כאן מוסבר איך לפתור בעיות נפוצות ב-Security Command Center, כולל כשלים בהפעלה, נכסים שלא מתעדכנים, התראות שמתעכבות ושגיאות בסריקה. השלבים הבאים לפתרון בעיות יעזרו לכם לבטל את החסימה של הגדרת השירות, לשחזר את המעקב הפעיל אחר האבטחה ולהבחין בין תנועת סורקים צפויה לבין אירועי אבטחה.
כדי לפתור הודעות של סורקים והתראות, או כדי לחקור בעיות בהגדרות שזוהו על ידי Security Command Center, קראו את המאמרים הודעות שגיאה ושגיאות ב-Security Command Center.
הפעלת Security Command Center נכשלה
הסיבה הנפוצה ביותר לכך שההפעלה של Security Command Center נכשלת היא שמדיניות הארגון מגבילה זהויות לפי דומיין. אתם וחשבון השירות שלכם צריכים להיות חלק מדומיין מורשה:
- לפני שמנסים להפעיל את Security Command Center, חשוב לוודא שנכנסתם לחשבון בדומיין מורשה.
- אם אתם משתמשים בחשבון שירות של
@*.gserviceaccount.com, הוסיפו את חשבון השירות כזהות בקבוצה בדומיין מותר.
הנכסים ב-Security Command Center לא מתעדכנים
אם אתם משתמשים ב-VPC Service Controls, אפשר לגלות ולעדכן נכסים ב-Security Command Center רק אם נותנים גישה לחשבון השירות של Security Command Center.
כדי להפעיל את זיהוי הנכסים, צריך לתת גישה לחשבון השירות של Security Command Center. כך חשבון השירות יכול להשלים את גילוי הנכסים ולהציג אותם במסוף Google Cloud .
השם של חשבון השירות הוא בפורמט service-org-organization-id@security-center-api.iam.gserviceaccount.com.
צפייה, עריכה, יצירה ועדכון של ממצאים ונכסים
אפשר להקצות את תפקידי ה-IAM של Security Command Center ברמת הארגון, התיקייה או הפרויקט. היכולת שלכם להציג, לערוך, ליצור או לעדכן ממצאים, נכסים ומקורות אבטחה תלויה ברמת הגישה שקיבלתם. למידע נוסף על התפקידים ב-Security Command Center, ראו בקרת גישה.
התראות חסרות או שמופיעות באיחור
במצבים מסוימים, יכול להיות שההתראות לא יופיעו, יושמטו או יתעכבו:
- יכול להיות שאין ממצאים שתואמים למסננים ב
NotificationConfig. כדי לבדוק את ההתראות, משתמשים ב-Security Command Center API כדי ליצור ממצא. - לחשבון השירות של Security Command Center צריך להיות התפקיד
securitycenter.notificationServiceAgentבנושא Pub/Sub. השם של חשבון השירות הוא בפורמטservice-organization-id@gcp-sa-scc-notification.iam.gserviceaccount.com.- אם תסירו את התפקיד, פרסום ההתראות יושבת.
- אם מסירים את התפקיד ואז מעניקים אותו שוב, ההתראות מתעכבות.
- אם תמחקו ותיצרו מחדש את נושא Pub/Sub, ההתראות יימחקו.
External Exposure
בקטעים הבאים מפורטים שלבים לפתרון בעיות שיכולים לעזור לכם אם נתקלתם בבעיות או בתנועה לא צפויה שקשורה ל-External Exposure.
עלייה חדה ביומני הבקשות של 403 Forbidden מ-TsunamiSecurityScanner
אתם מבחינים בעליות חדות לא צפויות ביומני הבקשות של HTTP 403 Forbidden או HTTP 401 Unauthorized בנקודות הקצה שגלויות לכולם, כמו Cloud Run, Google Kubernetes Engine (GKE) או Cloud Load Balancing, עם סוכן המשתמש TsunamiSecurityScanner.
מטרה
כשהכלי "חשיפה חיצונית" סורק את כתובות ה-IP הציבוריות ונקודות הקצה כדי לזהות ממשקים חשופים ונקודות חולשה, השירות שולח בקשות בדיקה באמצעות מחרוזת סוכן המשתמש TsunamiSecurityScanner.
אם נקודות הקצה או השירותים שלכם אוכפים אמצעי בקרת גישה, כמו אימות של ניהול זהויות והרשאות גישה (IAM), שרת proxy לאימות זהויות (IAP) או מדיניות אבטחה של Google Cloud Armor, נקודות הקצה ידחו בקשות סריקה לא מאומתות. הדחיות האלה יוצרות תגובת יומן HTTP 403 Forbidden או HTTP 401 Unauthorized. זו התנהגות צפויה, והיא מצביעה על כך שאמצעי הבקרה על האבטחה חוסמים גישה לא מאומתת.
אבחון ופתרון
כדי לזהות ולפתור בעיות של עלייה חדה ביומני הבקשות של HTTP 403 Forbidden או HTTP 401 Unauthorized מ-TsunamiSecurityScanner, צריך לבצע את השלבים הבאים:
כדי לוודא שיומני הבקשות של HTTP
403מגיעים מהסורק, מריצים את השאילתה הבאה בדף Logs Explorer:httpRequest.userAgent="TsunamiSecurityScanner" AND httpRequest.status=403מוודאים שהשירותים שנסרקו נמצאים בפרויקטים שבהם External Exposure פעיל. במאמר זיהוי תנועה של סורקים ביומנים מוסבר איך תנועה של סורקים מופיעה ביומנים.
אופציונלי: אם הגדרתם התראות מבוססות-יומנים שמופעלות על קודי סטטוס HTTP
403, עדכנו את שאילתת ההתראה כדי להחריג את תעבורת הנתונים של הסורק:NOT httpRequest.userAgent="TsunamiSecurityScanner"
Web Security Scanner
בקטע הזה מפורטים שלבים לפתרון בעיות שיכולים לעזור לכם אם נתקלתם בבעיות בשימוש ב-Web Security Scanner.
שגיאות סריקה ב-Compute Engine וב-GKE
אם כתובת ה-URL של הסריקה לא מוגדרת נכון, Web Security Scanner דוחה אותה. סיבות אפשריות לדחייה:
כתובת ה-URL כוללת כתובת IP זמנית
מסמנים את כתובת ה-IP הזו כסטטית:
- לאפליקציה במכונה וירטואלית אחת, שומרים את כתובת ה-IP במכונה הווירטואלית
- באפליקציה שמאחורי מאזן עומסים, צריך לשמור את כתובת ה-IP במאזן העומסים.
כתובת ה-URL ממופה לכתובת IP שגויה
כדי לתקן את הממצא הזה, צריך לפעול לפי ההוראות של שירות רישום ה-DNS.
כתובת ה-URL ממופה לכתובת IP זמנית של אותה מכונה וירטואלית
מסמנים את כתובת ה-IP הזו כסטטית.
כתובת ה-URL ממופה לכתובת IP שמורה
השגיאה הזו מתרחשת כשכתובת ה-URL ממופה לכתובת IP ששמורה בפרויקט אחר באותו ארגון. כדי לפתור את הבעיה, צריך להגדיר סריקות אבטחה למכונה הווירטואלית או למאזן העומסים של HTTP בפרויקט שבו הם מוגדרים.
כתובת ה-URL ממופה ליותר מכתובת IP אחת
חשוב לוודא שכל כתובות ה-IP שממופות לכתובת ה-URL הזו שמורות לאותו פרויקט. אם יש לפחות כתובת IP אחת שלא שמורה לאותו פרויקט, פעולת הסריקה, היצירה, העריכה או העדכון תיכשל.
המאמרים הבאים
מידע על שגיאות ב-Security Command Center