O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Etapas da solução de problemas

É possível resolver problemas comuns do Security Command Center, incluindo falhas de ativação, recursos que não estão sendo atualizados, notificações atrasadas e erros de verificação. Estas etapas de solução de problemas ajudam a desbloquear a configuração do serviço, restaurar o monitoramento de segurança ativo e distinguir o tráfego esperado do verificador de incidentes de segurança.

Para resolver mensagens de notificação e do verificador ou investigar problemas de configuração detectados pelo Security Command Center, consulte Mensagens de erro e Erros do Security Command Center.

A ativação do Security Command Center falha

A ativação do Security Command Center costuma falhar se as políticas da organização restringir identidades por domínio. Você e sua conta de serviço precisam fazer parte de um domínio permitido:

Faça login em uma conta que esteja em um domínio permitido antes de tentar ativar o Security Command Center.
Se você estiver usando uma conta de serviço @*.gserviceaccount.com, adicione-a como uma identidade em um grupo dentro de um domínio permitido.

Os recursos do Security Command Center não estão atualizando

Se você estiver usando o VPC Service Controls, os recursos do Security Command Center só poderão ser descobertos e atualizados quando você conceder acesso à conta de serviço do Security Command Center.

Para ativar a descoberta de ativos, conceda acesso à conta de serviço do Security Command Center. Isso permite que a conta de serviço conclua recursos de exibição e descoberta de recursos no console do Google Cloud . O nome da conta de serviço está na forma de service-org-organization-id@security-center-api.iam.gserviceaccount.com.

Como visualizar, editar, criar e atualizar descobertas e recursos

Os papéis do IAM para o Security Command Center podem ser concedidos no nível da organização, da pasta ou do projeto. A capacidade de ver, editar, criar ou atualizar descobertas, recursos e fontes de segurança depende do nível a que você tem acesso. Para saber mais sobre os papéis do Security Command Center, consulte Controle de acesso.

Notificações ausentes ou atrasadas

Em algumas situações, as notificações podem estar ausentes, descartadas ou com atraso:

É possível que não haja descobertas que correspondam aos filtros no seu NotificationConfig. Para testar as notificações, use a API Security Command Center para criar uma descoberta.
A conta de serviço do Security Command Center precisa ter o papel securitycenter.notificationServiceAgent no tópico do Pub/Sub. O nome da conta de serviço está na forma de service-organization-id@gcp-sa-scc-notification.iam.gserviceaccount.com.
- Se você remover o papel, a publicação de notificações será desativada.
- Se você remover o papel e, em seguida, conceder o papel novamente, as notificações serão atrasadas.
Se você excluir e recriar o tópico do Pub/Sub, as notificações serão descartadas.

External Exposure

As seções a seguir descrevem as etapas de solução de problemas que podem ser úteis se você tiver problemas ou tráfego inesperado relacionado à exposição externa.

Picos nos registros de solicitações de `403 Forbidden` de `TsunamiSecurityScanner`

Você observa picos inesperados nos registros de solicitações HTTP 403 Forbidden ou HTTP 401 Unauthorized nos endpoints públicos, como o Cloud Run, o Google Kubernetes Engine (GKE) ou o Cloud Load Balancing, com o user agent TsunamiSecurityScanner.

Causa

Quando a Exposição Externa verifica seus endereços IP públicos e endpoints para detectar interfaces e vulnerabilidades expostas, o serviço envia solicitações de sondagem usando a string do user agent TsunamiSecurityScanner.

Se os endpoints ou serviços aplicarem controles de acesso, como autenticação do Identity and Access Management (IAM), Identity-Aware Proxy (IAP) ou políticas de segurança do Google Cloud Armor, os endpoints vão rejeitar solicitações de verificação não autenticadas. Essas rejeições geram uma resposta de registro HTTP 403 Forbidden ou HTTP 401 Unauthorized. Esse comportamento é esperado e indica que os controles de segurança estão bloqueando o acesso não autenticado.

Diagnosticar e resolver

Para diagnosticar e resolver picos nos registros de solicitações HTTP 403 Forbidden ou HTTP 401 Unauthorized do TsunamiSecurityScanner, siga estas etapas:

Para verificar se os registros de solicitação HTTP 403 são originados do verificador, na página Análise de registros, execute a seguinte consulta:
```
httpRequest.userAgent="TsunamiSecurityScanner" AND httpRequest.status=403
```
Confirme se os serviços verificados estão em projetos em que a exposição externa está ativa. Para mais informações sobre como o tráfego do verificador aparece nos registros, consulte Identificar o tráfego do verificador nos registros.
Opcional: se você tiver alertas baseados em registros configurados que são acionados em códigos de status HTTP 403, atualize a consulta de alerta para excluir o tráfego do verificador:
```
NOT httpRequest.userAgent="TsunamiSecurityScanner"
```

Web Security Scanner

Esta seção contém etapas de solução de problemas que podem ser úteis se você tiver problemas ao usar o Web Security Scanner

Erros de verificação do Compute Engine e do GKE

Se o URL de uma verificação estiver configurado incorretamente, o Web Security Scanner o rejeitará. Os possíveis motivos para a rejeição incluem:

O URL tem um endereço IP temporário

Marque esse endereço IP como estático:

Para um aplicativo em uma única VM, reserve o endereço IP na VM
Para um aplicativo protegido por um balanceador de carga, reserve o endereço IP no balanceador de carga.

O URL está mapeado para um endereço IP errado

Para corrigir essa descoberta, consulte as instruções do serviço de registro de DNS.

O URL está mapeado para um endereço IP temporário da mesma VM

Marque esse endereço IP como estático.

O URL é mapeado para um endereço IP reservado

Esse erro ocorre quando o URL é mapeado para um endereço IP reservado em um projeto diferente da mesma organização. Para resolver isso, defina verificações de segurança para a VM ou o balanceador de carga HTTP no projeto para o qual ele está definido.

O URL está mapeado para mais de um endereço IP.

Certifique-se de que todos os endereços IP mapeados para este URL estejam reservados para o mesmo projeto. Se houver pelo menos um endereço IP que não esteja reservado para o mesmo projeto, a operação de criação ou edição ou atualização de verificação falhará.

A seguir

Saiba mais sobre os erros do Security Command Center.