在 Security Command Center 查看安全漏洞發現項目

Security Command Center 可讓您查看及篩選 Vulnerability 和 Misconfiguration 發現項目，以便優先處理高風險問題並採取修復步驟。在 Google Cloud 控制台中，您可以使用查詢預設設定，或依專案、類別、資產類型、攻擊暴露分數、CVE ID 或嚴重性篩選，藉此檢查這些發現項目。您也可以在 Google Cloud 控制台或使用 Google Cloud CLI，依據有效發現項目數量查看發現項目類別。

比較「安全漏洞」頁面和「發現項目」頁面

與「Findings」(發現項目) 頁面提供的篩選器和查詢選項相比，「Vulnerabilities」(安全漏洞) 頁面的篩選器選項較少。

「Vulnerabilities」(安全漏洞) 頁面會顯示 Vulnerability 和 Misconfiguration 發現項目類別中的所有發現項目類別，以及各類別中目前的有效發現項目數量，以及各發現項目類別對應的法規遵循標準。如果特定類別中沒有任何有效的發現項目，「Active findings」(有效的發現項目) 欄會顯示 0。

相較之下，「發現項目」頁面可顯示任何發現項目類別中的發現項目類別，但只有在指定日期範圍內，環境中偵測到該類別的安全問題時，才會顯示發現項目類別。

如需詳細資訊，請參閱以下頁面：

套用查詢預設設定

在「Vulnerabilities」(安全漏洞) 頁面中，您可以選取預先定義的查詢 (查詢預設集)，傳回與特定安全性目標相關的發現項目。

舉例來說，如果您的職責是管理 Google Cloud的雲端基礎架構授權管理 (CIEM)，可以選取「Identity and access misconfigurations」(身分和存取權設定錯誤) 預設查詢，查看與主體帳戶相關的所有發現項目，包括設定錯誤、授予過多權限或私密資訊權限。

或者，如果您的目標是限制主體只能擁有實際需要的權限，可以選取「IAM Recommender」查詢預設設定，顯示 IAM 建議工具針對權限過多的主體提供的發現項目。

如要選取查詢預設設定，請按照下列步驟操作：

  1. 前往舊版「Vulnerabilities」(安全漏洞) 頁面：

    前往「安全漏洞」

  2. 在「Query presets」(查詢預設) 部分，按一下其中一個查詢選取器。

    畫面會更新，只顯示查詢中指定的安全漏洞類別。

依專案查看安全漏洞發現項目

如要在 Google Cloud 控制台的舊版「Vulnerabilities」(安全漏洞) 頁面，依專案查看安全漏洞發現項目，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的舊版「安全漏洞」頁面。

    前往「安全漏洞」

  2. 在頁面頂端的專案選取器中，選取要查看安全漏洞發現項目的專案。

「Vulnerabilities」(安全漏洞) 頁面只會顯示所選專案的發現項目。

或者，如果控制台檢視畫面設為組織，您可以使用「Findings」(發現項目) 頁面中的「Quick filters」(快速篩選器)，依一或多個專案 ID 篩選安全漏洞發現項目。

依發現項目類別查看安全漏洞發現項目

如要依類別查看安全漏洞發現項目，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的舊版「安全漏洞」頁面。

    前往「安全漏洞」

  2. 在專案選取器中，選取組織、資料夾或專案。

  3. 在「Category」(類別) 欄中，選取要顯示發現項目的發現項目類型。

「Findings」(發現項目) 頁面會載入並顯示與所選類型相符的發現項目清單。

如要進一步瞭解發現項目類別，請參閱「安全漏洞發現項目」。

依資產類型查看發現項目

如要查看特定資產類型的安全漏洞發現項目，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的 Security Command Center「Findings」(發現項目) 頁面。

    前往「發現項目」

  2. 在專案選取器中，選取組織、資料夾或專案。

  3. 在「快速篩選器」面板中，選取下列項目：

    • 在「Finding class」(發現項目類別) 部分，選取「Vulnerability」(安全漏洞) 和「Misconfiguration」(設定錯誤)。
    • 選用：在「Project ID」(專案 ID) 部分，選取要查看資產的專案 ID。
    • 在「Resource type」(資源類型) 部分，選取要查看的資源類型。

「發現項目查詢結果」面板中的發現項目清單會更新，只顯示符合所選條件的發現項目。

依受攻擊風險分數查看安全漏洞發現項目

如果安全漏洞發現項目指定為高價值，且受攻擊路徑模擬支援，則會指派受攻擊風險分數。您可以依據這項分數篩選發現項目。

如要依受攻擊風險分數查看發現的安全漏洞，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

    前往「發現項目」

  2. 在專案選取器中，選取組織、資料夾或專案。

  3. 在「查詢預覽」面板右側，點選「編輯查詢」。

  4. 在「查詢編輯器」面板頂端，按一下「新增篩選器」。

  5. 在「Select filter」(選取篩選器) 對話方塊中，執行下列操作：

  6. 選取「Attack exposure」(受攻擊風險)，然後在「Attack exposure greater than」(受攻擊風險大於) 欄位中輸入分數值。

  7. 按一下「套用」。

    篩選陳述式會新增至查詢，「發現項目查詢結果」面板中的發現項目也會更新，只顯示受攻擊風險分數高於新篩選陳述式指定值的發現項目。

依 CVE ID 查看安全漏洞發現項目

您可以在「Overview」(總覽) 頁面或「Findings」(發現項目) 頁面，查看發現項目及其對應的 CVE ID。

  • 在「總覽」頁面，前往「安全漏洞」資訊主頁。如要瞭解資訊主頁上的面板，請參閱「快速評估風險」。

  • 在「Findings」(發現項目) 頁面中，您可以依 CVE ID 查詢發現項目。

    如要依 CVE ID 查詢安全漏洞發現項目，請按照下列步驟操作：

    1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

      前往「發現項目」

    2. 在專案選取器中，選取組織、資料夾或專案。

    3. 在「查詢預覽」欄位右側，點選「編輯查詢」。

    4. 在「查詢編輯器」中，編輯查詢，加入要尋找的 CVE ID。例如：

    state="ACTIVE"
  AND NOT mute="MUTED"
  AND vulnerability.cve.id="CVE-2016-5195"

    「發現項目查詢結果」會更新，顯示所有未設為忽略且包含 CVE ID 的有效發現項目。

依嚴重性查看安全漏洞發現項目

如要依嚴重性查看安全漏洞發現項目，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的 Security Command Center「發現項目」頁面。

    前往「發現項目」

  2. 在專案選取器中，選取組織、資料夾或專案。

  3. 在「快速篩選器」面板中，前往「發現項目類別」部分，然後選取「安全漏洞」和「設定錯誤」。

    系統會更新顯示的發現項目，只顯示 Vulnerability 和 Misconfiguration 類別的發現項目。

  4. 同樣在「快速篩選器」面板中，前往「嚴重性」部分，選取要查看的發現項目嚴重性。

    頁面只會顯示所選嚴重程度的發現項目。

依有效發現項目數量查看發現項目類別

如要依據發現項目類別包含的作用中發現項目數量查看類別，可以使用 Google Cloud 控制台或 Google Cloud CLI 指令。

控制台

如要在舊版「Vulnerabilities」(安全漏洞) 頁面，依據所含有效發現項目的數量查看發現項目類別，可以按照「Active findings」(有效發現項目) 欄排序類別，或依據各類別含有的有效發現項目數量篩選類別。

如要依據所含有效發現項目的數量，篩選安全漏洞發現項目類別，請按照下列步驟操作：

  1. 在 Google Cloud 控制台中，開啟舊版「安全漏洞」頁面：

    前往「安全漏洞」

  2. 在專案選取器中，選取組織、資料夾或專案。

  3. 將游標移至篩選器欄位，即可顯示篩選器清單。

  4. 從篩選器清單中選取「Active findings」(有效發現項目)。系統會顯示邏輯運算子清單。

  5. 選取要在篩選器中使用的邏輯運算子，例如 >=。

  6. 輸入數字，然後按下 Enter 鍵。

畫面會更新，只顯示含有符合篩選條件的有效發現項目數量的安全漏洞類別。

gcloud

如要使用 gcloud CLI 取得所有有效發現項目的數量，請先查詢 Security Command Center，取得安全漏洞服務的來源 ID，然後使用來源 ID 查詢有效發現項目數量。

步驟 1：取得來源 ID

如要完成這個步驟，請取得組織 ID，然後取得其中一項安全漏洞偵測服務的來源 ID (也稱為發現項目來源)。如果尚未啟用 Security Command Center API，系統會提示您啟用。

  1. 執行 gcloud organizations list 取得組織 ID，然後記下組織名稱旁的數字。

  2. 執行下列指令，取得安全狀態分析來源 ID：

    gcloud scc sources describe organizations/ORGANIZATION_ID \
  --source-display-name='SOURCE_DISPLAY_NAME'

    更改下列內容：

    • ORGANIZATION_ID：組織 ID。無論 Security Command Center 的啟用層級為何，都必須提供組織 ID。
    • SOURCE_DISPLAY_NAME：安全漏洞偵測服務的顯示名稱，用於顯示安全漏洞發現項目。例如：Security Health Analytics。

  3. 如果出現提示訊息，請啟用 Security Command Center API，然後再次執行上述指令，重新取得來源 ID。

取得來源 ID 的指令應會顯示如下的輸出內容：

description: Scans for deviations from a Google Cloud
security baseline.
displayName: Security Health Analytics
name: organizations/ORGANIZATION_ID/sources/SOURCE_ID

記下 SOURCE_ID，以便在下一步使用。

步驟 2：取得使用中的發現項目數量

使用您在上一個步驟中記下的 SOURCE_ID 篩選發現項目。下列 gcloud CLI 指令會傳回按類別區分的發現項目數量：

gcloud scc findings group organizations/ORGANIZATION_ID/sources/SOURCE_ID \
  --group-by=category --page-size=PAGE_SIZE

您可以將 page-size 設為任何值，上限為 1000。指令應會顯示類似下方的輸出內容，其中包含特定組織或專案的結果：

  groupByResults:
  - count: '1'
    properties:
      category: MFA_NOT_ENFORCED
  - count: '3'
    properties:
      category: ADMIN_SERVICE_ACCOUNT
  - count: '2'
    properties:
      category: API_KEY_APIS_UNRESTRICTED
  - count: '1'
    properties:
      category: API_KEY_APPS_UNRESTRICTED
  - count: '2'
    properties:
      category: API_KEY_EXISTS
  - count: '10'
    properties:
      category: AUDIT_CONFIG_NOT_MONITORED
  - count: '10'
    properties:
      category: AUDIT_LOGGING_DISABLED
  - count: '1'
    properties:
      category: AUTO_UPGRADE_DISABLED
  - count: '10'
    properties:
      category: BUCKET_IAM_NOT_MONITORED
  - count: '10'
    properties:
      category: BUCKET_LOGGING_DISABLED
  nextPageToken: token
        readTime: '2019-08-05T21:56:13.862Z'
        totalSize: 50