Ressourcenmetadaten auf die Hauptkonten allUsers oder allAuthenticatedUsers, die öffentlichen Zugang gewähren.

  • Echtzeit-Scans: Ja

Kategoriename in der API: TOO_MANY_KMS_USERS

Ergebnisbeschreibung: Es gibt mehr als drei Nutzer kryptografischer Schlüssel.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
cloudkms.googleapis.com/CryptoKey

Dieses Ergebnis korrigieren

Compliance standards:

  • PCI-DSS v3.2.1: 3.5.2
  • ISO-27001 v2013: A.9.2.3
 Prüft IAM-Zulassungsrichtlinien auf Schlüsselbunde, Projekte und Organisationen und ruft Hauptkonten mit Rollen ab, mit denen sie Daten mithilfe von Cloud KMS-Schlüsseln verschlüsseln, entschlüsseln oder signieren können: roles/owner, roles/cloudkms.cryptoKeyEncrypterDecrypter, roles/cloudkms.cryptoKeyEncrypter, roles/cloudkms.cryptoKeyDecrypter, roles/cloudkms.signer und roles/cloudkms.signerVerifier.
  • Zusätzliche Eingaben: Liest CryptoKey-Versionen für einen CryptoKey aus dem Speicher und speichert Ergebnisse nur für Schlüssel mit aktiven Versionen. Der Detektor liest auch IAM-Zulassungsrichtlinien für Schlüsselbund, Projekt und Organisation aus dem Speicher.
  • Echtzeit-Scans: Ja

Ergebnisse zu Logging-Sicherheitslücken

Sicherheitslücken dieses Detektortyps beziehen sich alle auf Logging-Konfigurationen und gehören zum Detektortyp LOGGING_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: AUDIT_LOGGING_DISABLED

Ergebnisbeschreibung: Audit-Logging wurde für diese Ressource deaktiviert.

Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization
cloudresourcemanager.googleapis.com/Folder
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 2.1
  • CIS GCP Foundation 1.1: 2.1
  • CIS GCP Foundation 1.2: 2.1
  • CIS GCP Foundation 1.3: 2.1
  • CIS GCP Foundation 2.0: 2.1
  • CIS GCP Foundation 3.0: 2.1
  • NIST 800-53 R4: AC-2, AU-2
  • NIST 800-53 R5: AU-6, AU-7
  • PCI-DSS v3.2.1: 10.1, 10.2
  • PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3
  • ISO-27001 v2013: A.12.4.1, A.16.1.7
  • ISO-27001 v2022: A.5.25
  • Cloud Controls Matrix 4: LOG-05
  • NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1
  • SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5
  • HIPAA: 164.308(a)(1)(ii), 164.312(b)
  • CIS Controls 8.0: 8.11, 8.2

Prüft die IAM-Zulassungsrichtlinie in Ressourcenmetadaten auf das Vorhandensein eines auditLogConfigs-Objekts.

  • Echtzeit-Scans: Ja

Kategoriename in der API: BUCKET_LOGGING_DISABLED

Ergebnisbeschreibung: Es gibt einen Storage-Bucket ohne aktiviertes Logging.

Preisstufe: Premium

Unterstützte Assets
storage.googleapis.com/Bucket

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 5.3

Prüft, ob das Feld logBucket im Attribut logging des Buckets leer ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: LOCKED_RETENTION_POLICY_NOT_SET

Ergebnisbeschreibung: Für Logs ist keine gesperrte Aufbewahrungsrichtlinie festgelegt.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
storage.googleapis.com/Bucket

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.1: 2.3
  • CIS GCP Foundation 1.2: 2.3
  • CIS GCP Foundation 1.3: 2.3
  • CIS GCP Foundation 2.0: 2.3
  • CIS GCP Foundation 3.0: 2.3
  • NIST 800-53 R4: AU-11
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 10.5
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.12.4.2, A.18.1.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Prüft, ob das Feld isLocked im Attribut retentionPolicy des Buckets auf true gesetzt ist.

  • Zusätzliche Eingaben: Liest die Logsenke (den Logfilter und das Logziel) für einen Bucket, um zu ermitteln, ob es sich um einen Log-Bucket handelt.
  • Echtzeit-Scans: Ja

Kategoriename in der API: LOG_NOT_EXPORTED

Ergebnisbeschreibung: Für eine Ressource ist keine geeignete Logsenke konfiguriert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 2.2
  • CIS GCP Foundation 1.1: 2.2
  • CIS GCP Foundation 1.2: 2.2
  • CIS GCP Foundation 1.3: 2.2
  • CIS GCP Foundation 2.0: 2.2
  • CIS GCP Foundation 3.0: 2.2
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2013: A.18.1.3
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.3

Ruft ein logSink-Objekt in einem Projekt ab und prüft, ob das Feld includeChildren auf true gesetzt ist, ob das Feld destination den Speicherort enthält, in den Logs geschrieben werden sollen, und ob das Feld filter ausgefüllt ist.

  • Zusätzliche Eingaben: Liest die Logsenke (den Logfilter und das Logziel) für einen Bucket, um zu ermitteln, ob es sich um einen Log-Bucket handelt.
  • Echtzeit-Scans: Ja, aber nur bei Projektänderungen, nicht wenn der Logexport für Ordner oder Organisation eingerichtet ist

Kategoriename in der API: OBJECT_VERSIONING_DISABLED

Ergebnisbeschreibung: Die Objektversionsverwaltung ist für einen Storage-Bucket, in dem Senken konfiguriert sind, nicht aktiviert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
storage.googleapis.com/Bucket

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 2.3
  • NIST 800-53 R4: AU-11
  • PCI-DSS v3.2.1: 10.5
  • ISO-27001 v2013: A.12.4.2, A.18.1.3

Prüft, ob das Feld enabled im Attribut versioning des Buckets auf true gesetzt ist.

  • Von Scans ausgeschlossene Assets: Cloud Storage-Buckets mit einer gesperrten Aufbewahrungsrichtlinie
  • Zusätzliche Eingaben: Liest die Logsenke (den Logfilter und das Logziel) für einen Bucket, um zu ermitteln, ob es sich um einen Log-Bucket handelt.
  • Echtzeit-Scans: Ja, aber nur wenn sich die Objektversionsverwaltung ändert, nicht wenn Log-Buckets erstellt werden

Ergebnisse zu Monitoring-Sicherheitslücken

Sicherheitslücken dieses Detektortyps beziehen sich alle auf Monitoring-Konfigurationen und gehören zum Typ MONITORING_SCANNER. Alle Ergebnisattribute des Monitoring-Detektors enthalten Folgendes:

  • Den RecommendedLogFilter, der beim Erstellen der Logmesswerte verwendet werden soll.
  • Die QualifiedLogMetricNames, die die im empfohlenen Logfilter aufgeführten Bedingungen abdecken.
  • Die AlertPolicyFailureReasons, die angeben, ob für das Projekt keine Benachrichtigungsrichtlinien für einen der qualifizierten Logmesswerte erstellt wurden oder ob die vorhandenen Benachrichtigungsrichtlinien nicht die empfohlenen Einstellungen haben.
Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: AUDIT_CONFIG_NOT_MONITORED

Ergebnisbeschreibung: Logmesswerte und Benachrichtigungen sind nicht für das Monitoring von Audit-Konfigurationsänderungen konfiguriert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 2.5
  • CIS GCP Foundation 1.1: 2.5
  • CIS GCP Foundation 1.2: 2.5
  • CIS GCP Foundation 1.3: 2.5
  • CIS GCP Foundation 2.0: 2.5
  • CIS GCP Foundation 3.0: 2.5
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf protoPayload.methodName="SetIamPolicy" AND protoPayload.serviceData.policyDelta.auditConfigDeltas:* festgelegt ist und ob, wenn resource.type angegeben ist, der Wert global ist. Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
  • Zusätzliche IAM-Berechtigungen: roles/monitoring.alertPolicyViewer
  • Zusätzliche Eingaben: Liest Logmesswerte für das Projekt aus dem Speicher. Liest die Kontoinformationen von Google Cloud Observability aus Google Cloud Observability und sendet die Ergebnisse nur für Projekte mit aktiven Konten.
  • Echtzeit-Scans: Nein

Kategoriename in der API: BUCKET_IAM_NOT_MONITORED

Ergebnisbeschreibung: Logmesswerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen der Cloud Storage-IAM-Berechtigungen konfiguriert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 2.10
  • CIS GCP Foundation 1.1: 2.10
  • CIS GCP Foundation 1.2: 2.10
  • CIS GCP Foundation 1.3: 2.10
  • CIS GCP Foundation 2.0: 2.10
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf resource.type=gcs_bucket AND protoPayload.methodName="storage.setIamPermissions" gesetzt ist. Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
  • Zusätzliche IAM-Berechtigungen: roles/monitoring.alertPolicyViewer
  • Zusätzliche Eingaben: Liest Logmesswerte für das Projekt aus dem Speicher. Liest die Kontoinformationen von Google Cloud Observability aus Google Cloud Observability und sendet die Ergebnisse nur für Projekte mit aktiven Konten.
  • Echtzeit-Scans: Nein

Kategoriename in der API: CUSTOM_ROLE_NOT_MONITORED

Ergebnisbeschreibung: Logmesswerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen benutzerdefinierter Rollen konfiguriert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 2.6
  • CIS GCP Foundation 1.1: 2.6
  • CIS GCP Foundation 1.2: 2.6
  • CIS GCP Foundation 1.3: 2.6
  • CIS GCP Foundation 2.0: 2.6
  • CIS GCP Foundation 3.0: 2.6
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf resource.type="iam_role" AND (protoPayload.methodName="google.iam.admin.v1.CreateRole" OR protoPayload.methodName="google.iam.admin.v1.DeleteRole" OR protoPayload.methodName="google.iam.admin.v1.UpdateRole") gesetzt ist. Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
  • Zusätzliche IAM-Berechtigungen: roles/monitoring.alertPolicyViewer
  • Zusätzliche Eingaben: Liest Logmesswerte für das Projekt aus dem Speicher. Liest die Kontoinformationen von Google Cloud Observability aus Google Cloud Observability und sendet die Ergebnisse nur für Projekte mit aktiven Konten.
  • Echtzeit-Scans: Nein

Kategoriename in der API: FIREWALL_NOT_MONITORED

Ergebnisbeschreibung: Logmesswerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen an VPC-Netzwerk-Firewallregeln konfiguriert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 2.7
  • CIS GCP Foundation 1.1: 2.7
  • CIS GCP Foundation 1.2: 2.7
  • CIS GCP Foundation 1.3: 2.7
  • CIS GCP Foundation 2.0: 2.7
  • CIS GCP Foundation 3.0: 2.7
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf resource.type="gce_firewall_rule" AND (protoPayload.methodName:"compute.firewalls.insert" OR protoPayload.methodName:"compute.firewalls.patch" OR protoPayload.methodName:"compute.firewalls.delete") gesetzt ist. Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
  • Zusätzliche IAM-Berechtigungen: roles/monitoring.alertPolicyViewer
  • Zusätzliche Eingaben: Liest Logmesswerte für das Projekt aus dem Speicher. Liest die Kontoinformationen von Google Cloud Observability aus Google Cloud Observability und sendet die Ergebnisse nur für Projekte mit aktiven Konten.
  • Echtzeit-Scans: Nein

Kategoriename in der API: NETWORK_NOT_MONITORED

Ergebnisbeschreibung: Logmesswerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen am VPC-Netzwerk konfiguriert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 2.9
  • CIS GCP Foundation 1.1: 2.9
  • CIS GCP Foundation 1.2: 2.9
  • CIS GCP Foundation 1.3: 2.9
  • CIS GCP Foundation 2.0: 2.9
  • CIS GCP Foundation 3.0: 2.9
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf resource.type="gce_network" AND (protoPayload.methodName:"compute.networks.insert" OR protoPayload.methodName:"compute.networks.patch" OR protoPayload.methodName:"compute.networks.delete" OR protoPayload.methodName:"compute.networks.removePeering" OR protoPayload.methodName:"compute.networks.addPeering") gesetzt ist. Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
  • Zusätzliche IAM-Berechtigungen: roles/monitoring.alertPolicyViewer
  • Zusätzliche Eingaben: Liest Logmesswerte für das Projekt aus dem Speicher. Liest die Kontoinformationen von Google Cloud Observability aus Google Cloud Observability und sendet die Ergebnisse nur für Projekte mit aktiven Konten.
  • Echtzeit-Scans: Nein

Kategoriename in der API: OWNER_NOT_MONITORED

Ergebnisbeschreibung: Logmesswerte und Benachrichtigungen sind nicht für das Monitoring von Zuweisungen oder Änderungen an der Projektinhaberschaft konfiguriert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 2.4
  • CIS GCP Foundation 1.1: 2.4
  • CIS GCP Foundation 1.2: 2.4
  • CIS GCP Foundation 1.3: 2.4
  • CIS GCP Foundation 2.0: 2.4
  • CIS GCP Foundation 3.0: 2.4
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2
 Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf (protoPayload.serviceName="cloudresourcemanager.googleapis.com") AND (ProjectOwnership OR projectOwnerInvitee) OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD" AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner") festgelegt ist und ob, wenn resource.type angegeben ist, der Wert global ist. Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
  • Zusätzliche IAM-Berechtigungen: roles/monitoring.alertPolicyViewer
  • Zusätzliche Eingaben: Liest Logmesswerte für das Projekt aus dem Speicher. Liest die Kontoinformationen von Google Cloud Observability aus Google Cloud Observability und sendet die Ergebnisse nur für Projekte mit aktiven Konten.
  • Echtzeit-Scans: Nein

Kategoriename in der API: ROUTE_NOT_MONITORED

Ergebnisbeschreibung: Logmesswerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen an der VPC-Netzwerkroute konfiguriert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 2.8
  • CIS GCP Foundation 1.1: 2.8
  • CIS GCP Foundation 1.2: 2.8
  • CIS GCP Foundation 1.3: 2.8
  • CIS GCP Foundation 2.0: 2.8
  • CIS GCP Foundation 3.0: 2.8
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf resource.type="gce_route" AND (protoPayload.methodName:"compute.routes.delete" OR protoPayload.methodName:"compute.routes.insert") gesetzt ist. Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
  • Zusätzliche IAM-Berechtigungen: roles/monitoring.alertPolicyViewer
  • Zusätzliche Eingaben: Liest Logmesswerte für das Projekt aus dem Speicher. Liest die Kontoinformationen von Google Cloud Observability aus Google Cloud Observability und sendet die Ergebnisse nur für Projekte mit aktiven Konten.
  • Echtzeit-Scans: Nein

SQL_INSTANCE_NOT_MONITORED

Ergebnisbeschreibung: Logmesswerte und Benachrichtigungen sind nicht für das Monitoring von Änderungen an Cloud SQL-Instanzen konfiguriert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
cloudresourcemanager.googleapis.com/Project

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 2.8
  • CIS GCP Foundation 1.1: 2.8
  • CIS GCP Foundation 1.2: 2.8
  • CIS GCP Foundation 1.3: 2.8
  • CIS GCP Foundation 2.0: 2.8
  • CIS GCP Foundation 3.0: 2.8
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2, 8.5
 Prüft, ob das Attribut filter der Ressource LogsMetric des Projekts auf protoPayload.methodName="cloudsql.instances.update" OR protoPayload.methodName="cloudsql.instances.create" OR protoPayload.methodName="cloudsql.instances.delete" festgelegt ist und ob, wenn resource.type angegeben ist, der Wert global ist. Der Detektor sucht auch nach einer entsprechenden alertPolicy-Ressource, um zu prüfen, ob die Attribute conditions und notificationChannels ordnungsgemäß konfiguriert sind.
  • Zusätzliche IAM-Berechtigungen: roles/monitoring.alertPolicyViewer
  • Zusätzliche Eingaben: Liest Logmesswerte für das Projekt aus dem Speicher. Liest die Kontoinformationen von Google Cloud Observability aus Google Cloud Observability und sendet die Ergebnisse nur für Projekte mit aktiven Konten.
  • Echtzeit-Scans: Nein

Ergebnisse zur Multi-Faktor-Authentifizierung

Der MFA_SCANNER-Detektor erkennt Sicherheitslücken bei der Multi-Faktor-Authentifizierung für Nutzer.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: MFA_NOT_ENFORCED

Es gibt Nutzer, die die 2‑Faktor-Authentifizierung nicht verwenden.

In Google Workspace können Sie eine Registrierungsfrist für neue Nutzer festlegen, in der sie sich für die Bestätigung in zwei Schritten registrieren müssen. Dieser Detektor generiert auch während des Kulanzzeitraums für die Registrierung Ergebnisse für Nutzer.

Dieses Ergebnis ist für Aktivierungen auf Projektebene nicht verfügbar.

Preisstufe: Premium oder Standard

Unterstützte Assets
cloudresourcemanager.googleapis.com/Organization

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 1.2
  • CIS GCP Foundation 1.1: 1.2
  • CIS GCP Foundation 1.2: 1.2
  • CIS GCP Foundation 1.3: 1.2
  • CIS GCP Foundation 2.0: 1.2
  • CIS GCP Foundation 3.0: 1.2
  • NIST 800-53 R4: IA-2
  • PCI-DSS v3.2.1: 8.3
  • ISO-27001 v2013: A.9.4.2
  • ISO-27001 v2022: A.8.5

Wertet Richtlinien zur Identitätsverwaltung in Organisationen und Nutzereinstellungen für verwaltete Konten in Cloud Identity aus.

  • Von Scans ausgeschlossene Assets: Organisationseinheiten, für die Ausnahmen von der Richtlinie gewährt wurden
  • Zusätzliche Eingaben: Liest Daten aus Google Workspace
  • Echtzeit-Scans: Nein

Ergebnisse zu Netzwerk-Sicherheitslücken

Sicherheitslücken dieses Detektortyps beziehen sich alle auf die Netzwerkkonfigurationen einer Organisation und gehören zum Typ NETWORK_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: DEFAULT_NETWORK

Ergebnisbeschreibung: Das Standardnetzwerk ist in einem Projekt vorhanden.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Network

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 3.1
  • CIS GCP Foundation 1.1: 3.1
  • CIS GCP Foundation 1.2: 3.1
  • CIS GCP Foundation 1.3: 3.1
  • CIS GCP Foundation 2.0: 3.1
  • CIS GCP Foundation 3.0: 3.1
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Prüft, ob das Attribut name in den Netzwerkmetadaten auf default gesetzt ist

  • Von Scans ausgeschlossene Assets: Projekte, bei denen die Compute Engine API deaktiviert ist und Compute Engine-Ressourcen in einem eingefrorenen Zustand sind.
  • Echtzeit-Scans: Ja

Kategoriename in der API: DNS_LOGGING_DISABLED

Ergebnisbeschreibung: Das DNS-Logging in einem VPC-Netzwerk ist nicht aktiviert.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Network
dns.googleapis.com/Policy

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.2: 2.12
  • CIS GCP Foundation 1.3: 2.12
  • CIS GCP Foundation 2.0: 2.12
  • CIS GCP Foundation 3.0: 2.12
  • NIST 800-53 R5: AU-6, AU-7
  • PCI-DSS v4.0: 10.4.1, 10.4.1.1, 10.4.2, 10.4.3
  • ISO-27001 v2022: A.5.25
  • Cloud Controls Matrix 4: LOG-05
  • NIST Cybersecurity Framework 1.0: DE-AE-2, PR-PT-1, RS-AN-1
  • SOC2 v2017: CC4.1.1, CC4.1.2, CC4.1.3, CC4.1.4, CC4.1.5, CC4.1.6, CC4.1.7, CC4.1.8, CC7.3.1, CC7.3.2, CC7.3.3, CC7.3.4, CC7.3.5
  • HIPAA: 164.308(a)(1)(ii), 164.312(b)
  • CIS Controls 8.0: 8.11, 8.2, 8.6

Prüft alle policies, die mit einem VPC-Netzwerk über das networks[].networkUrl-Feld verknüpft sind, und sucht nach mindestens einer Richtlinie, in der enableLogging auf true festgelegt ist.

  • Von Scans ausgeschlossene Assets: Projekte, bei denen die Compute Engine API deaktiviert ist und Compute Engine-Ressourcen in einem eingefrorenen Zustand sind.
  • Echtzeit-Scans: Ja

Kategoriename in der API: LEGACY_NETWORK

Ergebnisbeschreibung: Ein Legacy-Netzwerk ist in einem Projekt vorhanden.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Network

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 3.2
  • CIS GCP Foundation 1.1: 3.2
  • CIS GCP Foundation 1.2: 3.2
  • CIS GCP Foundation 1.3: 3.2
  • CIS GCP Foundation 2.0: 3.2
  • CIS GCP Foundation 3.0: 3.2
  • NIST 800-53 R5: AC-18, CM-2, CM-6, CM-7, CM-9
  • PCI-DSS v4.0: 1.1.1, 1.2.1, 1.2.6, 1.2.7, 1.4.2, 1.5.1, 2.1.1, 2.2.1
  • ISO-27001 v2022: A.8.9
  • Cloud Controls Matrix 4: IVS-04
  • NIST Cybersecurity Framework 1.0: PR-IP-1
  • SOC2 v2017: CC5.2.2
  • CIS Controls 8.0: 4.2

Prüft die Netzwerkmetadaten auf das Vorhandensein des Attributs IPv4Range.

  • Von Scans ausgeschlossene Assets: Projekte, bei denen die Compute Engine API deaktiviert ist und Compute Engine-Ressourcen in einem eingefrorenen Zustand sind.
  • Echtzeit-Scans: Ja

Kategoriename in der API: LOAD_BALANCER_LOGGING_DISABLED

Ergebnisbeschreibung: Das Logging ist für den Load Balancer deaktiviert.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/BackendServices

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 2.0: 2.16
  • CIS GCP Foundation 3.0: 2.16
  • NIST 800-53 R5: AU-12, AU-2, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.1, 10.2.1.2, 10.2.1.3, 10.2.1.4, 10.2.1.5, 10.2.1.6, 10.2.1.7, 10.2.2, 5.3.4, 6.4.1, 6.4.2
  • ISO-27001 v2022: A.8.15, A.8.20
  • Cloud Controls Matrix 4: LOG-08
  • NIST Cybersecurity Framework 1.0: DE-AE-3, PR-PT-1
  • HIPAA: 164.312(b)
  • CIS Controls 8.0: 8.2

Prüft, ob das Attribut enableLogging des Backend-Dienstes im Load-Balancer auf true gesetzt ist.

  • Echtzeit-Scans: Ja

Ergebnisse zu Sicherheitslücken in Organisationsrichtlinien

Sicherheitslücken dieses Detektortyps beziehen sich alle auf Konfigurationen von Einschränkungen für Organisationsrichtlinien und gehören zum Typ ORG_POLICY.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: ORG_POLICY_CONFIDENTIAL_VM_POLICY

 Ergebnisbeschreibung: Eine Compute Engine-Ressource verstößt gegen die Organisationsrichtlinie constraints/compute.restrictNonConfidentialComputing. Weitere Informationen zu dieser Einschränkung der Organisationsrichtlinie finden Sie unter Einschränkungen für Organisationsrichtlinien in Confidential VM durchsetzen.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
compute.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

Prüft, ob das Attribut enableConfidentialCompute einer Compute Engine-Instanz auf true gesetzt ist.

  • Von Scans ausgeschlossene Assets: GKE-Instanzen
  • Zusätzliche IAM-Berechtigungen: permissions/orgpolicy.policy.get
  • Zusätzliche Eingaben: Liest die geltende Organisationsrichtlinie aus dem Organisationsrichtliniendienst
  • Echtzeit-Scans: Nein

Kategoriename in der API: ORG_POLICY_LOCATION_RESTRICTION

 Ergebnisbeschreibung: Eine Compute Engine-Ressource verstößt gegen die Einschränkung constraints/gcp.resourceLocations. Weitere Informationen zu dieser Einschränkung der Organisationsrichtlinie finden Sie unter Einschränkungen für Organisationsrichtlinien durchsetzen.

Bei der Aktivierung der Security Command Center Premium-Stufe auf Projektebene ist dieses Ergebnis nur verfügbar, wenn die Standard-Stufe in der übergeordneten Organisation aktiviert ist.

Preisstufe: Premium

Unterstützte Assets
Siehe unten Unterstützte Assets für ORG_POLICY_LOCATION_RESTRICTION

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

Prüft das Attribut listPolicy in den Metadaten der unterstützten Ressourcen auf eine Liste mit zulässigen oder abgelehnten Speicherorten.

  • Zusätzliche IAM-Berechtigungen: permissions/orgpolicy.policy.get
  • Zusätzliche Eingaben: Liest die geltende Organisationsrichtlinie aus dem Organisationsrichtliniendienst
  • Echtzeit-Scans: Nein

Unterstützte Assets für ORG_POLICY_LOCATION_RESTRICTION

Compute Engine
compute.googleapis.com/Autoscaler
compute.googleapis.com/Address
compute.googleapis.com/Commitment
compute.googleapis.com/Disk
compute.googleapis.com/ForwardingRule
compute.googleapis.com/HealthCheck
compute.googleapis.com/Image
compute.googleapis.com/Instance
compute.googleapis.com/InstanceGroup
compute.googleapis.com/InstanceGroupManager
compute.googleapis.com/InterconnectAttachment
compute.googleapis.com/NetworkEndpointGroup
compute.googleapis.com/NodeGroup
compute.googleapis.com/NodeTemplate
compute.googleapis.com/PacketMirroring
compute.googleapis.com/RegionBackendService
compute.googleapis.com/RegionDisk
compute.googleapis.com/ResourcePolicy
compute.googleapis.com/Reservation
compute.googleapis.com/Router
compute.googleapis.com/Snapshot
compute.googleapis.com/SslCertificate
compute.googleapis.com/Subnetwork
compute.googleapis.com/TargetHttpProxy
compute.google.apis.com/TargetHttpsProxy
compute.googleapis.com/TargetInstance
compute.googleapis.com/TargetPool
compute.googleapis.com/TargetVpnGateway
compute.googleapis.com/UrlMap
compute.googleapis.com/VpnGateway
compute.googleapis.com/VpnTunnel

GKE
container.googleapis.com/Cluster
container.googleapis.com/NodePool

Cloud Storage
storage.googleapis.com/Bucket

Cloud KMS
cloudkms.googleapis.com/CryptoKey1
cloudkms.googleapis.com/CryptoKeyVersion1
cloudkms.googleapis.com/ImportJob2
cloudkms.googleapis.com/KeyRing1

Dataproc
dataproc.googleapis.com/Cluster

BigQuery
bigquery.googleapis.com/Dataset

Dataflow
dataflow.googleapis.com/Job3

Cloud SQL
sqladmin.googleapis.com/Instance

Cloud Composer
composer.googleapis.com/Environment

Logging
logging.googleapis.com/LogBucket

Pub/Sub
pubsub.googleapis.com/Topic

Vertex AI
aiplatform.googleapis.com/BatchPredictionJob
aiplatform.googleapis.com/CustomJob
aiplatform.googleapis.com/Dataset
aiplatform.googleapis.com/Endpoint
aiplatform.googleapis.com/HyperparameterTuningJob
aiplatform.googleapis.com/Model
aiplatform.googleapis.com/SpecialistPool
aiplatform.googleapis.com/TrainingPipeline

Artifact Registry
artifactregistry.googleapis.com/Repository

1 Da Cloud KMS-Assets nicht gelöscht werden können, gilt das Asset nicht als außerhalb der Region, wenn die Daten des Assets zerstört wurden.

2 Da Cloud KMS-Importjobs einen gesteuerten Lebenszyklus haben und nicht vorzeitig beendet werden können, gilt ein ImportJob nicht als außerhalb der Region, wenn er abgelaufen ist und nicht mehr verwendet werden kann, um Schlüssel zu importieren.

3 Da der Lebenszyklus von Dataflow-Jobs nicht verwaltet werden kann, gilt ein Job nicht als außerhalb der Region, wenn er einen Endstatus (beendet oder per Drain beendet) erreicht hat, in dem er nicht mehr zur Verarbeitung von Daten verwendet werden kann.

Pub/Sub-Sicherheitslücken

Alle Sicherheitslücken dieses Detektortyps beziehen sich auf Pub/Sub-Konfigurationen und gehören zum Typ PUBSUB_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: PUBSUB_CMEK_DISABLED

Ergebnisbeschreibung: Ein Pub/Sub-Thema wird nicht mit vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEK) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren.

Preisstufe: Premium

Unterstützte Assets
pubsub.googleapis.com/Topic

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

Prüft das Feld kmsKeyName auf den Ressourcennamen Ihres CMEK.

  • Echtzeit-Scans: Ja

Ergebnisse zu SQL-Sicherheitslücken

In den folgenden Abschnitten werden die Ergebnisse von Sicherheitslücken für AlloyDB for PostgreSQL und Cloud SQL beschrieben.

AlloyDB for PostgreSQL-Sicherheitslücken

Sicherheitslücken dieses Detektortyps beziehen sich alle auf AlloyDB for PostgreSQL-Konfigurationen und gehören zum Typ SQL_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: ALLOYDB_AUTO_BACKUP_DISABLED

Ergebnisbeschreibung: Für einen AlloyDB for PostgreSQL-Cluster sind keine automatischen Sicherungen aktiviert.

Preisstufe: Premium

Unterstützte Assets
alloydb.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)

Prüft, ob das Attribut automated_backup_policy.enabled in den Metadaten eines AlloyDB for PostgreSQL-Clusters auf true festgelegt ist.

  • Von Scans ausgeschlossene Assets: sekundäre AlloyDB for PostgreSQL-Cluster
  • Echtzeit-Scans: Ja

Kategoriename in der API: ALLOYDB_BACKUPS_DISABLED

Ergebnisbeschreibung:Für einen AlloyDB for PostgreSQL-Cluster sind keine Sicherungen aktiviert.

Preisstufe: Premium

Unterstützte Assets
alloydb.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)

Prüft, ob die Attribute automated_backup_policy.enabled oder continuous_backup_policy.enabled in den Metadaten eines AlloyDB for PostgreSQL-Clusters auf true festgelegt sind.

  • Von Scans ausgeschlossene Assets: sekundäre AlloyDB for PostgreSQL-Cluster
  • Echtzeit-Scans: Ja

Kategoriename in der API: ALLOYDB_CMEK_DISABLED

Ergebnisbeschreibung: Ein AlloyDB-Cluster wird nicht mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) verschlüsselt.

Preisstufe: Premium

Unterstützte Assets
alloydb.googleapis.com/Cluster

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R5: IA-5, SC-28
  • PCI-DSS v4.0: 3.1.1, 3.3.2, 3.3.3, 3.5.1, 3.5.1.2, 3.5.1.3, 8.3.2
  • ISO-27001 v2022: A.5.33
  • Cloud Controls Matrix 4: CEK-03
  • NIST Cybersecurity Framework 1.0: PR-DS-1
  • SOC2 v2017: CC6.1.10, CC6.1.3
  • HIPAA: 164.312(a)(2)(iv), 164.312(e)(2)(ii)
  • CIS Controls 8.0: 3.11

Prüft das Feld encryption_type in den Clustermetadaten, um festzustellen, ob CMEK aktiviert ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: ALLOYDB_LOG_MIN_ERROR_STATEMENT_SEVERITY

Ergebnisbeschreibung: Das Datenbank-Flag log_min_error_statement für eine AlloyDB for PostgreSQL-Instanz ist nicht auf error oder einen anderen empfohlenen Wert festgelegt.

Preisstufe: Premium

Unterstützte Assets
alloydb.googleapis.com/Instances

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

Um eine angemessene Abdeckung von Nachrichtentypen in den Logs zu gewährleisten, wird ein Problem generiert, wenn das Feld log_min_error_statement des Attributs databaseFlags nicht auf einen der folgenden Werte festgelegt ist: debug5, debug4, debug3, debug2, debug1, info, notice, warning oder den Standardwert error.

  • Echtzeit-Scans: Ja

Kategoriename in der API: ALLOYDB_LOG_MIN_MESSAGES

Ergebnisbeschreibung: Das Datenbank-Flag log_min_messages für eine AlloyDB for PostgreSQL-Instanz ist nicht auf warning oder einen anderen empfohlenen Wert festgelegt.

Preisstufe: Premium

Unterstützte Assets
alloydb.googleapis.com/Instances

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

Um eine angemessene Abdeckung von Nachrichtentypen in den Logs zu gewährleisten, wird ein Problem generiert, wenn das Feld log_min_messages des Attributs databaseFlags nicht auf einen der folgenden Werte festgelegt ist: debug5, debug4, debug3, debug2, debug1, info, notice oder den Standardwert warning.

  • Echtzeit-Scans: Ja

Kategoriename in der API: ALLOYDB_LOG_ERROR_VERBOSITY

Ergebnisbeschreibung: Das Datenbank-Flag log_error_verbosity für eine AlloyDB for PostgreSQL-Instanz ist nicht auf default oder einen anderen empfohlenen Wert festgelegt.

Preisstufe: Premium

Unterstützte Assets
alloydb.googleapis.com/Instances

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R5: AU-12, AU-3, AU-7
  • PCI-DSS v4.0: 10.2.1, 10.2.1.2, 10.2.1.5, 9.4.5
  • ISO-27001 v2022: A.5.28, A.8.15
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: DE-AE-3, DE-CM-1
  • SOC2 v2017: CC5.2.3, CC7.2.1, CC7.2.2, CC7.2.3

Um eine angemessene Abdeckung von Nachrichtentypen in den Logs zu gewährleisten, wird ein Ergebnis generiert, wenn das Feld log_error_verbosity der Property databaseFlags nicht auf einen der folgenden Werte festgelegt ist: verbose oder der Standardwert default.

  • Echtzeit-Scans: Ja

Kategoriename in der API: ALLOYDB_PUBLIC_IP

Ergebnisbeschreibung:Eine AlloyDB for PostgreSQL-Datenbankinstanz hat eine öffentliche IP-Adresse.

Preisstufe: Premium

Unterstützte Assets
alloydb.googleapis.com/Instances

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R5: AC-3, AC-5, AC-6, MA-4, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.2, CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3, 4.6

Prüft, ob das Feld enablePublicIp des Attributs instanceNetworkConfig so konfiguriert ist, dass öffentliche IP-Adressen zulässig sind.

  • Echtzeit-Scans: Ja

Kategoriename in der API: ALLOYDB_SSL_NOT_ENFORCED

Ergebnisbeschreibung:Für eine AlloyDB for PostgreSQL-Datenbankinstanz müssen nicht alle eingehenden Verbindungen SSL verwenden.

Preisstufe: Premium

Unterstützte Assets
alloydb.googleapis.com/Instances

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3

Prüft, ob das Attribut sslMode der AlloyDB for PostgreSQL-Instanz auf ENCRYPTED_ONLY festgelegt ist.

  • Echtzeit-Scans: Ja

Ergebnisse zu Cloud SQL-Sicherheitslücken

Sicherheitslücken dieses Detektortyps beziehen sich alle auf Cloud SQL-Konfigurationen und gehören zum Typ SQL_SCANNER.

Detektor Fazit Asset-Scaneinstellungen

Kategoriename in der API: AUTO_BACKUP_DISABLED

Ergebnisbeschreibung: In einer Cloud SQL-Datenbank sind keine automatischen Sicherungen aktiviert.

Preisstufe: Premium

Unterstützte Assets
sqladmin.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.1: 6.7
  • CIS GCP Foundation 1.2: 6.7
  • CIS GCP Foundation 1.3: 6.7
  • CIS GCP Foundation 2.0: 6.7
  • CIS GCP Foundation 3.0: 6.7
  • NIST 800-53 R4: CP-9
  • NIST 800-53 R5: CP-10, CP-9
  • ISO-27001 v2013: A.12.3.1
  • ISO-27001 v2022: A.8.13
  • NIST Cybersecurity Framework 1.0: PR-IP-4
  • HIPAA: 164.308(a)(7)(ii)
  • CIS Controls 8.0: 11.2

Prüft, ob das Attribut backupConfiguration.enabled von Cloud SQL-Daten auf true festgelegt ist.

  • Von Scans ausgeschlossene Assets: Cloud SQL-Replikate
  • Zusätzliche Eingaben: Liest IAM-Zulassungsrichtlinien für Ancestors aus dem Asset-Speicher von Security Health Analytics
  • Echtzeit-Scans: Ja

Kategoriename in der API: PUBLIC_SQL_INSTANCE

Ergebnisbeschreibung: Eine Cloud SQL-Datenbankinstanz akzeptiert Verbindungen von allen IP-Adressen.

Preisstufe: Premium oder Standard

Unterstützte Assets
sqladmin.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.0: 6.2
  • CIS GCP Foundation 1.1: 6.5
  • CIS GCP Foundation 1.2: 6.5
  • CIS GCP Foundation 1.3: 6.5
  • CIS GCP Foundation 2.0: 6.5
  • CIS GCP Foundation 3.0: 6.5
  • NIST 800-53 R4: CA-3, SC-7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v3.2.1: 1.2.1
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2013: A.13.1.3, A.14.1.3, A.8.2.3
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Prüft, ob für das Attribut authorizedNetworks von Cloud SQL-Instanzen eine einzelne IP-Adresse oder ein IP-Adressbereich festgelegt ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: SSL_NOT_ENFORCED

Ergebnisbeschreibung: Für eine Cloud SQL-Datenbankinstanz müssen nicht alle eingehenden Verbindungen SSL verwenden.

Preisstufe: Premium oder Standard

Unterstützte Assets
sqladmin.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • NIST 800-53 R4: SC-7
  • PCI-DSS v3.2.1: 4.1
  • ISO-27001 v2013: A.13.2.1, A.14.1.3, A.8.2.3

Prüft, ob das Attribut sslMode der Cloud SQL-Instanz auf einen genehmigten SSL-Modus festgelegt ist, entweder ENCRYPTED_ONLY oder TRUSTED_CLIENT_CERTIFICATE_REQUIRED.

  • Echtzeit-Scans: Ja

Kategoriename in der API: SQL_CMEK_DISABLED

Ergebnisbeschreibung: Eine SQL-Datenbankinstanz wird nicht mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) verschlüsselt. Für diesen Detektor ist zum Aktivieren eine zusätzliche Konfiguration erforderlich. Eine Anleitung finden Sie unter Detektoren aktivieren und deaktivieren.

Preisstufe: Premium

Unterstützte Assets
sqladmin.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

Diese Ergebniskategorie ist keinen Compliance-Standardkontrollen zugeordnet.

Prüft das Feld kmsKeyName im Objekt diskEncryptionKey in den Instanzmetadaten auf den Ressourcennamen Ihres CMEK.

  • Echtzeit-Scans: Ja

Kategoriename in der API: SQL_CONTAINED_DATABASE_AUTHENTICATION

Ergebnisbeschreibung: Das Datenbank-Flag contained database authentication für eine Cloud SQL for SQL Server-Instanz ist nicht auf off gesetzt.

Preisstufe: Premium

Unterstützte Assets
sqladmin.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.1: 6.3.2
  • CIS GCP Foundation 1.2: 6.3.7
  • CIS GCP Foundation 1.3: 6.3.7
  • CIS GCP Foundation 2.0: 6.3.7
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Prüft das Attribut databaseFlags der Instanzmetadaten für das Schlüssel/Wert-Paar "name": "contained database authentication", "value": "on" oder ob es standardmäßig aktiviert ist.

  • Echtzeit-Scans: Ja

Kategoriename in der API: SQL_CROSS_DB_OWNERSHIP_CHAINING

Ergebnisbeschreibung: Das Datenbank-Flag cross_db_ownership_chaining für eine Cloud SQL for SQL Server-Instanz ist nicht auf off gesetzt.

Preisstufe: Premium

Unterstützte Assets
sqladmin.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.1: 6.3.1
  • CIS GCP Foundation 1.2: 6.3.2
  • CIS GCP Foundation 1.3: 6.3.2
  • CIS GCP Foundation 2.0: 6.3.2
  • CIS GCP Foundation 3.0: 6.3.2
  • NIST 800-53 R5: AC-3, AC-5, AC-6, MP-2
  • PCI-DSS v4.0: 1.3.1
  • ISO-27001 v2022: A.5.10, A.5.15, A.8.3, A.8.4
  • Cloud Controls Matrix 4: DSP-17
  • NIST Cybersecurity Framework 1.0: PR-AC-4
  • SOC2 v2017: CC5.2.3, CC6.1.3, CC6.1.7
  • HIPAA: 164.308(a)(3)(i), 164.308(a)(3)(ii), 164.312(a)(1)
  • CIS Controls 8.0: 3.3

Prüft das Attribut databaseFlags von Instanzmetadaten für das Schlüssel/Wert-Paar "name": "cross_db_ownership_chaining", "value": "on".

  • Echtzeit-Scans: Ja

Kategoriename in der API: SQL_EXTERNAL_SCRIPTS_ENABLED

Ergebnisbeschreibung: Das Datenbank-Flag external scripts enabled für eine Cloud SQL for SQL Server-Instanz ist nicht auf off gesetzt.

Preisstufe: Premium

Unterstützte Assets
sqladmin.googleapis.com/Instance

Dieses Ergebnis korrigieren

Compliance standards:

  • CIS GCP Foundation 1.2: 6.3.1
  • CIS GCP Foundation 1.3: 6.3.1
  • CIS GCP Foundation 2.0: 6.3.1
  • CIS GCP Foundation 3.0: 6.3.1
  • NIST 800-53 R5: CM-7, SI-7
  • PCI-DSS v4.0: 1.2.5, 2.2.4, 6.4.3
  • NIST Cybersecurity Framework 1.0: PR-IP-1, PR-PT-3
  • SOC2 v2017: CC5.2.1, CC5.2.2, CC5.2.3, CC5.2.4
  • CIS Controls 8.0: 2.7

Prüft das Attribut databaseFlags von Instanzmetadaten für das Schlüssel/Wert-Paar "name": "external scripts enabled", "value": "off".

  • Echtzeit-Scans: Ja

Kategoriename in der API: SQL_LOCAL_INFILE

Ergebnisbeschreibung: Das Datenbank-Flag local_infile für eine Cloud SQL for MySQL-Instanz ist nicht auf off gesetzt.

Preisstufe: Premium

Unterstützte Assets
sqladmin.googleapis.com/Instance