Correzione dei risultati di Security Health Analytics

Questa pagina fornisce un elenco di guide di riferimento e tecniche per correggere gli errori Risultati di Security Health Analytics utilizzando Security Command Center.

Per visualizzare o modificare i ruoli IAM (Identity and Access Management) necessari, devi disporre di ruoli adeguati i risultati e accedere alle risorse Google Cloud o modificarle. Se riscontri errori di autorizzazione durante l'accesso a Security Command Center in nella console Google Cloud, chiedi all'amministratore assistenza e per saperne di più sui ruoli, consulta Controllo dell'accesso. Per risolvere gli errori delle risorse, leggi la documentazione relativa ai prodotti interessati.

Risoluzione di Security Health Analytics

Questa sezione include le istruzioni per la correzione di tutti i risultati di Security Health Analytics.

Per i tipi di risultati mappati a CIS Benchmarks, le linee guida per la correzione proviene da Center for Internet Security (CIS), se non diversamente indicato. Per ulteriori informazioni, vedi Rilevatori e conformità.

Disattivazione dei risultati dopo la correzione

Dopo aver risolto un problema di vulnerabilità o di configurazione errata, Security Health Analytics imposta automaticamente lo stato del problema su INACTIVE la volta successiva che lo cerca. Il tempo necessario a Security Health Analytics per impostare un risultato corretto su INACTIVE dipende dal momento in cui il problema viene risolto e dalla pianificazione della scansione che lo rileva.

Security Health Analytics imposta inoltre lo stato di un risultato su INACTIVE quando una scansione rileva che la risorsa interessata dal risultato è stata eliminata. Se vuoi rimuovere un rilevamento relativo a una risorsa eliminata dal tuo display mentre aspetti che Security Health Analytics rilevi l'eliminazione della risorsa, puoi disattivare l'audio del rilevamento. Per disattivare l'audio di un risultato, consulta Disattivare l'audio dei risultati in Security Command Center.

Non utilizzare la disattivazione per nascondere i risultati corretti per le risorse esistenti. Se il problema si ripresenta e Security Health Analytics ripristina lo stato ACTIVE del rilevamento, potresti non vedere il rilevamento riattivato, perché i rilevamenti disattivati sono esclusi da qualsiasi query sui rilevamenti che specifica NOT mute="MUTED", come la query sui rilevamenti predefinita.

Per informazioni sugli intervalli di scansione, consulta Tipi di analisi di Security Health Analytics.

Access Transparency disabled

Nome categoria nell'API: ACCESS_TRANSPARENCY_DISABLED

Access Transparency registra quando i dipendenti di Google Cloud accedono ai progetti della tua organizzazione per fornire assistenza. Attiva Access Transparency per registrare gli utenti di Google Cloud che accedono ai tuoi informazioni, quando e perché. Per ulteriori informazioni, vedi Access Transparency.

Per abilitare Access Transparency in un progetto, il progetto deve essere associato a un account di fatturazione.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per eseguire questa attività, chiedi all'amministratore di concederti il ruolo IAM Amministratore Access Transparency (roles/axt.admin) a livello di organizzazione. Per ulteriori informazioni sulla concessione dei ruoli, consulta Gestire l'accesso.

Questo ruolo predefinito contiene le autorizzazioni axt.labels.get e axt.labels.set, necessari per eseguire questa attività. Potresti anche ottenere queste autorizzazioni con un ruolo personalizzato o altri ruoli predefiniti.

Passaggi per correggere l'errore

Per correggere questo risultato, completa i seguenti passaggi:

1. Controlla le autorizzazioni a livello di organizzazione:

   1. Vai alla pagina Identity and Access Management nella console Google Cloud.

      Vai a Identity and Access Management

   2. Se richiesto, seleziona l'organizzazione Google Cloud nel del selettore.

2. Seleziona un progetto Google Cloud all'interno dell'organizzazione utilizzando il menu del selettore.

   Access Transparency è configurato su un progetto Google Cloud ma Access Transparency è attiva per l'intera organizzazione.

3. Vai alla pagina IAM e amministrazione > Impostazioni.

4. Fai clic su Abilita Access Transparency.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

AlloyDB auto backup disabled

Nome categoria nell'API: ALLOYDB_AUTO_BACKUP_DISABLED

In un cluster AlloyDB per PostgreSQL non sono abilitati i backup automatici.

Per evitare perdite di dati, attiva i backup automatici per il cluster. Per maggiori informazioni consulta Configurare backup automatici aggiuntivi.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina dei cluster AlloyDB per PostgreSQL nella nella console Google Cloud.

   Vai ai cluster AlloyDB per PostgreSQL

2. Fai clic su un cluster nella colonna Nome risorsa.

3. Fai clic su Protezione dei dati.

4. Nella sezione Criterio di backup automatico, fai clic su Modifica nella riga Backup automatici.

5. Seleziona la casella di controllo Backup automatici.

6. Fai clic su Aggiorna.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

AlloyDB backups disabled

Nome della categoria nell'API: ALLOYDB_BACKUPS_DISABLED

In un cluster AlloyDB per PostgreSQL non sono attivati i backup automatici né continui.

Per evitare perdite di dati, attiva i backup automatici o continui per nel tuo cluster. Per saperne di più, consulta Configurare backup aggiuntivi.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina dei cluster AlloyDB per PostgreSQL nella console Google Cloud.

   Vai ai cluster AlloyDB per PostgreSQL

2. Nella colonna Nome risorsa, fai clic sul nome del cluster identificati nel risultato.

3. Fai clic su Protezione dei dati.

4. Configura un criterio di backup.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

AlloyDB CMEK disabled

Nome categoria nell'API: ALLOYDB_CMEK_DISABLED

Un cluster AlloyDB non utilizza le chiavi di crittografia gestite dal cliente (CMEK).

Con CMEK, le chiavi che crei e gestisci in Cloud KMS criptano le chiavi utilizzate da Google per criptare i tuoi dati, offrendoti un maggiore controllo sull'accesso ai tuoi dati. Per ulteriori informazioni, vedi Informazioni su CMEK. CMEK comporta costi aggiuntivi relativi a Cloud KMS.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina dei cluster AlloyDB per PostgreSQL nella console Google Cloud.

   Vai ai cluster AlloyDB per PostgreSQL

2. Nella colonna Nome risorsa, fai clic sul nome del cluster identificati nel risultato.

3. Fai clic su Crea backup. Imposta un ID di backup.

4. Fai clic su Crea.

5. Nella sezione Backup/Ripristino, fai clic su Ripristina accanto al La voce ID backup che hai scelto.

6. Imposta un nuovo ID cluster e una nuova rete.

7. Fai clic su Opzioni di crittografia avanzate. Seleziona la CMEK con cui vuoi criptare il nuovo cluster.

8. Fai clic su Ripristina.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

AlloyDB log min error statement severity

Nome della categoria nell'API: ALLOYDB_LOG_MIN_ERROR_STATEMENT_SEVERITY

Un'istanza AlloyDB per PostgreSQL non ha log_min_error_statement flag di database impostato su error o su un altro valore consigliato.

Il flag log_min_error_statement controlla se le istruzioni SQL che causano vengono registrate nei log del server. delle istruzioni SQL con gravità o maggiore. Più elevata è la gravità, minore è il numero di messaggi registrati. Se viene impostato un livello di gravità troppo elevato, i messaggi di errore potrebbero non verranno registrati.

Per ulteriori informazioni, consulta la pagina Configurare i flag di database.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina dei cluster AlloyDB per PostgreSQL nella console Google Cloud.

   Vai ai cluster AlloyDB per PostgreSQL

2. Fai clic sul cluster nella colonna Nome risorsa.

3. Nella sezione Istanze nel cluster, fai clic su Modifica per in esecuzione in un'istanza Compute Engine.

4. Fai clic su Opzioni di configurazione avanzate.

5. Nella sezione Flag, imposta il log_min_error_statement flag di database su uno dei seguenti valori consigliati, in base ai criteri di logging della tua organizzazione.

   • debug5
   • debug4
   • debug3
   • debug2
   • debug1
   • info
   • notice
   • warning
   • error

6. Fai clic su Aggiorna istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

AlloyDB log min messages

Nome categoria nell'API: ALLOYDB_LOG_MIN_MESSAGES

Un'istanza AlloyDB per PostgreSQL non ha log_min_messages flag di database impostato su almeno warning.

Il flag log_min_messages controlla quali livelli di messaggi vengono registrati nei log del server. Più elevata è la gravità, minore è il numero di messaggi registrati. L'impostazione di una soglia troppo bassa può comportare un aumento della dimensione e della durata dell'archiviazione dei log, il che complica l'individuazione di errori effettivi.

Per ulteriori informazioni, consulta Configurazione dei flag di database.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina dei cluster AlloyDB per PostgreSQL nella console Google Cloud.

   Vai ai cluster AlloyDB per PostgreSQL

2. Fai clic sul cluster nella colonna Nome risorsa.

3. Nella sezione Istanze nel cluster, fai clic su Modifica per in esecuzione in un'istanza Compute Engine.

4. Fai clic su Opzioni di configurazione avanzata.

5. Nella sezione Flag, imposta il log_min_messages flag di database su uno dei seguenti valori consigliati, in base ai criteri di logging della tua organizzazione.

   • debug5
   • debug4
   • debug3
   • debug2
   • debug1
   • info
   • notice
   • warning

6. Fai clic su Aggiorna istanza.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

AlloyDB log error verbosity

Nome della categoria nell'API: ALLOYDB_LOG_ERROR_VERBOSITY

Un'istanza AlloyDB per PostgreSQL non ha log_error_verbosity flag di database impostato su default o su un altro valore meno restrittivo.

Il flag log_error_verbosity controlla la quantità di dettagli nei messaggi registrato. Maggiore è il livello di dettaglio, maggiori saranno i dettagli registrati nei messaggi. Ti consigliamo di impostare questo flag su default o su un altro valore meno restrittivo.

Per ulteriori informazioni, consulta la pagina Configurare i flag di database.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina dei cluster AlloyDB per PostgreSQL nella console Google Cloud.

   Vai ai cluster AlloyDB per PostgreSQL

2. Fai clic sul cluster nella colonna Nome risorsa.

3. Nella sezione Istanze nel cluster, fai clic su Modifica per in esecuzione in un'istanza Compute Engine.

4. Fai clic su Opzioni di configurazione avanzate.

5. Nella sezione Flag, imposta il parametro log_error_verbosity flag di database con uno dei seguenti consigliati, in base ai criteri di logging della tua organizzazione.

   • default
   • verbose

6. Fai clic su Aggiorna istanza.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

AlloyDB Public IP

Nome della categoria nell'API: ALLOYDB_PUBLIC_IP

Un'istanza del database AlloyDB per PostgreSQL ha un indirizzo IP pubblico.

Per ridurre la superficie di attacco della tua organizzazione, utilizza indirizzi IP privati anziché pubblici. Gli indirizzi IP privati offrono maggiore sicurezza di rete e minore latenza per l'applicazione.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina dei cluster AlloyDB per PostgreSQL nella console Google Cloud.

   Vai ai cluster AlloyDB per PostgreSQL

2. Nella colonna Nome risorsa, fai clic sul nome del cluster identificati nel risultato.

3. Nella sezione Istanze nel cluster, fai clic su Modifica per in esecuzione in un'istanza Compute Engine.

4. Nella sezione Connettività, deseleziona la casella Abilita IP pubblico.

5. Fai clic su Aggiorna istanza.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

AlloyDB SSL not enforced

Nome della categoria nell'API: ALLOYDB_SSL_NOT_ENFORCED

Un'istanza di database AlloyDB per PostgreSQL non richiede tutte le richieste in entrata per utilizzare SSL.

Per evitare fughe di dati sensibili in transito tramite comunicazioni non criptate, tutte le connessioni in entrata nell'istanza di database AlloyDB devono utilizzare SSL. Impara scopri di più su come configurare SSL/TLS.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina dei cluster AlloyDB per PostgreSQL nella console Google Cloud.

   Vai ai cluster AlloyDB per PostgreSQL

2. Nella colonna Nome risorsa, fai clic sul nome del cluster identificato nel rilevamento.

3. Nella sezione Istanze nel cluster, fai clic su Modifica per l'istanza.

4. Nella sezione Sicurezza di rete, fai clic sulla casella relativa a Richiedi crittografia SSL.

5. Fai clic su Aggiorna istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Admin service account

Nome categoria nell'API: ADMIN_SERVICE_ACCOUNT

Un account di servizio nella tua organizzazione o nel tuo progetto ha i privilegi Amministratore, Proprietario o Editor assegnati. Questi ruoli dispongono di autorizzazioni ampie e non devono essere assegnati agli account di servizio. Per informazioni sugli account di servizio e sui ruoli disponibili, consulta Account di servizio.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina dei criteri IAM nella console Google Cloud.

   Vai al criterio IAM

2. Per ogni entità identificata nel rilevamento:

   1. Fai clic su edit Modifica entità accanto all'entità.
   2. Per rimuovere le autorizzazioni, fai clic su delete Elimina ruolo accanto a il ruolo.
   3. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Alpha cluster enabled

Nome della categoria nell'API: ALPHA_CLUSTER_ENABLED

Le funzionalità dei cluster alpha sono abilitate per un cluster Google Kubernetes Engine (GKE).

I cluster alpha consentono gli early adopter sperimentano con carichi di lavoro che utilizzano nuove funzionalità prima disponibili al pubblico. I cluster alpha dispongono di tutte le API GKE è abilitato, ma non è coperto dall'GKE SLA (accordo sul livello del servizio), non ricevono aggiornamenti della sicurezza, upgrade automatico e riparazione automatica dei nodi sono disabilitati. Non è possibile eseguire l'upgrade. Inoltre, vengono eliminati automaticamente dopo 30 giorni.

Per risolvere il problema, segui questi passaggi:

I cluster alpha non possono essere disattivati. Devi creare un nuovo cluster con alpha disattivate.

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Fai clic su Crea.

3. Seleziona Configura accanto al tipo di cluster che vuoi creare.

4. Nella scheda Funzionalità, assicurati che Abilita le funzionalità alpha di Kubernetes in cluster è disabilitato.

5. Fai clic su Crea.

6. Per spostare i carichi di lavoro nel nuovo cluster, consulta Eseguire la migrazione dei carichi di lavoro su tipi di macchine diversi.

7. Per eliminare il cluster originale, consulta Eliminare un cluster.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

API key APIs unrestricted

Nome della categoria nell'API: API_KEY_APIS_UNRESTRICTED

Alcune chiavi API sono utilizzate in modo troppo ampio.

Le chiavi API senza restrizioni non sono sicure perché è possibile recuperarle da dispositivi su cui la chiave viene archiviata o può essere visualizzata pubblicamente, ad esempio da un browser. In conformità al principio del privilegio minimo, configura le chiavi API in modo da chiamare solo le API richieste dall'applicazione. Per ulteriori informazioni, consulta Applicare limitazioni alle chiavi API.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Chiavi API nella console Google Cloud.

   Vai alle chiavi API

2. Per ogni chiave API:

   1. Nella sezione Chiavi API, fai clic su more_vert Azioni nella riga di ciascuna chiave API per la quale devi limitare le API.
   2. Dal menu Azioni, fai clic su Modifica chiave API. L'opzione Modifica chiave API si apre una pagina.
   3. Nella sezione Restrizioni API, seleziona Limita API. La Viene visualizzato il menu a discesa Seleziona API.
   4. Nell'elenco a discesa Seleziona API, seleziona le API da autorizzare.
   5. Fai clic su Salva. Potrebbero essere necessari fino a cinque minuti prima che le impostazioni diventino effettive.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

API key apps unrestricted

Nome categoria nell'API: API_KEY_APPS_UNRESTRICTED

Esistono chiavi API usate senza limitazioni, che possono essere usate da qualsiasi app non attendibile.

Le chiavi API senza restrizioni non sono sicure perché possono essere recuperate sui dispositivi su in cui la chiave è archiviata o può essere visualizzata pubblicamente, ad esempio dall'interno di un del browser. In conformità al principio del privilegio minimo, limita l'utilizzo delle chiavi API a host, referrer HTTP e app attendibili. Per ulteriori informazioni, consulta Applicare limitazioni alle chiavi API.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Chiavi API nella console Google Cloud.

   Vai alle chiavi API

2. Per ogni chiave API:

   1. Nella sezione Chiavi API, sulla riga di ogni chiave API per la quale devi limitare le applicazioni, fai clic su more_vert Azioni.
   2. Nel menu Azioni, fai clic su Modifica chiave API. L'opzione Modifica chiave API si apre una pagina.
   3. Nella pagina Modifica chiave API, in Limitazioni delle applicazioni, seleziona una categoria di restrizione. Puoi impostare un'applicazione limitazione per chiave.
   4. Nel campo Aggiungi un elemento che viene visualizzato quando selezioni una restrizione, fai clic su Aggiungi un articolo per aggiungere limitazioni in base alle esigenze del tuo un'applicazione.
   5. Al termine dell'aggiunta degli elementi, fai clic su Fine.
   6. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

API key exists

Nome della categoria nell'API: API_KEY_EXISTS

Un progetto utilizza chiavi API invece dell'autenticazione standard.

Le chiavi API sono meno sicure di altri metodi di autenticazione perché semplici stringhe criptate e facili da trovare e usare per gli altri. Possono essere recuperata su dispositivi su cui la chiave è archiviata o può essere visualizzata pubblicamente, ad da un browser. Inoltre, le chiavi API non identificano in modo univoco gli utenti o applicazioni che effettuano richieste. In alternativa, puoi utilizzare un modello di autenticazione, con account di servizio o account utente.

Per correggere questo risultato, completa i seguenti passaggi:

1. Assicurati che le tue applicazioni siano configurate con una forma di autenticazione alternativa.

2. Vai alla pagina Credenziali API nella console Google Cloud.

   Vai a Credenziali API

3. Nella sezione Chiavi API della riga di ciascuna chiave API che devi eliminare, fai clic su more_vert Azioni.

4. Nel menu Azioni, fai clic su Elimina chiave API.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

API key not rotated

Nome categoria nell'API: API_KEY_NOT_ROTATED

Una chiave API non è stata ruotata per più di 90 giorni.

Le chiavi API non scadono, per cui una chiave trafugata potrebbe essere utilizzata per un tempo illimitato a meno che il proprietario del progetto non esegua la revoca o la rotazione. Rigenerazione chiavi API spesso riduce la quantità di tempo in cui una chiave API rubata può essere utilizzata Accedere ai dati di un account compromesso o chiuso. Ruota le chiavi API almeno ogni 90 giorni. Per ulteriori informazioni, consulta Best practice per la gestione delle chiavi API.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Chiavi API nella console Google Cloud.

   Vai alle chiavi API

2. Per ogni chiave API:

   1. Nella sezione Chiavi API, sulla riga di ogni chiave API necessaria Per ruotare, fai clic su more_vert Azioni.
   2. Nel menu Azioni, fai clic su Modifica chiave API. Viene visualizzata la pagina Modifica chiave API.
   3. Nella pagina Modifica chiave API, se la data nel campo Data di creazione è precedente a 90 giorni, fai clic su refresh Rigenera chiave. Viene generata una nuova chiave.
   4. Fai clic su Salva.
   5. Per assicurarti che le tue applicazioni continuino a funzionare senza interruzioni, aggiornale per utilizzare la nuova chiave API. La vecchia chiave API funziona per 24 ore prima di diventare disattivato definitivamente.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Audit config not monitored

Nome della categoria nell'API: AUDIT_CONFIG_NOT_MONITORED

Le metriche e gli avvisi dei log non sono configurati per monitorare le modifiche alla configurazione di controllo.

Cloud Logging produce log delle attività di amministrazione e degli accessi ai dati che abilitano analisi della sicurezza, monitoraggio delle modifiche delle risorse e controllo di conformità. Di alla configurazione dell'audit di monitoraggio, ti assicuri che tutte le attività possono essere controllati in qualsiasi momento. Per ulteriori informazioni, consulta Panoramica delle metriche basate su log.

A seconda della quantità di informazioni, i costi di Cloud Monitoring possono essere significativi. Per comprendere l'utilizzo del servizio e i relativi costi, consulta Ottimizzare i costi: operazioni cloud.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Per risolvere il problema, crea metriche, se necessario, e criteri di avviso:

Crea metrica

1. Vai alla pagina Metriche basate su log nella console Google Cloud.

   Vai a Metriche basate su log

2. Fai clic su Crea metrica.

3. In Tipo di metrica, seleziona Contatore.

4. In Dettagli:

   1. Imposta un Nome metrica di log.
   2. Aggiungi una descrizione.
   3. Imposta Unità su 1.

5. In Selezione filtro, copia e incolla il seguente testo nel Crea filtro, sostituendo il testo esistente, se necessario:

     protoPayload.methodName="SetIamPolicy"
     AND protoPayload.serviceData.policyDelta.auditConfigDeltas:*

6. Fai clic su Crea metrica. Viene visualizzata una conferma.

Crea criterio di avviso

1. Nella console Google Cloud, vai alla pagina Metriche basate su log:

   Vai a Metriche basate su log

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

2. Nella sezione Metriche definite dall'utente, seleziona la metrica che hai creato nella sezione precedente.

3. Fai clic su Altro more_vert, quindi Fai clic su Crea avviso da metrica.

   Viene visualizzata la finestra di dialogo Nuova condizione con le opzioni di trasformazione dei dati e delle metriche precompilate.

4. Fai clic su Avanti.
   1. Rivedi le impostazioni precompilate. Ti consigliamo di modificare il valore soglia.
   2. Fai clic su Nome condizione e inserisci un nome per la condizione.
5. Fai clic su Avanti.

6. Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona una o più notifiche canali dal menu, quindi fai clic su OK.

   Per ricevere una notifica quando gli incidenti vengono aperti e chiusi, seleziona Invia una notifica alla chiusura dell'incidente. Per impostazione predefinita, le notifiche vengono inviate solo quando vengono aperti gli incidenti.

7. (Facoltativo) Aggiorna la Durata chiusura automatica incidenti. Questo campo determina quando Monitoring chiude gli incidenti in assenza di dati delle metriche.
8. (Facoltativo) Fai clic su Documentazione e aggiungi tutte le informazioni che vuoi includere in un messaggio di notifica.
9. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
10. Fai clic su Crea criterio.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Audit logging disabled

Nome categoria nell'API: AUDIT_LOGGING_DISABLED

Questo risultato non è disponibile per le attivazioni a livello di progetto.

La registrazione degli audit è disattivata per uno o più servizi Google Cloud oppure uno o più principali sono esenti dalla registrazione degli audit di accesso ai dati.

Abilita Cloud Logging per tutti i servizi per tenere traccia di tutte le attività di amministrazione, leggi e l'accesso in scrittura ai dati utente. A seconda della quantità di informazioni, i costi di Cloud Logging possono essere significativi. Per comprendere l'utilizzo del servizio e i relativi costi, vedi Ottimizzazione dei costi: operazioni cloud.

Se alcune entità sono esenti dall'audit logging dell'accesso ai dati su la configurazione predefinita degli audit log di accesso ai dati configurazioni per i singoli servizi, rimuovi l'esenzione.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Configurazione predefinita degli audit log di accesso ai dati nella console Google Cloud.

   Vai alla configurazione predefinita

2. Nella scheda Tipi di log, attiva la registrazione degli audit log di accesso ai dati nella configurazione predefinita:

   1. Seleziona Lettura amministratore, Lettura dati e Scrittura dati.
   2. Fai clic su Salva.

3. Nella scheda Entità esenti, rimuovi tutti gli utenti esenti dal configurazione predefinita:

   1. Rimuovi ogni entità elencata facendo clic su delete Elimina accanto a ciascun nome.
   2. Fai clic su Salva.

4. Vai alla pagina Audit log.

   Vai ai log di controllo

5. Rimuovi tutte le entità esenti dalle configurazioni degli audit log di accesso ai dati dei singoli servizi.

   1. In Configurazione degli audit log di accesso ai dati, per ogni servizio che mostra un'entità esente, fai clic sul servizio. Si apre un riquadro di configurazione dell'audit log per il servizio.
   2. Nella scheda Enti esenti, rimuovi tutte le entità esenti facendo clic su delete Elimina accanto a ciascun nome.
   3. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Auto backup disabled

Nome della categoria nell'API: AUTO_BACKUP_DISABLED

Per un database Cloud SQL non sono abilitati i backup automatici.

Per evitare perdite di dati, attiva i backup automatici per le istanze SQL. Per maggiori informazioni informazioni, consulta Creare e gestire backup on demand e automatici.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina relativa ai backup delle istanze SQL nella console Google Cloud.

   Vai ai backup delle istanze SQL

2. Accanto a Impostazioni, fai clic su edit Modifica.

3. Seleziona la casella Backup automatici.

4. Nel menu a discesa, scegli un intervallo di tempo per il backup automatico dei tuoi dati.

5. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Auto repair disabled

Nome categoria nell'API: AUTO_REPAIR_DISABLED

La funzionalità di riparazione automatica di un cluster Google Kubernetes Engine (GKE), che mantiene i nodi in uno stato di esecuzione e integro, è disattivata.

Se abiliti questa funzionalità, GKE esegue controlli periodici dello stato di integrità di ciascun nodo nel tuo cluster. Se un nodo non supera controlli di integrità consecutivi per un periodo di tempo prolungato, GKE avvia un processo di riparazione per quel nodo. Per ulteriori informazioni, consulta Riparazione automatica dei nodi.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Fai clic sulla scheda Nodi.

3. Per ogni pool di nodi:

   1. Fai clic sul nome del pool di nodi per passare alla pagina dei dettagli corrispondente.
   2. Fai clic su edit Modifica.
   3. In Gestione, seleziona Abilita riparazione automatica.
   4. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Auto upgrade disabled

Nome della categoria nell'API: AUTO_UPGRADE_DISABLED

La funzionalità di upgrade automatico di un cluster GKE, che mantiene i cluster pool di nodi nell'ultima versione stabile di Kubernetes.

Per ulteriori informazioni, consulta Eseguire l'upgrade automatico dei nodi.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Nell'elenco dei cluster, fai clic sul nome del cluster.

3. Fai clic sulla scheda Nodi.

4. Per ogni pool di nodi:

   1. Fai clic sul nome del pool di nodi per passare alla pagina dei dettagli corrispondente.
   2. Fai clic su edit Modifica.
   3. In Gestione, seleziona Abilita upgrade automatico.
   4. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

BigQuery table CMEK disabled

Nome categoria nell'API: BIGQUERY_TABLE_CMEK_DISABLED

Una tabella BigQuery non è configurata per utilizzare una chiave di crittografia gestita dal cliente (CMEK).

Con CMEK, le chiavi che crei e gestisci in Cloud KMS eseguono il wrapping delle chiavi che Google Cloud utilizza per criptare i tuoi dati, offrendoti un maggiore controllo l'accesso ai dati. Per ulteriori informazioni, consulta la sezione Protezione dei dati con Chiavi Cloud KMS.

Per risolvere il problema, segui questi passaggi:

1. Crea una tabella protetta da Cloud Key Management Service.
2. Copia la tabella nella nuova tabella abilitata per CMEK.
3. Elimina la tabella originale.

Per impostare una chiave CMEK predefinita che cripta tutte le nuove tabelle in un set di dati, consulta Impostare una chiave predefinita per un set di dati.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Binary authorization disabled

Nome categoria nell'API: BINARY_AUTHORIZATION_DISABLED

L'autorizzazione binaria è disattivata su un cluster GKE.

Autorizzazione binaria include una funzionalità facoltativa che protegge la sicurezza della catena di approvvigionamento consentendo il deployment nel cluster solo di immagini container firmate da autorità attendibili durante il processo di sviluppo. Se imposti il deployment basato su firme, puoi controllare più strettamente l'ambiente dei container, garantendo che sia consentito il deployment solo di immagini verificate.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Nella sezione Sicurezza, fai clic su edit Modifica nella Riga Autorizzazione binaria.

   Se la configurazione del cluster è stata modificata di recente, il pulsante di modifica potrebbe essere disabilitato. Se non riesci a modificare le impostazioni del cluster, attendi alcuni minuti e riprova.

3. Nella finestra di dialogo, seleziona Attiva Autorizzazione binaria.

4. Fai clic su Salva modifiche.

5. Vai alla pagina di configurazione di Autorizzazione binaria.

   Vai ad Autorizzazione binaria

6. Assicurati che sia configurato un criterio che richiede attestatori e che la regola predefinita del progetto non sia configurata su Consenti tutte le immagini. Per saperne di più, consulta Configurazione per GKE.

   Per garantire che il deployment delle immagini che violano il criterio sia consentito vengono registrate in Cloud Audit Logs, puoi abilitare la modalità di prova .

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Bucket CMEK disabled

Nome categoria nell'API: BUCKET_CMEK_DISABLED

Un bucket non è criptato con chiavi di crittografia gestite dal cliente (CMEK).

L'impostazione di una chiave CMEK predefinita in un bucket offre un maggiore controllo sull'accesso ai tuoi dati. Per saperne di più, vedi Chiavi di crittografia gestite dal cliente.

Per correggere questo risultato, usa CMEK con un bucket seguendo gestite dal cliente. Le chiavi CMEK comportano costi aggiuntivi relativi a Cloud KMS.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Bucket IAM not monitored

Nome della categoria nell'API: BUCKET_IAM_NOT_MONITORED

Le metriche e gli avvisi dei log non sono configurati per monitorare le modifiche alle autorizzazioni IAM di Cloud Storage.

Il monitoraggio delle modifiche alle autorizzazioni dei bucket Cloud Storage ti consente di identificare utenti con privilegi in eccesso o attività sospette. Per ulteriori informazioni, consulta Panoramica delle metriche basate su log.

A seconda della quantità di informazioni, i costi di Cloud Monitoring possono essere significativi. Per comprendere l'utilizzo del servizio e i relativi costi, consulta Ottimizzare i costi: operazioni cloud.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

Crea metrica

1. Vai alla pagina Metriche basate su log nella console Google Cloud.

   Vai a Metriche basate su log

2. Fai clic su Crea metrica.

3. In Tipo di metrica, seleziona Contatore.

4. In Dettagli:

   1. Imposta un Nome metrica di log.
   2. Aggiungi una descrizione.
   3. Imposta Unità su 1.

5. In Selezione filtro, copia e incolla il seguente testo nel Crea filtro, sostituendo il testo esistente, se necessario:

     resource.type=gcs_bucket
     AND protoPayload.methodName="storage.setIamPermissions"

6. Fai clic su Crea metrica. Viene visualizzata una conferma.

Crea criterio di avviso

1. Nella console Google Cloud, vai alla pagina Metriche basate su log:

   Vai a Metriche basate su log

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

2. Nella sezione Metriche definite dall'utente, seleziona la metrica che hai creato nella sezione precedente.

3. Fai clic su Altro more_vert, quindi Fai clic su Crea avviso da metrica.

   Viene visualizzata la finestra di dialogo Nuova condizione con le opzioni di trasformazione dei dati e delle metriche precompilate.

4. Fai clic su Avanti.
   1. Rivedi le impostazioni precompilate. Ti consigliamo di modificare il valore soglia.
   2. Fai clic su Nome condizione e inserisci un nome per la condizione.
5. Fai clic su Avanti.

6. Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona una o più notifiche canali dal menu, quindi fai clic su OK.

   Per ricevere una notifica quando gli incidenti vengono aperti e chiusi, seleziona Invia una notifica alla chiusura dell'incidente. Per impostazione predefinita, le notifiche vengono inviate solo quando vengono aperti gli incidenti.

7. (Facoltativo) Aggiorna la Durata chiusura automatica incidenti. Questo campo determina quando Monitoring chiude gli incidenti in assenza di dati delle metriche.
8. (Facoltativo) Fai clic su Documentazione e aggiungi tutte le informazioni che vuoi includere in un messaggio di notifica.
9. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
10. Fai clic su Crea criterio.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Bucket logging disabled

Nome categoria nell'API: BUCKET_LOGGING_DISABLED

Esiste un bucket di archiviazione senza il logging abilitato.

Per semplificare l'analisi dei problemi di sicurezza e monitorare il consumo dello spazio di archiviazione, abilita di accesso ai log e alle informazioni sull'archiviazione dei bucket Cloud Storage. I log di accesso forniscono informazioni per tutte le richieste effettuate su un bucket specificato e i log di archiviazione forniscono informazioni sul consumo dello spazio di archiviazione di sincronizzare la directory di una VM con un bucket.

Per correggere questo risultato, configura il logging per il bucket indicato dal Security Health Analytics completando i log di utilizzo e log di archiviazione.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Bucket policy only disabled

Nome della categoria nell'API: BUCKET_POLICY_ONLY_DISABLED

L'accesso uniforme a livello di bucket, precedentemente denominato Solo criterio bucket, configurato.

L'accesso uniforme a livello di bucket semplifica il controllo dell'accesso ai bucket disabilitando autorizzazioni a livello di oggetto (ACL). Quando sono attive, soltanto le autorizzazioni IAM a livello di bucket garantiscono l'accesso al bucket e agli oggetti che contiene. Per saperne di più, consulta Accesso uniforme a livello di bucket.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Browser Cloud Storage nella console Google Cloud.

   Vai a Browser Cloud Storage.

2. Nell'elenco dei bucket, fai clic sul nome del bucket che ti interessa.

3. Fai clic sulla scheda Configuration (Configurazione).

4. In Autorizzazioni, nella riga relativa a Controllo dell'accesso, fai clic su edit Modifica modello di controllo dell'accesso.

5. Nella finestra di dialogo, seleziona Uniforme.

6. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Cloud Asset API disabled

Nome categoria nell'API: CLOUD_ASSET_API_DISABLED

Il servizio Cloud Asset Inventory non è abilitato per il progetto.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Libreria API nella console Google Cloud.

   Vai alla libreria API

2. Cerca Cloud Asset Inventory.

3. Seleziona il risultato per il servizio API Cloud Asset.

4. Assicurati che sia visualizzata l'opzione API abilitata.

Cluster logging disabled

Nome categoria nell'API: CLUSTER_LOGGING_DISABLED

Il logging non è abilitato per un cluster GKE.

Per facilitare l'analisi dei problemi di sicurezza e il monitoraggio dell'utilizzo, abilitare Cloud Logging sui tuoi cluster.

A seconda della quantità di informazioni, i costi di Cloud Logging possono essere significativi. Per comprendere il tuo utilizzo del servizio e il relativo costo, consulta Ottimizzare i costi: operazioni cloud.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Seleziona il cluster elencato nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

   Se la configurazione del cluster è stata modificata di recente, il pulsante di modifica potrebbe essere disabilitato. Se non riesci a modificare le impostazioni del cluster, attendi alcuni minuti e riprova.

4. Nell'elenco a discesa Stackdriver Logging legacy o Stackdriver Kubernetes Engine monitoring, seleziona Abilitato.

   Queste opzioni non sono compatibili. Assicurati di utilizzare Stackdriver Kubernetes Engine Monitoring da solo o Stackdriver Logging legacy con Stackdriver Monitoring legacy.

5. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Cluster monitoring disabled

Nome categoria nell'API: CLUSTER_MONITORING_DISABLED

Il monitoraggio è disabilitato sui cluster GKE.

Per facilitare l'analisi dei problemi di sicurezza e il monitoraggio dell'utilizzo, attiva Cloud Monitoring sui tuoi cluster.

A seconda della quantità di informazioni, i costi di Cloud Monitoring possono essere significativi. A capire l'utilizzo del servizio e i suoi costi, vedi Ottimizzazione dei costi: operazioni cloud.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Seleziona il cluster elencato nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

   Se la configurazione del cluster è stata modificata di recente, il pulsante di modifica potrebbe essere disattivata. Se non riesci a modificare le impostazioni del cluster, attendi qualche minuto e riprova.

4. In Stackdriver Monitoring legacy o in Stackdriver Kubernetes Engine Monitoraggio, seleziona Abilitato.

   Queste opzioni non sono compatibili. Assicurati di utilizzare Stackdriver Kubernetes Engine Monitoring da solo o Stackdriver Monitoring legacy con Stackdriver Logging legacy.

5. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Cluster private Google access disabled

Nome della categoria nell'API: CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED

Gli host del cluster non sono configurati per utilizzare solo indirizzi IP interni privati per accedere alle API di Google.

L'accesso privato Google abilita le istanze di macchine virtuali (VM) con criteri gli indirizzi IP interni per raggiungere gli indirizzi IP pubblici delle API di Google i servizi di machine learning. Per ulteriori informazioni, consulta Configurare l'accesso privato Google.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Reti Virtual Private Cloud nella console Google Cloud.

   Vai a Reti VPC

2. Nell'elenco delle reti, fai clic sul nome della rete desiderata.

3. Nella pagina Dettagli rete VPC, fai clic sulla scheda Subnet.

4. Nell'elenco delle subnet, fai clic sul nome della subnet associata al Kubernetes nel risultato.

5. Nella pagina Dettagli subnet, fai clic su edit Modifica.

6. In Accesso privato Google, seleziona On.

7. Fai clic su Salva.

8. Per rimuovere gli IP pubblici (esterni) dalle istanze VM il cui il traffico è indirizzato alle API di Google. Consulta l'articolo Annullamento dell'assegnazione di un indirizzo IP esterno statico.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Cluster secrets encryption disabled

Nome categoria nell'API: CLUSTER_SECRETS_ENCRYPTION_DISABLED

La crittografia dei secret a livello di applicazione è disattivata su un cluster GKE.

La crittografia dei secret a livello di applicazione garantisce che GKE vengono criptati usando chiavi Cloud KMS. La funzionalità fornisce un un livello aggiuntivo di sicurezza per i dati sensibili, come i secret definiti dall'utente e i secret richiesti per il funzionamento del cluster, ad esempio l'account di servizio che sono tutte memorizzate in etcd.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Chiavi Cloud KMS nella console Google Cloud.

   Vai alle chiavi Cloud KMS

2. Controlla le chiavi delle tue applicazioni o crea una chiave di crittografia del database (DEK). Per maggiori informazioni, consulta la sezione Creare una chiave Cloud KMS.

3. Vai alla pagina Cluster Kubernetes.

   Vai ai cluster Kubernetes

4. Seleziona il cluster nel risultato.

5. In Sicurezza, nel campo Crittografia dei secret a livello di applicazione, Fai clic su edit Edit Application Secrets Encryption (Modifica crittografia dei secret a livello di applicazione).

6. Seleziona la casella di controllo Abilita la crittografia dei secret a livello di applicazione e quindi scegli la DEK che hai creato.

7. Fai clic su Salva modifiche.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Cluster shielded nodes disabled

Nome categoria nell'API: CLUSTER_SHIELDED_NODES_DISABLED

I nodi GKE schermati non sono abilitati per un cluster.

Senza nodi GKE protetti, gli utenti malintenzionati possono sfruttare una vulnerabilità in un pod per esfiltrare le credenziali di bootstrap e simulare l'identità dei nodi nel cluster. La vulnerabilità può concedere agli utenti malintenzionati l'accesso ai secret del cluster.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Seleziona il cluster nel rilevamento.

3. In Sicurezza, nel campo Nodi GKE schermati, fai clic su edit Modifica nodi GKE schermati.

4. Seleziona la casella di controllo Abilita Shielded GKE Nodes.

5. Fai clic su Salva modifiche.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Compute project wide SSH keys allowed

Nome categoria nell'API: COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

Vengono utilizzate chiavi SSH a livello di progetto, che consentono l'accesso a tutte le istanze del progetto.

L'utilizzo di chiavi SSH a livello di progetto semplifica la gestione delle chiavi SSH ma, se compromesse, pone un rischio per la sicurezza che può interessare tutte le istanze di un progetto. Devi utilizzare chiavi SSH specifiche dell'istanza, che limitano la superficie di attacco se le chiavi SSH sono compromesse. Per saperne di più, consulta la sezione Gestire le chiavi SSH nei metadati.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Nell'elenco delle istanze, fai clic sul nome dell'istanza nel risultato.

3. Nella pagina Dettagli istanza VM, fai clic su edit Modifica.

4. In Chiavi SSH, seleziona Chiavi SSH di blocco a livello di progetto.

5. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Compute Secure Boot disabled

Nome categoria nell'API: COMPUTE_SECURE_BOOT_DISABLED

Avvio protetto non abilitato per una Shielded VM.

L'uso dell'avvio protetto aiuta a proteggere le tue macchine virtuali da rootkit e bootkit. Compute Engine non abilita Avvio protetto per impostazione predefinita i driver non firmati e il software di basso livello non sono compatibili. Se la tua VM non utilizza software incompatibile e si avvia con l'avvio protetto abilitato, Google consiglia di utilizzare l'avvio protetto. Se utilizzi moduli di terze parti con driver Nvidia, assicurati che siano compatibili con Avvio protetto prima di abilitarlo.

Per maggiori informazioni, vedi Avvio protetto.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Nell'elenco delle istanze, fai clic sul nome dell'istanza nel risultato.

3. Nella pagina Dettagli istanza VM, fai clic su stop Arresta.

4. Dopo l'arresto dell'istanza, fai clic su edit Modifica.

5. In Shielded VM, seleziona Attiva Avvio protetto.

6. Fai clic su Salva.

7. Fai clic su play_arrow Avvia per avviare l'istanza.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Compute serial ports enabled

Nome della categoria nell'API: COMPUTE_SERIAL_PORTS_ENABLED

Le porte seriali sono abilitate per un'istanza, consentendo le connessioni alla console seriale dell'istanza.

Se abiliti la console seriale interattiva su un'istanza, i client possono tentare di connettersi a questa istanza da qualsiasi indirizzo IP. Pertanto, i modelli seriali interattivi il supporto della console deve essere disattivato. Per scoprire di più, consulta la sezione Attivare l'accesso per un progetto.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Nell'elenco delle istanze, fai clic sul nome dell'istanza nel rilevamento.

3. Nella pagina Dettagli istanza VM, fai clic su edit Modifica.

4. In Accesso remoto, deseleziona Abilita connessione alle porte seriali.

5. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Confidential Computing disabled

Nome della categoria nell'API: CONFIDENTIAL_COMPUTING_DISABLED

In un'istanza Compute Engine non è abilitato Confidential Computing.

Confidential Computing aggiunge un terzo pilastro all'intero processo della crittografia end-to-end mediante la crittografia dei dati in uso. Con gli ambienti di esecuzione riservati fornite da Confidential Computing e AMD Secure Encrypted Virtualization (SEV), Google Cloud mantiene criptati il codice sensibile e altri dati in di memoria durante l'elaborazione.

Confidential Computing può essere abilitato solo quando viene creata un'istanza. Pertanto, devi eliminare l'istanza corrente e crearne una nuova.

Per ulteriori informazioni, consulta VM riservate e Compute Engine.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Nell'elenco delle istanze, fai clic sul nome dell'istanza nel risultato.

3. Nella pagina Dettagli istanza VM, fai clic su delete Elimina.

4. Crea una Confidential VM mediante la console Google Cloud.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

COS not used

Nome della categoria nell'API: COS_NOT_USED

Le VM Compute Engine non utilizzano Container-Optimized OS, che è progettato per eseguire container Docker su Google Cloud in modo sicuro.

Container-Optimized OS è il sistema operativo consigliato da Google per ospitare ed eseguire container su Google Cloud. Le dimensioni ridotte di OS minimizzano i rischi per la sicurezza e, allo stesso tempo, gli aggiornamenti automatici applicano patch alle vulnerabilità di sicurezza con tempestività. Per ulteriori informazioni, consulta la Panoramica di Container-Optimized OS.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Nell'elenco dei cluster, fai clic sul nome del cluster nel risultato.

3. Fai clic sulla scheda Nodi.

4. Per ogni pool di nodi:

   1. Fai clic sul nome del pool di nodi per passare alla relativa pagina dei dettagli.
   2. Fai clic su edit Modifica .
   3. In Nodi -> Tipo di immagine, fai clic su Modifica.
   4. Seleziona Container-Optimized OS e poi fai clic su Modifica.
   5. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Custom role not monitored

Nome categoria nell'API: CUSTOM_ROLE_NOT_MONITORED

Le metriche di log e gli avvisi non sono configurati per monitorare le modifiche ai ruoli personalizzati.

IAM fornisce ruoli predefiniti e personalizzati che consentono l'accesso a specifiche risorse Google Cloud. Monitorando la creazione, l'eliminazione e aggiornare le attività, puoi identificare i ruoli con privilegi in eccesso nelle fasi iniziali. Per saperne di più, consulta Panoramica delle metriche basate su log.

A seconda della quantità di informazioni, i costi di Cloud Monitoring possono essere significativi. A capire l'utilizzo del servizio e i suoi costi, vedi Ottimizzazione dei costi: operazioni cloud.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

Crea metrica

1. Vai alla pagina Metriche basate su log nella console Google Cloud.

   Vai a Metriche basate su log

2. Fai clic su Crea metrica.

3. In Tipo di metrica, seleziona Contatore.

4. In Dettagli:

   1. Imposta un Nome metrica di log.
   2. Aggiungi una descrizione.
   3. Imposta Unità su 1.

5. In Selezione filtro, copia e incolla il seguente testo nel Crea filtro, sostituendo il testo esistente, se necessario:

     resource.type="iam_role"
     AND (protoPayload.methodName="google.iam.admin.v1.CreateRole"
     OR protoPayload.methodName="google.iam.admin.v1.DeleteRole"
     OR protoPayload.methodName="google.iam.admin.v1.UpdateRole")

6. Fai clic su Crea metrica. Viene visualizzata una conferma.

Crea criterio di avviso

1. Nella console Google Cloud, vai alla pagina Metriche basate su log:

   Vai a Metriche basate su log

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

2. Nella sezione Metriche definite dall'utente, seleziona la metrica che hai creato nella sezione precedente.

3. Fai clic su Altro more_vert, quindi Fai clic su Crea avviso da metrica.

   Viene visualizzata la finestra di dialogo Nuova condizione con le opzioni di trasformazione dei dati e delle metriche precompilate.

4. Fai clic su Avanti.
   1. Rivedi le impostazioni precompilate. Ti consigliamo di modificare il valore soglia.
   2. Fai clic su Nome condizione e inserisci un nome per la condizione.
5. Fai clic su Avanti.

6. Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona una o più notifiche canali dal menu, quindi fai clic su OK.

   Per ricevere una notifica quando gli incidenti vengono aperti e chiusi, seleziona Invia una notifica alla chiusura dell'incidente. Per impostazione predefinita, le notifiche vengono inviate solo quando vengono aperti gli incidenti.

7. (Facoltativo) Aggiorna la Durata chiusura automatica incidenti. Questo campo determina quando Monitoring chiude gli incidenti in assenza di dati delle metriche.
8. (Facoltativo) Fai clic su Documentazione e aggiungi tutte le informazioni che vuoi includere in un messaggio di notifica.
9. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
10. Fai clic su Crea criterio.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Dataproc CMEK disabled

Nome della categoria nell'API: DATAPROC_CMEK_DISABLED

È stato creato un cluster Dataproc senza crittografia per configurare una CMEK. Con CMEK, le chiavi che crei e gestisci in Cloud Key Management Service eseguire il wrapping delle chiavi che Google Cloud utilizza per criptare i dati, fornendoti maggiori controllo sull'accesso ai dati.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Cluster Dataproc nella console Google Cloud.

   Vai ai cluster Dataproc

2. Seleziona il progetto e fai clic su Crea cluster.

3. Nella sezione Gestisci sicurezza, fai clic su Crittografia e seleziona Chiave gestita dal cliente.

4. Seleziona una chiave gestita dal cliente dall'elenco.

   Se non disponi di una chiave gestita dal cliente, devi crearne una da utilizzare. Per maggiori informazioni per ulteriori informazioni, consulta l'articolo Chiavi di crittografia gestite dal cliente.

5. Assicurati che la chiave KMS selezionata disponga della CryptoKey Cloud KMS Criptatore/decrittografia assegnare il ruolo all'account di servizio del cluster Dataproc ("serviceAccount:[email protected]").

6. Una volta creato il cluster, esegui la migrazione di tutti i carichi di lavoro dal cluster precedente a quello nuovo.

7. Vai ai cluster Dataproc e seleziona il tuo progetto.

8. Seleziona il cluster precedente e fai clic su delete Elimina cluster.

9. Ripeti tutti i passaggi precedenti per gli altri cluster Dataproc disponibili nel progetto selezionato.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Dataproc image outdated

Nome categoria nell'API: DATAPROC_IMAGE_OUTDATED

È stato creato un cluster Dataproc utilizzando una versione dell'immagine Dataproc soggetta a vulnerabilità di sicurezza nell'utilità Apache Log4j 2 (CVE-2021-44228 e CVE-2021-45046).

Questo rilevatore individua le vulnerabilità controllando se il campo softwareConfig.imageVersion nella proprietà config di un Cluster presenta una delle seguenti versioni interessate:

• Versioni di immagini precedenti alla 1.3.95.
• Versioni di immagini secondarie precedenti a 1.4.77, 1.5.53 e 2.0.27.

Il numero di versione di un'immagine Dataproc personalizzata può essere manualmente. Considera i seguenti scenari:

• È possibile modificare la versione di un per farla sembrare inalterata. In questo caso, il rilevatore non genera un rilevamento.
• È possibile eseguire l'override della versione di un'immagine personalizzata non interessata con una che è noto per avere la vulnerabilità. In questo caso, il rilevatore emette un falso un risultato positivo. Per eliminare questi falsi positivi, puoi disattivali.

Per risolvere il problema, ricrea e aggiorna il cluster interessato.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Dataset CMEK disabled

Nome della categoria nell'API: DATASET_CMEK_DISABLED

Un set di dati BigQuery non è configurato per utilizzare una chiave di crittografia gestita dal cliente (CMEK) predefinita.

Con CMEK, le chiavi che crei e gestisci in Cloud KMS eseguono il wrapping delle chiavi che Google Cloud utilizza per criptare i tuoi dati, offrendoti un maggiore controllo l'accesso ai dati. Per saperne di più, consulta Protezione dei dati con le chiavi Cloud KMS.

Per correggere questo risultato, completa i seguenti passaggi:

Non puoi passare dalla crittografia predefinita a CMEK e passare da una tabella attiva all'altra la crittografia. Per impostare una chiave CMEK predefinita con cui criptare tutte le nuove tabelle in Segui le istruzioni per impostare una chiave predefinita del set di dati.

L'impostazione di una chiave predefinita non ricripterà retroattivamente le tabelle attualmente nel con una nuova chiave. Per utilizzare CMEK per i dati esistenti:

1. Crea un nuovo set di dati.
2. Imposta una chiave CMEK predefinita sul set di dati che hai creato.
3. Per copiare le tabelle nel set di dati abilitato per CMEK, segui le istruzioni per Copia di una tabella.
4. Dopo aver copiato i dati, elimina i set di dati originali.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Default network

Nome della categoria nell'API: DEFAULT_NETWORK

La rete predefinita esiste in un progetto.

Le reti predefinite hanno creato automaticamente regole firewall e che potrebbero non essere sicure. Per ulteriori informazioni, consulta la sezione Rete predefinita.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Reti VPC nella console Google Cloud.

   Vai alle reti VPC

2. Nell'elenco delle reti, fai clic sul nome della rete predefinita.

3. Nella pagina Dettagli rete VPC, fai clic su delete Elimina VPC. Google Cloud.

4. Per creare una nuova rete con regole firewall personalizzate, consulta la sezione sulla creazione di reti.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Default service account used

Nome della categoria nell'API: DEFAULT_SERVICE_ACCOUNT_USED

Un'istanza Compute Engine è configurata per utilizzare l'account di servizio predefinito.

L'account di servizio predefinito di Compute Engine ha il ruolo Editor nella che consente l'accesso in lettura e scrittura alla maggior parte dei servizi Google Cloud. Per difenderti da escalation dei privilegi e accessi non autorizzati, non utilizzare l'account di servizio predefinito di Compute Engine. Crea invece un nuovo l'account di servizio e assegna solo le autorizzazioni necessarie per la tua istanza. Letto Controllo dell'accesso per informazioni su ruoli autorizzazioni aggiuntive.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Seleziona l'istanza relativa al risultato di Security Health Analytics.

3. Nella pagina Dettagli istanza visualizzata, fai clic su stop Interrompi.

4. Dopo l'arresto dell'istanza, fai clic su edit Modifica.

5. Nella sezione Account di servizio, seleziona un account di servizio diverso da quello predefinito di Compute Engine. Prima potrebbe essere necessario creare un nuovo account di servizio. Per informazioni su ruoli e autorizzazioni IAM, consulta Controllo dell'accesso.

6. Fai clic su Salva. La nuova configurazione viene visualizzata in Dettagli istanza .

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Disk CMEK disabled

Nome categoria nell'API: DISK_CMEK_DISABLED

I dischi di questa VM non sono criptati con chiavi di crittografia gestite dal cliente (CMEK).

Con CMEK, le chiavi che crei e gestisci in Cloud KMS eseguono il wrapping delle chiavi che Google Cloud utilizza per criptare i tuoi dati, offrendoti un maggiore controllo sull'accesso ai tuoi dati. Per ulteriori informazioni, consulta Protezione delle risorse con Cloud KMS Chiavi.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Dischi Compute Engine nella console Google Cloud.

   Vai ai dischi di Compute Engine

2. Nell'elenco dei dischi, fai clic sul nome del disco indicato nel risultato.

3. Nella pagina Gestisci disco, fai clic su delete Elimina.

4. Per creare un nuovo disco con CMEK abilitata, consulta Crittografare un nuovo disco permanente con le tue chiavi. CMEK comporta costi aggiuntivi correlati a Cloud KMS.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Disk CSEK disabled

Nome categoria nell'API: DISK_CSEK_DISABLED

I dischi in questa VM non sono criptati con chiavi di crittografia fornite dal cliente (CSEK). I dischi delle VM critiche devono essere criptati con CSEK.

Se fornisci le tue chiavi di crittografia, Compute Engine le utilizza per proteggere le chiavi generate da Google utilizzate per criptare e decriptare i tuoi dati. Per maggiori informazioni, consulta Chiavi di crittografia fornite dal cliente. Le chiavi CSEK comportano costi aggiuntivi relativi a Cloud KMS.

Per risolvere il problema, segui questi passaggi:

Elimina e crea disco

Puoi criptare solo nuovi dischi permanenti con la tua chiave. Non puoi criptare i dischi permanenti esistenti con la tua chiave.

1. Vai alla pagina Dischi Compute Engine nel nella console Google Cloud.

   Vai ai dischi Compute Engine

2. Nell'elenco dei dischi, fai clic sul nome del disco indicato nel risultato.

3. Nella pagina Gestisci disco, fai clic su delete Elimina.

4. Per creare un nuovo disco con CSEK abilitata, consulta Criptare i dischi con applicazioni chiavi di crittografia fornite.

5. Completa i passaggi rimanenti per attivare il rilevatore.

Attiva il rilevatore

1. Vai alla pagina Asset di Security Command Center nella console Google Cloud.

   Vai ad Asset

2. Nella sezione Tipo di risorsa del riquadro Filtri rapidi, seleziona compute.Disk.

   Se non vedi compute.Disk, fai clic su Visualizza altro, inserisci Disk nel campo di ricerca e poi fai clic su Applica.

   Il riquadro Risultati si aggiorna mostrando solo le istanze tipo di risorsa compute.Disk.

3. Nella colonna Nome visualizzato, seleziona la casella accanto al del disco che vuoi utilizzare con CSEK, quindi fai clic su Imposta i contrassegni di sicurezza.

4. Nella finestra di dialogo, fai clic su Aggiungi segno.

5. Nel campo chiave, inserisci enforce_customer_supplied_disk_encryption_keys e nel campo valore, inserisci true.

6. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

DNS logging disabled

Nome della categoria nell'API: DNS_LOGGING_DISABLED

Il monitoraggio dei log di Cloud DNS offre visibilità sui nomi DNS richiesti con i client all'interno della rete VPC. Questi log possono essere monitorati per verificare la presenza di nomi di dominio anomali ed essere valutati in base alla threat intelligence. Ti consigliamo di abilitare il logging DNS per le reti VPC.

A seconda della quantità di informazioni, i costi di registrazione di Cloud DNS possono essere significativi. Per comprendere il tuo utilizzo del servizio e i relativi costi, vedi Prezzi per Google Cloud Observability: Cloud Logging.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Reti VPC nel nella console Google Cloud.

   Vai a Reti VPC

2. Nell'elenco delle reti, fai clic sul nome della rete VPC.

3. Crea un nuovo criterio del server (se non esiste) o modificane uno esistente:

   • Se la rete non dispone di un criterio del server DNS, completa i passaggi che seguono:

     1. Fai clic su edit Modifica.
     2. Nel campo Criterio del server DNS, fai clic su Crea un nuovo criterio del server.
     3. Inserisci un nome per il nuovo criterio del server.
     4. Imposta Log su On.
     5. Fai clic su Salva.

   • Se la rete dispone di un criterio del server DNS, segui questi passaggi:

     1. Nel campo Criterio del server DNS, fai clic sul nome del criterio DNS.
     2. Fai clic su edit Modifica criterio.
     3. Imposta Log su On.
     4. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

DNSSEC disabled

Nome della categoria nell'API: DNSSEC_DISABLED

Le estensioni DNSSEC (Domain Name System Security Extensions) sono disattivate per le zone Cloud DNS.

DNSSEC convalida le risposte DNS e riduce i rischi, come la compromissione DNS e gli attacchi person in the middle, mediante la firma crittografica dei record DNS. Devi attivare DNSSEC. Per saperne di più, consulta la panoramica delle estensioni di sicurezza DNS (DNSSEC).

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Cloud DNS nella console Google Cloud.

   Vai alle reti di Cloud DNS

2. Individua la riga con la zona DNS indicata nel risultato.

3. Fai clic sull'impostazione DNSSEC nella riga e, in DNSSEC, seleziona Attivata.

4. Esamina la finestra di dialogo visualizzata. Se le impostazioni sono corrette, fai clic su Attiva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Egress deny rule not set

Nome della categoria nell'API: EGRESS_DENY_RULE_NOT_SET

Su un firewall non è impostata una regola di negazione per il traffico in uscita.

Un firewall che nega tutto il traffico di rete in uscita impedisce qualsiasi connessione di rete in uscita indesiderata, ad eccezione di quelle autorizzate esplicitamente da altri firewall. Per ulteriori informazioni, consulta Caso di esportazione.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Fai clic su Crea regola firewall.

3. Assegna un nome e, facoltativamente, una descrizione al firewall.

4. In Direzione del traffico, seleziona In uscita.

5. In Azione in caso di corrispondenza, seleziona Nega.

6. Nel menu a discesa Destinazioni, seleziona Tutte le istanze nella rete.

7. Nel menu a discesa Filtro di destinazione, seleziona Intervalli IP, quindi Digita 0.0.0.0/0 nella casella Intervalli IP di destinazione.

8. In Protocolli e porte, seleziona Nega tutto.

9. Fai clic su Disattiva regola, quindi seleziona Attivata in Applicazione.

10. Fai clic su Crea.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Essential contacts not configured

Nome categoria nell'API: ESSENTIAL_CONTACTS_NOT_CONFIGURED

La tua organizzazione non ha designato una persona o un gruppo per ricevere notifiche da Google Cloud su eventi importanti come attacchi, vulnerabilità e incidenti relativi ai dati all'interno della tua organizzazione Google Cloud. Ti consigliamo di designa come contatto essenziale una o più persone o gruppi nel tuo all'organizzazione aziendale.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Contatti necessari nell' nella console Google Cloud.

   Vai a Contatti necessari

2. Assicurati che l'organizzazione venga visualizzata nel selettore di risorse nella parte superiore della pagina. Il selettore di risorse indica il progetto, la cartella o l'organizzazione per cui stai gestendo i contatti.

3. Fai clic su +Aggiungi contatto. Si apre il riquadro Aggiungi un contatto.

4. Nei campi Email e Conferma email, inserisci l'indirizzo email del contatto.

5. Nella sezione Categorie di notifica, seleziona le categorie di notifica per cui vuoi che il contatto riceva le comunicazioni. Assicurati di aver configurato gli indirizzi email appropriati per ognuna delle seguenti categorie di notifica:

   1. Legale
   2. Sicurezza
   3. Sospensione
   4. Tecnico

6. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Firewall not monitored

Nome categoria nell'API: FIREWALL_NOT_MONITORED

Le metriche dei log e gli avvisi non sono configurati per monitorare le modifiche alle regole del firewall di rete VPC.

Il monitoraggio degli eventi di creazione e aggiornamento delle regole firewall ti consente di ricavare insight sulle modifiche dell'accesso alla rete e può aiutarti a rilevare rapidamente le attività sospette. Per maggiori informazioni, consulta la Panoramica delle metriche basate su log.

A seconda della quantità di informazioni, i costi di Cloud Monitoring possono essere significativi. A capire l'utilizzo del servizio e i suoi costi, vedi Ottimizzazione dei costi: operazioni cloud.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

Crea metrica

1. Vai alla pagina Metriche basate su log nella console Google Cloud.

   Vai a Metriche basate su log

2. Fai clic su Crea metrica.

3. In Tipo di metrica, seleziona Contatore.

4. In Dettagli:

   1. Imposta un Nome metrica di log.
   2. Aggiungi una descrizione.
   3. Imposta Unità su 1.

5. In Selezione filtro, copia e incolla il seguente testo nel Crea filtro, sostituendo il testo esistente, se necessario:

     resource.type="gce_firewall_rule"
     AND (protoPayload.methodName:"compute.firewalls.insert"
     OR protoPayload.methodName:"compute.firewalls.patch"
     OR protoPayload.methodName:"compute.firewalls.delete")

6. Fai clic su Crea metrica. Viene visualizzata una conferma.

Crea criterio di avviso

1. Nella console Google Cloud, vai alla pagina Metriche basate su log:

   Vai a Metriche basate su log

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

2. Nella sezione Metriche definite dall'utente, seleziona la metrica che hai creato nella sezione precedente.

3. Fai clic su Altro more_vert, quindi Fai clic su Crea avviso da metrica.

   Viene visualizzata la finestra di dialogo Nuova condizione con le opzioni di trasformazione dei dati e delle metriche precompilate.

4. Fai clic su Avanti.
   1. Rivedi le impostazioni precompilate. Ti consigliamo di modificare il valore soglia.
   2. Fai clic su Nome condizione e inserisci un nome per la condizione.
5. Fai clic su Avanti.

6. Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona una o più notifiche canali dal menu, quindi fai clic su OK.

   Per ricevere una notifica quando gli incidenti vengono aperti e chiusi, seleziona Invia una notifica alla chiusura dell'incidente. Per impostazione predefinita, le notifiche vengono inviate solo quando vengono aperti gli incidenti.

7. (Facoltativo) Aggiorna la Durata chiusura automatica incidenti. Questo campo determina quando Monitoring chiude gli incidenti in assenza di dati delle metriche.
8. (Facoltativo) Fai clic su Documentazione e aggiungi tutte le informazioni che vuoi includere in un messaggio di notifica.
9. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
10. Fai clic su Crea criterio.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Firewall rule logging disabled

Nome della categoria nell'API: FIREWALL_RULE_LOGGING_DISABLED

Il logging delle regole firewall è disabilitato.

Il logging delle regole del firewall consente di controllare, verificare e analizzare gli effetti delle regole del firewall. Può essere utile per controllare l'accesso alla rete o per fornire preavviso circa un utilizzo non approvato della rete. Il costo di log possono essere significativi. Per ulteriori informazioni sul logging delle regole firewall e sul relativo costo, consulta Utilizzare il logging delle regole firewall.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola firewall che ti interessa.

3. Fai clic su edit Modifica.

4. In Log, seleziona On.

5. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Flow logs disabled

Nome categoria nell'API: FLOW_LOGS_DISABLED

Esiste una subnet VPC con i log di flusso disabilitati.

I log di flusso VPC registrano un campione di flussi di rete inviati e ricevuti di istanze VM di Compute Engine. Questi log possono essere utilizzati per monitoraggio della rete, analisi forense, analisi della sicurezza in tempo reale e ottimizzazione delle spese. Per ulteriori informazioni sui log di flusso e sul relativo costo, consulta Utilizzare i log di flusso VPC.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Reti VPC nella console Google Cloud.

   Vai a Reti VPC

2. Nell'elenco delle emittenti, fai clic sul nome della rete che ti interessa.

3. Nella pagina Dettagli rete VPC, fai clic sul pulsante Subnet .

4. Nell'elenco delle sottoreti, fai clic sul nome della sottorete indicato nel risultato.

5. Nella pagina Dettagli subnet, fai clic su edit Modifica.

6. In Log di flusso, seleziona On.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Flow logs settings not recommended

Nome della categoria nell'API: VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

Nella configurazione di una subnet in una rete VPC, il servizio Log di flusso VPC disattivato o non configurato in base ai consigli di CIS Benchmark 1.3. I log di flusso VPC registrano un campione di flussi di rete inviati e ricevuti dalle istanze VM, che può essere utilizzato per rilevare minacce.

Per ulteriori informazioni sui log di flusso VPC e sul relativo costo, consulta Utilizzare i log di flusso VPC.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Reti VPC nel nella console Google Cloud.

   Vai alle reti VPC

2. Nell'elenco delle emittenti, fai clic sul nome della rete.

3. Nella pagina Dettagli rete VPC, fai clic sul pulsante Subnet .

4. Nell'elenco delle sottoreti, fai clic sul nome della sottorete indicato nel risultato.

5. Nella pagina Dettagli subnet, fai clic su edit Modifica.

6. In Log di flusso, seleziona On.

   1. Facoltativamente, modifica la configurazione dei log facendo clic sul pulsante Configura log per espandere la scheda. CIS Benchmarks consiglia le seguenti impostazioni:
      1. Imposta Intervallo di aggregazione su 5 sec.
      2. Per la casella di controllo Campi aggiuntivi, seleziona l'opzione Includi metadati.
      3. Imposta Frequenza di campionamento su 100%.
      4. Fai clic sul pulsante SALVA.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Full API access

Nome della categoria nell'API: FULL_API_ACCESS

Un'istanza Compute Engine è configurata per utilizzare l'account di servizio predefinito con accesso completo a tutte le API Google Cloud.

Un'istanza configurata con l'account di servizio predefinito e l'accesso all'API. l'ambito impostato su Consenti l'accesso completo a tutte le API Cloud potrebbe consentire agli utenti di eseguire operazioni o chiamate API per cui non hanno IAM autorizzazioni aggiuntive. Per ulteriori informazioni, consulta Account di servizio predefinito Compute Engine.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Nell'elenco delle istanze, fai clic sul nome dell'istanza nel risultato.

3. Se l'istanza è in esecuzione, fai clic su stop Arresta.

4. Quando l'istanza è stata interrotta, fai clic su edit Modifica.

5. Nella sezione Sicurezza e accesso, in Account di servizio, seleziona Account di servizio predefinito di Compute Engine.

6. In Ambiti di accesso, seleziona Consenti l'accesso predefinito oppure Impostare l'accesso per ogni API. Ciò limita le API a cui possono accedere qualsiasi processo o carico di lavoro che utilizza l'account di servizio VM predefinito.

7. Se hai selezionato Imposta l'accesso per ogni API, procedi nel seguente modo:

   • Disabilita Cloud Platform impostandolo su Nessuna.
   • Abilita le API specifiche a cui l'account di servizio VM predefinito deve avere accesso.

8. Fai clic su Salva.

9. Fai clic su play_arrow Avvia per avviare l'istanza.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

HTTP load balancer

Nome della categoria nell'API: HTTP_LOAD_BALANCER

Un'istanza Compute Engine utilizza un bilanciatore del carico configurato per utilizzare un proxy HTTP di destinazione anziché un proxy HTTPS di destinazione.

Per proteggere l'integrità dei tuoi dati e impedire a intrusi di manomettere le comunicazioni, configura i bilanciatori del carico HTTP(S) in modo da consentire solo il traffico HTTPS. Per saperne di più, consulta Panoramica del bilanciamento del carico HTTP(S) esterno.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Proxy di destinazione nella console Google Cloud.

   Vai a Proxy di destinazione

2. Nell'elenco dei proxy di destinazione, fai clic sul nome del proxy di destinazione nel risultato.

3. Fai clic sul link nella sezione Mappa URL.

4. Fai clic su edit Modifica.

5. Fai clic su Configurazione frontend.

6. Elimina tutte le configurazioni di IP frontend e porta che consentono il traffico HTTP e crea nuove configurazioni che consentono il traffico HTTPS.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Instance OS login disabled

Nome della categoria nell'API: INSTANCE_OS_LOGIN_DISABLED

L'accesso al sistema operativo è disabilitato in questa istanza Compute Engine.

L'accesso al sistema operativo consente la gestione centralizzata delle chiavi SSH con IAM e disattiva la configurazione delle chiavi SSH basata su metadati in tutte le istanze di un progetto. Scopri come configurare e impostare l'accesso OS.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Nell'elenco delle istanze, fai clic sul nome dell'istanza nel rilevamento.

3. Nella pagina Dettagli istanza che si carica, fai clic su stop Interrompi.

4. Al termine dell'istanza, fai clic su edit Modifica.

5. Nella sezione Metadati personalizzati, assicurati che l'elemento con la chiave enable-oslogin abbia il valore TRUE.

6. Fai clic su Salva.

7. Fai clic su play_arrow Avvia per avviare l'istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Integrity monitoring disabled

Nome categoria nell'API: INTEGRITY_MONITORING_DISABLED

Il monitoraggio dell'integrità è disabilitato su un cluster GKE.

Monitoraggio dell'integrità consente di monitorare e verificare l'integrità in fase di avvio runtime dei nodi schermati utilizzando Monitoring. In questo modo puoi rispondere a eventuali errori di integrità impedire il deployment dei nodi compromessi nel cluster.

Per risolvere il problema, segui questi passaggi:

Una volta eseguito il provisioning di un nodo, non è possibile aggiornarlo per abilitare il monitoraggio dell'integrità. Devi creare un nuovo pool di nodi con il monitoraggio dell'integrità abilitato.

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Fai clic sul nome del cluster nel rilevamento.

3. Fai clic su Aggiungi pool di nodi.

4. Nella scheda Sicurezza, assicurati che l'opzione Abilita il monitoraggio dell'integrità sia in un bucket in cui è abilitato il controllo delle versioni.

5. Fai clic su Crea.

6. Per eseguire la migrazione dei carichi di lavoro dai pool di nodi non conformi esistenti a sui nuovi pool di nodi, consulta Migrazione di carichi di lavoro a diversi tipi di macchine.

7. Dopo aver spostato i carichi di lavoro, elimina l'originale non conforme pool di nodi.

   1. Nella pagina Cluster Kubernetes, fai clic sul nome del pool di nodi che vuoi eliminare nel menu Pool di nodi.
   2. Fai clic su Rimuovi pool di nodi.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Intranode visibility disabled

Nome della categoria nell'API: INTRANODE_VISIBILITY_DISABLED

La visibilità tra nodi è disabilitata per un cluster GKE.

Se abiliti la visibilità tra nodi, il traffico tra i pod dei vari nodi sarà visibile ai la struttura di networking. Questa funzionalità consente di utilizzare il logging del flusso VPC o altre funzionalità VPC per monitorare o controllare il traffico tra nodi. Per ottenere i log, devi abilitare quelli del flusso VPC nella subnet selezionata. Per ulteriori informazioni, consulta Utilizzare i log di flusso VPC.

Per risolvere il problema, segui questi passaggi:

Una volta eseguito il provisioning di un nodo, non è possibile aggiornarlo per abilitare il monitoraggio dell'integrità. Devi creare un nuovo pool di nodi con il monitoraggio dell'integrità abilitato.

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Nella sezione Networking, fai clic su edit Modifica. visibilità tra nodi nella riga Visibilità tra nodi.

   Se la configurazione del cluster è stata modificata di recente, il pulsante di modifica potrebbe essere disabilitato. Se non riesci a modificare le impostazioni del cluster, attendi alcuni minuti e riprova.

3. Nella finestra di dialogo, seleziona Abilita visibilità tra nodi.

4. Fai clic su Salva modifiche.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

IP alias disabled

Nome della categoria nell'API: IP_ALIAS_DISABLED

È stato creato un cluster GKE con gli intervalli IP alias disattivati.

Quando abiliti gli intervalli IP alias, i cluster GKE allocano indirizzi IP da un blocco CIDR noto, per cui il cluster è scalabile e interagisce meglio con i prodotti e le entità Google Cloud. Per ulteriori informazioni, vedi Panoramica degli intervalli IP alias.

Per correggere questo risultato, completa i seguenti passaggi:

Non puoi eseguire la migrazione di un cluster esistente per utilizzare IP alias. Per creare un nuovo cluster con IP alias abilitati, segui queste istruzioni:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Fai clic su Crea.

3. Nel riquadro di navigazione, in Cluster, fai clic su Networking.

4. In Opzioni di networking avanzate, seleziona Abilita traffico nativo VPC. routing (mediante IP alias).

5. Fai clic su Crea.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

IP forwarding enabled

Nome della categoria nell'API: IP_FORWARDING_ENABLED

L'IP forwarding è abilitato sulle istanze Compute Engine.

Impedisci la perdita di dati o la divulgazione di informazioni disattivando l'IP forwarding dei dati e pacchetti per le tue VM.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Nell'elenco delle istanze, seleziona la casella accanto al nome dell'istanza in il risultato.

3. Fai clic su delete Elimina.

4. Seleziona Crea istanza per creare una nuova istanza che sostituisca quella eliminata.

5. Per assicurarti che il forwarding IP sia disattivato, fai clic su Gestione, dischi, networking, chiavi SSH e poi su Networking.

6. In Interfacce di rete, fai clic su edit Modifica.

7. In Inoltro IP, nel menu a discesa, assicurati che sia impostato su Off. selezionato.

8. Specifica eventuali altri parametri dell'istanza e fai clic su Crea. Per ulteriori informazioni, consulta Creazione e avvio di un'istanza VM.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

KMS key not rotated

Nome categoria nell'API: KMS_KEY_NOT_ROTATED

La rotazione non è configurata su una chiave di crittografia Cloud KMS.

La rotazione regolare delle chiavi di crittografia fornisce protezione nel caso in cui una chiave venga compromessa e limita il numero di messaggi criptati disponibili per la crittoanalisi per una versione specifica della chiave. Per ulteriori informazioni, consulta la sezione Rotazione delle chiavi.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Chiavi Cloud KMS nella console Google Cloud.

   Vai alle chiavi Cloud KMS

2. Fai clic sul nome del keyring indicato nel risultato.

3. Fai clic sul nome della chiave indicato nel rilevamento.

4. Fai clic su Modifica periodo di rotazione.

5. Imposta il periodo di rotazione su un massimo di 90 giorni.

6. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

KMS project has owner

Nome della categoria nell'API: KMS_PROJECT_HAS_OWNER

Un utente dispone di autorizzazioni roles/Owner in un progetto che dispone di chiavi di crittografia. Per ulteriori informazioni, vedi Autorizzazioni e ruoli.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina IAM nella console Google Cloud.

   Vai alla pagina IAM

2. Se necessario, seleziona il progetto nel risultato.

3. Per ogni entità a cui è stato assegnato il ruolo Proprietario:

   1. Fai clic su edit Modifica.
   2. Nel riquadro Modifica autorizzazioni, accanto al ruolo Proprietario, fai clic su delete Elimina.
   3. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

KMS public key

Nome categoria nell'API: KMS_PUBLIC_KEY

una crittografia di Cloud KMS o un keyring di Cloud KMS è pubblica accessibile a chiunque su internet. Per ulteriori informazioni, consulta Utilizzo di IAM con Cloud KMS.

Per correggere questo risultato, se è correlato a una crittografia:

1. Vai alla pagina Chiavi di crittografia nella console Google Cloud.

   Chiavi crittografiche

2. In Nome, seleziona il keyring contenente la chiave di crittografia correlata al report di Security Health Analytics.

3. Nella pagina Dettagli portachiavi che viene caricata, seleziona la casella di controllo accanto alla chiave criptata.

4. Se il RIQUADRO INFORMAZIONI non viene visualizzato, fai clic sul pulsante MOSTRA RIQUADRO INFORMAZIONI.

5. Utilizza la casella di filtro che precede Ruolo / Entità per cercare tra le entità. allUsers e allAuthenticatedUsers e fai clic su delete Elimina per rimuovere l'accesso per queste entità.

Per correggere questo risultato, se è correlato a un keyring:

1. Vai alla pagina Chiavi crittografiche nella console Google Cloud.

   Chiavi crittografiche

2. Trova la riga con il keyring nel rilevamento e seleziona la casella di controllo.

3. Se il RIQUADRO INFORMAZIONI non viene visualizzato, fai clic sul pulsante MOSTRA RIQUADRO INFORMAZIONI.

4. Utilizza la casella di filtro precedente a Ruolo/principale per cercare tra le entità allUsers e allAuthenticatedUsers e fai clic su deleteElimina per rimuovere l'accesso per queste entità.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

KMS role separation

Nome della categoria nell'API: KMS_ROLE_SEPARATION

Questo risultato non è disponibile per le attivazioni a livello di progetto.

A una o più entità sono assegnate più autorizzazioni Cloud KMS. Consigliamo di evitare di assegnare autorizzazioni di Amministratore Cloud KMS e altre autorizzazioni Cloud KMS allo stesso account. Per ulteriori informazioni, vedi Autorizzazioni e ruoli.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina IAM nella console Google Cloud.

   Vai a IAM

2. Per ogni entità elencata nel rilevamento, svolgi le seguenti operazioni:

   1. Per verificare se il ruolo è stato ereditato da una cartella o una risorsa dell'organizzazione, controlla la colonna Ereditarietà. Se la colonna contiene un link a una risorsa principale, fai clic sul link per accedere alla pagina IAM della risorsa principale.
   2. Fai clic su edit Modifica accanto a un'entità.
   3. Per rimuovere le autorizzazioni, fai clic su delete Elimina accanto a Amministratore Cloud KMS. Se vuoi rimuovere tutte le autorizzazioni per all'entità, fai clic su Elimina accanto a tutte le altre autorizzazioni.

3. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Legacy authorization enabled

Nome categoria nell'API: LEGACY_AUTHORIZATION_ENABLED

L'autorizzazione precedente è abilitata sui cluster GKE.

In Kubernetes, il controllo degli accessi basato su ruoli (RBAC) consente di definire i ruoli con regole che contengono un insieme di autorizzazioni, nonché di concedere le autorizzazioni a livello di cluster e spazio dei nomi. Questa funzionalità garantisce una maggiore sicurezza in quanto gli utenti possono accedere solo a risorse specifiche. Valuta la possibilità di disattivare il precedente controllo controllo dell'accesso basato su attributi (ABAC).

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Seleziona il cluster elencato nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

   Se la configurazione del cluster è stata modificata di recente, il pulsante di modifica potrebbe essere disattivata. Se non riesci a modificare le impostazioni del cluster, attendi qualche minuto e riprova.

4. Nell'elenco a discesa Autorizzazione precedente, seleziona Disabilitata.

5. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Legacy metadata enabled

Nome della categoria nell'API: LEGACY_METADATA_ENABLED

I metadati legacy sono abilitati sui cluster GKE.

Il server di metadati dell'istanza di Compute Engine espone le versioni precedenti di /0.1/ Endpoint /v1beta1/, che non applicano intestazioni delle query sui metadati. Questa è una funzionalità delle API /v1/ che rende più difficile per un potenziale utente malintenzionato recuperare i metadati dell'istanza. Se non obbligatorio, ti consigliamo di disattivare queste API /0.1/ e /v1beta1/ legacy.

Per ulteriori informazioni, consulta Disattivare e passare dai metadati precedenti per le API.

Per risolvere il problema, segui questi passaggi:

Puoi disattivare le API di metadati legacy solo quando crei un nuovo cluster o quando aggiungi un nuovo pool di nodi a un cluster esistente. Per aggiornare un cluster esistente e disabilitare le API dei metadati legacy. Consulta Migrazione dei carichi di lavoro in diversi tipi di macchine.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Legacy network

Nome della categoria nell'API: LEGACY_NETWORK

In un progetto è presente una rete legacy.

Le reti legacy sono sconsigliate perché molte nuove funzionalità di sicurezza di Google Cloud non sono supportate nelle reti legacy. Utilizza invece le reti VPC. Per ulteriori informazioni, vedi Reti legacy.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Reti VPC nel nella console Google Cloud.

   Vai alle reti VPC

2. Per creare una nuova rete non legacy, fai clic su Crea rete.

3. Torna alla pagina Reti VPC.

4. Nell'elenco delle reti, fai clic su legacy_network.

5. Nella pagina Dettagli rete VPC, fai clic su delete Elimina rete VPC.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Load balancer logging disabled

Nome della categoria nell'API: LOAD_BALANCER_LOGGING_DISABLED

Il logging è disabilitato per il servizio di backend in un bilanciatore del carico.

L'abilitazione del logging per un bilanciatore del carico consente di visualizzare il traffico di rete HTTP(S) per le tue applicazioni web. Per ulteriori informazioni, consulta Bilanciatore del carico.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Cloud Load Balancing nella nella console Google Cloud.

   Vai a Cloud Load Balancing

2. Fai clic sul nome del bilanciatore del carico.

3. Fai clic su edit Modifica.

4. Fai clic su Configurazione backend.

5. Nella pagina Configurazione backend, fai clic su edit Modifica.

6. Nella sezione Logging, seleziona Abilita il logging e scegli la frequenza di campionamento migliore per il progetto.

7. Per completare la modifica del servizio di backend, fai clic su Aggiorna.

8. Per completare la modifica del bilanciatore del carico, fai clic su Aggiorna.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Locked retention policy not set

Nome della categoria nell'API: LOCKED_RETENTION_POLICY_NOT_SET

Non è impostato un criterio di conservazione bloccato per i log.

Un criterio di conservazione bloccato impedisce che i log vengano sovrascritti e il log l'eliminazione del bucket. Per ulteriori informazioni, consulta la sezione Blocco del bucket.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Browser di archiviazione nella console Google Cloud.

   Vai al browser di Storage

2. Seleziona il bucket elencato nel risultato di Security Health Analytics.

3. Nella pagina Dettagli bucket, fai clic sulla scheda Conservazione.

4. Se non è stato impostato un criterio di conservazione, fai clic su Imposta criterio di conservazione.

5. Inserisci un periodo di conservazione.

6. Fai clic su Salva. Il criterio di conservazione viene visualizzato nella scheda Conservazione.

7. Fai clic su Blocca per assicurarti che il periodo di conservazione non venga ridotto o rimosso.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Log not exported

Nome categoria nell'API: LOG_NOT_EXPORTED

Per una risorsa non è configurato un sink di log appropriato.

Cloud Logging consente di trovare rapidamente la causa principale dei problemi del sistema e applicazioni. Tuttavia, per impostazione predefinita, la maggior parte dei log viene conservata solo per 30 giorni. Esporta delle copie di tutte le voci di log per estendere il periodo di archiviazione. Per maggiori informazioni consulta Panoramica delle esportazioni dei log.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Router dei log nella console Google Cloud.

   Vai a Router dei log

2. Fai clic su Crea sink.

3. Per garantire che tutti i log vengano esportati, lascia vuoti i filtri di inclusione ed esclusione.

4. Fai clic su Crea sink.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Master authorized networks disabled

Nome della categoria nell'API: MASTER_AUTHORIZED_NETWORKS_DISABLED

Le reti autorizzate del piano di controllo non sono abilitate sui cluster GKE.

Le reti autorizzate del piano di controllo migliorano la sicurezza per il tuo cluster di container impedendo a specifici indirizzi IP di accedere al piano di controllo del cluster. Per saperne di più, vedi Aggiungere reti autorizzate per l'accesso al piano di controllo.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Seleziona il cluster elencato nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

   Se la configurazione del cluster è stata modificata di recente, il pulsante di modifica potrebbe essere disabilitato. Se non riesci a modificare le impostazioni del cluster, attendi alcuni minuti e riprova.

4. Nell'elenco a discesa Reti autorizzate del piano di controllo, seleziona Abilitata.

5. Fai clic su Aggiungi rete autorizzata.

6. Specifica le reti autorizzate che vuoi utilizzare.

7. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

MFA not enforced

Nome categoria nell'API: MFA_NOT_ENFORCED

Questo risultato non è disponibile per le attivazioni a livello di progetto.

L'autenticazione a più fattori, in particolare la verifica in due passaggi (V2P), è disattivata per alcuni utenti dell'organizzazione.

L'autenticazione a più fattori viene utilizzata per proteggere gli account da accessi non autorizzati ed è lo strumento più importante per proteggere la tua organizzazione compromissione delle credenziali di accesso. Per saperne di più, vedi Proteggere la tua attività con la verifica in due passaggi.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Console di amministrazione nella console Google Cloud.

   Vai alla Console di amministrazione

2. Applica in modo forzato la verifica in due passaggi a tutte le unità organizzative.

Ignorare i risultati di questo tipo

Per eliminare i risultati di questo tipo, definisci una regola di disattivazione che disattivi automaticamente i risultati futuri di questo tipo. Per ulteriori informazioni, vedi Disattivazione dei risultati in Security Command Center.

Anche se non è un modo consigliato per eliminare i risultati, puoi anche aggiungere indicatori di sicurezza dedicati agli asset in modo che i rilevatori di Security Health Analytics non creino risultati relativi alla sicurezza per questi asset.

• Per evitare che questo risultato venga riattivato, aggiungi il contrassegno di sicurezza allow_mfa_not_enforced con un valore pari a true per la risorsa.
• Per ignorare le potenziali violazioni per unità organizzative specifiche, aggiungi la sezione Il contrassegno di sicurezza di excluded_orgunits alla risorsa con un elenco separato da virgole di percorsi delle unità organizzative nel campo value. Ad esempio, excluded_orgunits:/people/vendors/vendorA,/people/contractors/contractorA.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Network not monitored

Nome della categoria nell'API: NETWORK_NOT_MONITORED

Le metriche e gli avvisi dei log non sono configurati per monitorare le modifiche alla rete VPC.

Per rilevare modifiche errate o non autorizzate alla configurazione della rete, monitora modifiche alla rete VPC. Per ulteriori informazioni, consulta Panoramica dei log- basate su metriche.

A seconda della quantità di informazioni, i costi di Cloud Monitoring possono essere significativi. A capire l'utilizzo del servizio e i suoi costi, vedi Ottimizzazione dei costi: operazioni cloud.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

Crea metrica

1. Vai alla pagina Metriche basate su log nella console Google Cloud.

   Vai a Metriche basate su log

2. Fai clic su Crea metrica.

3. In Tipo di metrica, seleziona Contatore.

4. In Dettagli:

   1. Imposta un Nome metrica di log.
   2. Aggiungi una descrizione.
   3. Imposta Unità su 1.

5. In Selezione filtro, copia e incolla il seguente testo nel Crea filtro, sostituendo il testo esistente, se necessario:

     resource.type="gce_network"
     AND (protoPayload.methodName:"compute.networks.insert"
     OR protoPayload.methodName:"compute.networks.patch"
     OR protoPayload.methodName:"compute.networks.delete"
     OR protoPayload.methodName:"compute.networks.removePeering"
     OR protoPayload.methodName:"compute.networks.addPeering")

6. Fai clic su Crea metrica. Viene visualizzata una conferma.

Crea criterio di avviso

1. Nella console Google Cloud, vai alla pagina Metriche basate su log:

   Vai a Metriche basate su log

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

2. Nella sezione Metriche definite dall'utente, seleziona la metrica che hai creato nella sezione precedente.

3. Fai clic su Altro more_vert, quindi Fai clic su Crea avviso da metrica.

   Viene visualizzata la finestra di dialogo Nuova condizione con le opzioni di trasformazione dei dati e delle metriche precompilate.

4. Fai clic su Avanti.
   1. Rivedi le impostazioni precompilate. Ti consigliamo di modificare il valore soglia.
   2. Fai clic su Nome condizione e inserisci un nome per la condizione.
5. Fai clic su Avanti.

6. Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona una o più notifiche canali dal menu, quindi fai clic su OK.

   Per ricevere una notifica quando gli incidenti vengono aperti e chiusi, seleziona Invia una notifica alla chiusura dell'incidente. Per impostazione predefinita, le notifiche vengono inviate solo quando vengono aperti gli incidenti.

7. (Facoltativo) Aggiorna la Durata chiusura automatica incidenti. Questo campo determina quando Monitoring chiude gli incidenti in assenza di dati delle metriche.
8. (Facoltativo) Fai clic su Documentazione e aggiungi tutte le informazioni che vuoi includere in un messaggio di notifica.
9. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
10. Fai clic su Crea criterio.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Network policy disabled

Nome della categoria nell'API: NETWORK_POLICY_DISABLED

Il criterio di rete è disabilitato sui cluster GKE.

La comunicazione pod-to-pod è aperta per impostazione predefinita. La comunicazione aperta consente ai pod si connettono direttamente tra i nodi, con o senza Network Address Translation. Una risorsa NetworkPolicy è come un firewall a livello di pod che limita le connessioni tra i pod, a meno che la risorsa NetworkPolicy non consenta esplicitamente la connessione. Scopri come definire un criterio di rete.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Fai clic sul nome del cluster elencato nel risultato di Security Health Analytics.

3. In Networking, nella riga Criterio di rete di Calico Kubernetes, fai clic su edit Modifica.

   Se la configurazione del cluster è stata modificata di recente, il pulsante di modifica potrebbe essere disattivata. Se non riesci a modificare le impostazioni del cluster, attendi qualche minuto e riprova.

4. Nella finestra di dialogo, seleziona Abilita criterio di rete di Calico Kubernetes per il piano di controllo e Abilita il criterio di rete di Calico Kubernetes per i nodi.

5. Fai clic su Salva modifiche.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Nodepool boot CMEK disabled

Nome categoria nell'API: NODEPOOL_BOOT_CMEK_DISABLED

I dischi di avvio in questo pool di nodi non sono criptati con la crittografia gestita dal cliente (CMEK). CMEK consente all'utente di configurare le chiavi di crittografia predefinite di avvio dei dischi in un pool di nodi.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Nell'elenco dei cluster, fai clic sul nome del cluster nel risultato.

3. Fai clic sulla scheda Nodi.

4. Per ogni pool di nodi default-pool, fai clic su delete Elimina.

5. Quando ti viene richiesto di confermare, fai clic su Elimina.

6. Per creare nuovi pool di nodi utilizzando le chiavi CMEK, consulta Utilizzo delle chiavi di crittografia gestite dal cliente (CMEK). CMEK comporta costi aggiuntivi correlati a Cloud KMS.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Nodepool secure boot disabled

Nome della categoria nell'API: NODEPOOL_SECURE_BOOT_DISABLED

L'avvio protetto è disattivato per un cluster GKE.

Abilita l'avvio protetto per i nodi GKE schermati per verificare dei componenti di avvio dei nodi. Per maggiori informazioni, vedi Avvio protetto.

Per correggere questo risultato, completa i seguenti passaggi:

Una volta eseguito il provisioning di un pool di nodi, non è possibile aggiornarlo per abilitare Avvio protetto. Devi creare un nuovo pool di nodi con l'avvio protetto abilitato.

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Fai clic sul nome del cluster nel risultato.

3. Fai clic su Aggiungi pool di nodi.

4. Nel menu Pool di nodi, procedi nel seguente modo:

   1. Fai clic sul nome del nuovo pool di nodi per espandere la scheda.
   2. Seleziona Sicurezza e poi, sotto Opzioni nascoste, seleziona Attiva l'avvio protetto.
   3. Fai clic su Crea.
   4. Per eseguire la migrazione dei carichi di lavoro dai pool di nodi non conformi esistenti a sui nuovi pool di nodi, consulta Migrazione di carichi di lavoro a diversi tipi di macchine.
   5. Dopo aver spostato i carichi di lavoro, elimina l'originale non conforme pool di nodi.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Non org IAM member

Nome della categoria nell'API: NON_ORG_IAM_MEMBER

Un utente esterno all'organizzazione o al progetto dispone di autorizzazioni IAM su un progetto o organizzazione. Scopri di più sulle autorizzazioni IAM.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina IAM nella console Google Cloud.

   Vai a IAM

2. Seleziona la casella di controllo accanto agli utenti esterni all'organizzazione o al progetto.

3. Fai clic su Rimuovi.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Object versioning disabled

Nome categoria nell'API: OBJECT_VERSIONING_DISABLED

Il controllo delle versioni degli oggetti non è abilitato in un bucket di archiviazione in cui sono configurati i sink.

Per supportare il recupero di oggetti eliminati o sovrascritti, Cloud Storage offre la funzionalità Controllo delle versioni degli oggetti. Abilita il Controllo delle versioni degli oggetti per proteggere i dati di Cloud Storage dalla sovrascrittura o dall'eliminazione accidentale. Scopri come abilitare il controllo delle versioni degli oggetti.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per correggere questo risultato, utilizza il flag --versioning in una gcloud storage buckets update con il valore appropriato:

    gcloud storage buckets update gs://finding.assetDisplayName --versioning

Sostituisci finding.assetDisplayName con il nome del bucket pertinente.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open Cassandra port

Nome della categoria nell'API: OPEN_CASSANDRA_PORT

Le regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte Cassandra i tuoi servizi Cassandra a utenti malintenzionati. Per ulteriori informazioni, vedi Panoramica delle regole firewall VPC.

Le porte del servizio Cassandra sono:

• TCP - 7000, 7001, 7199, 8888, 9042, 9160, 61620, 61621

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola nella ricerca.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open ciscosecure websm port

Nome della categoria nell'API: OPEN_CISCOSECURE_WEBSM_PORT

Regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte CiscoSecure/WebSM i tuoi servizi CiscoSecure/WebSM potrebbero essere esposti a utenti malintenzionati. Per ulteriori informazioni, vedi Panoramica delle regole firewall VPC.

Le porte di servizio CiscoSecure/WebSM sono:

• TCP - 9090

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola nella ricerca.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open directory services port

Nome della categoria nell'API: OPEN_DIRECTORY_SERVICES_PORT

Le regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte della directory i tuoi servizi di directory ai malintenzionati. Per ulteriori informazioni, vedi Panoramica delle regole firewall VPC.

Le porte del servizio di directory sono:

• TCP - 445
• UDP - 445

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola firewall nel risultato.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open DNS port

Nome della categoria nell'API: OPEN_DNS_PORT

Le regole firewall che consentono a qualsiasi indirizzo IP di connettersi alle porte DNS potrebbero esporre i tuoi servizi DNS a utenti malintenzionati. Per ulteriori informazioni, consulta la panoramica delle regole del firewall VPC.

Le porte del servizio DNS sono:

• TCP - 53
• UDP - 53

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. Se abilitati, i risultati attivi per le regole firewall disattivate ti avvisano delle configurazioni non sicure che consentono il traffico indesiderato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola firewall nel risultato.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open Elasticsearch port

Nome categoria nell'API: OPEN_ELASTICSEARCH_PORT

Le regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte Elasticsearch i tuoi servizi Elasticsearch a utenti malintenzionati. Per ulteriori informazioni, vedi Panoramica delle regole firewall VPC.

Le porte del servizio Elasticsearch sono:

• TCP - 9200, 9300

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola firewall nel risultato.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open firewall

Nome della categoria nell'API: OPEN_FIREWALL

Regole firewall che consentono le connessioni da tutti gli indirizzi IP, ad esempio 0.0.0.0/0 o da tutte le porte possono esporre inutilmente le risorse agli attacchi provenienti fonti. Queste regole dovrebbero essere rimosse o esplicitamente ristrette alle porte o agli intervalli IP di origine che ti interessano. Ad esempio, nelle applicazioni destinate a essere pubbliche, valuta la possibilità di limitare le porte consentite a quelle necessarie per l'applicazione, come 80 e 443. Se la tua applicazione deve consentire le connessioni da tutti gli indirizzi IP o da tutte le porte, ti consigliamo di aggiungere l'asset a una lista consentita. Scopri di più sull'aggiornamento delle regole firewall.

Questo risultato viene generato per le regole firewall vulnerabili, anche se le disattivi intenzionalmente. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Regole firewall nella console Google Cloud.

   Vai a Regole firewall

2. Fai clic sulla regola firewall elencata nel risultato di Security Health Analytics. fai clic su edit Modifica.

3. In Intervalli IP di origine, modifica i valori IP per limitare l'intervallo di IP. consentito.

4. In Protocolli e porte, seleziona Protocolli e porte specificati, seleziona i protocolli consentiti e inserisci le porte consentite.

5. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open FTP port

Nome categoria nell'API: OPEN_FTP_PORT

Le regole firewall che consentono a qualsiasi indirizzo IP di connettersi alle porte FTP potrebbero esporre i tuoi servizi FTP a utenti malintenzionati. Per ulteriori informazioni, vedi VPC panoramica sulle regole firewall.

Le porte del servizio FTP sono:

• TCP - 21

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. I risultati attivi per le regole firewall disattivate ti avvisano delle configurazioni non sicure che consentono il traffico indesiderato se abilitate.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola nella ricerca.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open group IAM member

Nome categoria nell'API: OPEN_GROUP_IAM_MEMBER

Uno o più entità che hanno accesso a un'organizzazione, a un progetto o a una cartella sono account Google Gruppi a cui è possibile partecipare senza approvazione.

I clienti Google Cloud possono utilizzare Google Gruppi per gestire i ruoli e le autorizzazioni per i membri delle loro organizzazioni oppure applicare criteri di accesso a raccolte di utenti. Invece di concedere i ruoli direttamente ai membri, gli amministratori possono concedere ruoli e autorizzazioni a Google Gruppi e quindi aggiungere a gruppi specifici. I membri del gruppo ereditano tutti i ruoli e le autorizzazioni del gruppo, il che consente loro di accedere a risorse e servizi specifici.

Se un account Google Gruppi aperto viene utilizzato come entità in un'associazione IAM, chiunque può ereditare il ruolo associato semplicemente partecipando al gruppo direttamente o indirettamente (tramite un sottogruppo). Ti consigliamo di revocare i ruoli dei gruppi aperti o di limitare l'accesso a questi gruppi.

Per risolvere il problema, esegui una delle seguenti procedure.

Rimuovi il gruppo dal criterio IAM

1. Vai alla pagina IAM nella console Google Cloud.

   Go IAM

2. Se necessario, seleziona il progetto, la cartella o l'organizzazione nel risultato.

3. Revocare il ruolo di ogni gruppo aperto identificato nel risultato.

Limita l'accesso ai gruppi aperti

1. Accedi a Google Gruppi.
2. Aggiorna le impostazioni di ogni gruppo aperto e dei relativi sottogruppi per specificare chi può iscriversi al gruppo e chi deve approvare le richieste di iscrizione.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Open HTTP port

Nome categoria nell'API: OPEN_HTTP_PORT

Le regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte HTTP potrebbero esporre i tuoi servizi HTTP ai malintenzionati. Per ulteriori informazioni, consulta la panoramica delle regole del firewall VPC.

Le porte del servizio HTTP sono:

• TCP - 80

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. Se abilitati, i risultati attivi per le regole firewall disattivate ti avvisano delle configurazioni non sicure che consentono il traffico indesiderato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola firewall nel risultato.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Open LDAP port

Nome categoria nell'API: OPEN_LDAP_PORT

Le regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte LDAP potrebbero esporre i tuoi servizi LDAP agli utenti malintenzionati. Per ulteriori informazioni, consulta la panoramica delle regole del firewall VPC.

Le porte del servizio LDAP sono:

• TCP - 389, 636
• UDP - 389

Questo risultato viene generato per le regole firewall vulnerabili, anche se le disattivi intenzionalmente. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola nella ricerca.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open Memcached port

Nome categoria nell'API: OPEN_MEMCACHED_PORT

Le regole firewall che consentono a qualsiasi indirizzo IP di connettersi alle porte Memcached potrebbero esporre i tuoi servizi Memcached a utenti malintenzionati. Per ulteriori informazioni, consulta Panoramica delle regole firewall VPC.

Le porte del servizio Memcached sono:

• TCP - 11211, 11214, 11215
• UDP - 11211, 11214, 11215

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. Se abilitati, i risultati attivi per le regole firewall disattivate ti avvisano delle configurazioni non sicure che consentono il traffico indesiderato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola nella ricerca.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Open MongoDB port

Nome categoria nell'API: OPEN_MONGODB_PORT

Le regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte MongoDB i tuoi servizi MongoDB ai malintenzionati. Per ulteriori informazioni, vedi Panoramica delle regole firewall VPC.

Le porte del servizio MongoDB sono:

• TCP - 27017, 27018, 27019

Questo risultato viene generato per le regole firewall vulnerabili, anche se le disattivi intenzionalmente. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola firewall nel risultato.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Open MySQL port

Nome categoria nell'API: OPEN_MYSQL_PORT

Le regole firewall che consentono a qualsiasi indirizzo IP di connettersi alle porte MySQL potrebbero esporre i tuoi servizi MySQL a utenti malintenzionati. Per ulteriori informazioni, consulta la panoramica delle regole del firewall VPC.

Le porte del servizio MySQL sono:

• TCP - 3306

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. I risultati attivi per le regole firewall disattivate ti avvisano delle configurazioni non sicure che consentono il traffico indesiderato se abilitate.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola firewall nel risultato.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open NetBIOS port

Nome categoria nell'API: "OPEN_NETBIOS_PORT

Le regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte NetBIOS i tuoi servizi NetBIOS a utenti malintenzionati. Per ulteriori informazioni, consulta Panoramica delle regole firewall VPC.

Le porte del servizio NetBIOS sono:

• TCP - 137, 138, 139
• UDP - 137, 138, 139

Questo risultato viene generato per le regole firewall vulnerabili, anche se le disattivi intenzionalmente. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola nella ricerca.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Open OracleDB port

Nome categoria nell'API: OPEN_ORACLEDB_PORT

Le regole firewall che consentono a qualsiasi indirizzo IP di connettersi alle porte OracleDB potrebbero esporre i tuoi servizi OracleDB a utenti malintenzionati. Per ulteriori informazioni, consulta Panoramica delle regole firewall VPC.

Le porte del servizio OracleDB sono:

• TCP - 1521, 2483, 2484
• UDP - 2483, 2484

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. I risultati attivi per le regole firewall disattivate ti avvisano delle configurazioni non sicure che consentono il traffico indesiderato se abilitate.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola firewall nel risultato.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Open POP3 port

Nome categoria nell'API: OPEN_POP3_PORT

Le regole firewall che consentono a qualsiasi indirizzo IP di connettersi alle porte POP3 potrebbero esporre i tuoi servizi POP3 a utenti malintenzionati. Per ulteriori informazioni, consulta la panoramica delle regole del firewall VPC.

Le porte del servizio POP3 sono:

• TCP - 110

Questo risultato viene generato per le regole firewall vulnerabili, anche se le disattivi intenzionalmente. Se abilitati, i risultati attivi per le regole firewall disattivate ti avvisano delle configurazioni non sicure che consentono il traffico indesiderato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola firewall nel risultato.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open PostgreSQL port

Nome categoria nell'API: OPEN_POSTGRESQL_PORT

Le regole firewall che consentono a qualsiasi indirizzo IP di connettersi alle porte PostgreSQL potrebbero esporre i tuoi servizi PostgreSQL a utenti malintenzionati. Per ulteriori informazioni, consulta Panoramica delle regole firewall VPC.

Le porte del servizio PostgreSQL sono:

• TCP - 5432
• UDP - 5432

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola firewall nel risultato.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Open RDP port

Nome categoria nell'API: OPEN_RDP_PORT

Le regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte RDP potrebbero esporre i tuoi servizi RDP ai malintenzionati. Per ulteriori informazioni, vedi VPC panoramica sulle regole firewall.

Le porte del servizio RDP sono:

• TCP - 3389
• UDP - 3389

Questo risultato viene generato per le regole firewall vulnerabili, anche se le disattivi intenzionalmente. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola nella ricerca.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open Redis port

Nome della categoria nell'API: OPEN_REDIS_PORT

Le regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte Redis potrebbero esporre i tuoi servizi Redis ai malintenzionati. Per ulteriori informazioni, consulta la panoramica delle regole del firewall VPC.

Le porte del servizio Redis sono:

• TCP - 6379

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola nella ricerca.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open SMTP port

Nome categoria nell'API: OPEN_SMTP_PORT

Le regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte SMTP potrebbero esporre i tuoi servizi SMTP ai malintenzionati. Per ulteriori informazioni, consulta la panoramica delle regole del firewall VPC.

Le porte del servizio SMTP sono:

• TCP - 25

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. I risultati attivi per le regole firewall disattivate ti avvisano delle configurazioni non sicure che consentono il traffico indesiderato se abilitate.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola nella ricerca.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Open SSH port

Nome della categoria nell'API: OPEN_SSH_PORT

Le regole firewall che consentono a qualsiasi indirizzo IP di connettersi alle porte SSH potrebbero esporre i tuoi servizi SSH a utenti malintenzionati. Per ulteriori informazioni, consulta la panoramica delle regole del firewall VPC.

Le porte del servizio SSH sono:

• SCTP - 22
• TCP - 22

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. I risultati attivi per le regole firewall disattivate ti avvisano delle configurazioni non sicure che consentono il traffico indesiderato se abilitate.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola nella ricerca.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Open Telnet port

Nome della categoria nell'API: OPEN_TELNET_PORT

Le regole firewall che autorizzano qualsiasi indirizzo IP a connettersi alle porte Telnet potrebbero esporre i servizi Telnet ai malintenzionati. Per ulteriori informazioni, vedi VPC panoramica sulle regole firewall.

Le porte del servizio Telnet sono:

• TCP - 23

Questo risultato viene generato per regole firewall vulnerabili, anche se disattivare intenzionalmente le regole. Risultati attivi per regole firewall disabilitate ti avvisa delle configurazioni non sicure che consentono traffico indesiderato se abilitato.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Firewall nella console Google Cloud.

   Vai a Firewall

2. Nell'elenco delle regole firewall, fai clic sul nome della regola nella ricerca.

3. Fai clic su edit Modifica.

4. In Intervalli IP di origine, elimina 0.0.0.0/0.

5. Aggiungi indirizzi IP o intervalli IP specifici che vuoi consentire di connettersi al in esecuzione in un'istanza Compute Engine.

6. Aggiungi i protocolli specifici e le porte che vuoi aprire sull'istanza.

7. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Org policy Confidential VM policy

Nome categoria nell'API: ORG_POLICY_CONFIDENTIAL_VM_POLICY

Una risorsa Compute Engine non è conforme alla constraints/compute.restrictNonConfidentialComputing organizzazione . Per ulteriori informazioni su questo vincolo dei criteri dell'organizzazione, consulta Applicare i vincoli dei criteri dell'organizzazione.

La tua organizzazione richiede che questa VM abbia il servizio Confidential VM attivo. Le VM per cui questo servizio non è abilitato non utilizzeranno la crittografia della memoria di runtime, saranno pertanto esposte ad attacchi alla memoria di runtime.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Nell'elenco delle istanze, fai clic sul nome dell'istanza nel rilevamento.

3. Se la VM non richiede il servizio Confidential VM, sposta in una nuova cartella o progetto.

4. Se la VM richiede Confidential VM, fai clic su delete Elimina.

5. Per creare una nuova istanza con Confidential VM abilitata, consulta Guida rapida: creazione di un'istanza Confidential VM.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Org policy location restriction

Nome della categoria nell'API: ORG_POLICY_LOCATION_RESTRICTION

Il vincolo gcp.resourceLocations del criterio dell'organizzazione ti consente di limitare la creazione di nuove risorse per le regioni Cloud selezionate. Per saperne di più, consulta Limitazione delle località delle risorse.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Per risolvere il problema, segui questi passaggi:

Il rilevatore ORG_POLICY_LOCATION_RESTRICTION copre molti tipi di risorse e le istruzioni di correzione sono diverse per ogni risorsa. L'approccio generale per rimediare alle violazioni relative alla posizione include quanto segue:

1. Copia, sposta o esegui il backup della risorsa al di fuori della regione o dei relativi dati in un risorsa della regione. Leggi la documentazione per i singoli servizi per ricevere istruzioni sullo spostamento delle risorse.
2. Elimina la risorsa originale esterna alla regione o i relativi dati.

Questo approccio non è possibile per tutti i tipi di risorse. Per istruzioni, consulta il i suggerimenti personalizzati forniti nel risultato.

Ulteriori considerazioni

Per correggere questo risultato, considera quanto segue.

Risorse gestite

I cicli di vita delle risorse sono talvolta gestiti e controllati da altri Google Cloud. Ad esempio, un gruppo di istanze Compute Engine gestite crea distrugge le istanze di Compute Engine in base alla sua criterio di scalabilità automatica del gruppo. Se le risorse gestite rientrano nell'ambito di dell'applicazione della posizione, entrambi potrebbero essere segnalati per violazione Criterio dell'organizzazione. La correzione dei risultati per le risorse gestite deve vengono eseguiti sulla risorsa di gestione per garantire la stabilità operativa.

Risorse in uso

Alcune risorse vengono utilizzate da altre risorse. Ad esempio, un disco Compute Engine collegato a un'istanza Compute Engine in esecuzione è considerato in uso dall'istanza. Se la risorsa in uso viola i criteri dell'organizzazione relativi alla località, devi assicurarti che la risorsa non sia in uso prima di risolvere la violazione della località.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

OS login disabled

Nome categoria nell'API: OS_LOGIN_DISABLED

L'accesso al sistema operativo è disabilitato in questa istanza Compute Engine.

L'accesso al sistema operativo consente la gestione centralizzata delle chiavi SSH con IAM e disattiva la configurazione delle chiavi SSH basata su metadati in tutte le istanze di un progetto. Scopri come configurare e impostare l'accesso OS.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Metadati nella console Google Cloud.

   Vai a Metadati

2. Fai clic prima su Modifica e poi su Aggiungi elemento.

3. Aggiungi un elemento con chiave enable-oslogin e valore TRUE.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Over privileged account

Nome categoria nell'API: OVER_PRIVILEGED_ACCOUNT

Un nodo GKE sta utilizzando il nodo di servizio predefinito di Compute Engine, che ha accesso ampio per impostazione predefinita e che potrebbe avere privilegi in eccesso per l'esecuzione di cluster GKE.

Per correggere questo risultato, completa i seguenti passaggi:

Segui le istruzioni per utilizzare gli account di servizio Google con privilegi minimi.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Over privileged scopes

Nome della categoria nell'API: OVER_PRIVILEGED_SCOPES

Un account di servizio del nodo ha ambiti di accesso ampio.

Gli ambiti di accesso sono il metodo legacy per specificare le autorizzazioni per l'istanza. Per ridurre la possibilità di una escalation dei privilegi in un attacco, crea e utilizza un account di servizio con privilegi minimi per eseguire il cluster GKE.

Per correggere questo risultato, segui le istruzioni per Utilizzare il privilegio minimo. Account di servizio Google.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Over privileged service account user

Nome categoria nell'API: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER

Un utente ha i ruoli iam.serviceAccountUser o iam.serviceAccountTokenCreator a livello di progetto, cartella o organizzazione, anziché per un account di servizio specifico.

La concessione di questi ruoli a un utente per un progetto, una cartella o un'organizzazione offre ai accesso utente a tutti gli account di servizio esistenti e futuri in quell'ambito. Questo potrebbe comportare un'escalation involontaria dei privilegi. Per ulteriori informazioni, consulta Autorizzazioni degli account di servizio.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina IAM nella console Google Cloud.

   Vai alla pagina IAM

2. Se necessario, seleziona il progetto, la cartella o l'organizzazione nel rilevamento.

3. Per ogni entità assegnata a roles/iam.serviceAccountUser o roles/iam.serviceAccountTokenCreator, procedi nel seguente modo:

   1. Fai clic su edit Modifica.
   2. Nel riquadro Modifica autorizzazioni, accanto ai ruoli, fai clic su delete Elimina.
   3. Fai clic su Salva.

4. Segui questa guida per concedere ai singoli utenti l'autorizzazione a rubare l'identità di un con un singolo account di servizio. Ti servono seguire la guida per ogni account di servizio che vuoi consentire agli utenti selezionati di si spaccia per te.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Owner not monitored

Nome categoria nell'API: OWNER_NOT_MONITORED

Le metriche e gli avvisi dei log non sono configurati per monitorare le assegnazioni o le modifiche alla proprietà del progetto.

Il ruolo Proprietario IAM dispone del livello di privilegio più elevato su una progetto. Per proteggere le tue risorse, configura avvisi per ricevere notifiche quando nuovi proprietari vengono aggiunti o rimossi. Per ulteriori informazioni, consulta Panoramica delle metriche.

A seconda della quantità di informazioni, i costi di Cloud Monitoring possono essere significativi. A capire l'utilizzo del servizio e i suoi costi, vedi Ottimizzazione dei costi: operazioni cloud.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

Crea metrica

1. Vai alla pagina Metriche basate su log nella console Google Cloud.

   Vai a Metriche basate su log

2. Fai clic su Crea metrica.

3. In Tipo di metrica, seleziona Contatore.

4. In Dettagli:

   1. Imposta un Nome metrica di log.
   2. Aggiungi una descrizione.
   3. Imposta Unità su 1.

5. In Selezione filtro, copia e incolla il seguente testo nel Crea filtro, sostituendo il testo esistente, se necessario:

     (protoPayload.serviceName="cloudresourcemanager.googleapis.com")
     AND (ProjectOwnership OR projectOwnerInvitee)
     OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="REMOVE"
     AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner")
     OR (protoPayload.serviceData.policyDelta.bindingDeltas.action="ADD"
     AND protoPayload.serviceData.policyDelta.bindingDeltas.role="roles/owner")

6. Fai clic su Crea metrica. Viene visualizzata una conferma.

Crea criterio di avviso

1. Nella console Google Cloud, vai alla pagina Metriche basate su log:

   Vai a Metriche basate su log

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

2. Nella sezione Metriche definite dall'utente, seleziona la metrica che hai creato nella sezione precedente.

3. Fai clic su Altro more_vert, quindi Fai clic su Crea avviso da metrica.

   Viene visualizzata la finestra di dialogo Nuova condizione con le opzioni di trasformazione dei dati e delle metriche precompilate.

4. Fai clic su Avanti.
   1. Rivedi le impostazioni precompilate. Ti consigliamo di modificare il valore soglia.
   2. Fai clic su Nome condizione e inserisci un nome per la condizione.
5. Fai clic su Avanti.

6. Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona una o più notifiche canali dal menu, quindi fai clic su OK.

   Per ricevere una notifica quando gli incidenti vengono aperti e chiusi, seleziona Invia una notifica alla chiusura dell'incidente. Per impostazione predefinita, le notifiche vengono inviate solo quando vengono aperti gli incidenti.

7. (Facoltativo) Aggiorna la Durata chiusura automatica incidenti. Questo campo determina quando Monitoring chiude gli incidenti in assenza di dati delle metriche.
8. (Facoltativo) Fai clic su Documentazione e aggiungi tutte le informazioni che vuoi includere in un messaggio di notifica.
9. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
10. Fai clic su Crea criterio.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Pod security policy disabled

Nome categoria nell'API: POD_SECURITY_POLICY_DISABLED

PodSecurityPolicy è disabilitato su un cluster GKE.

Un PodSecurityPolicy è una risorsa controller di ammissione che convalida richieste per la creazione e l'aggiornamento dei pod su un cluster. I cluster non accettano i pod che non soddisfano le condizioni definite in PodSecurityPolicy.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per correggere questo risultato, definisci e autorizza PodSecurityPolicies. attivare il controller PodSecurityPolicy. Per le istruzioni, consulta Utilizzare PodSecurityPolicies.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Primitive roles used

Nome della categoria nell'API: PRIMITIVE_ROLES_USED

Un utente ha uno dei seguenti ruoli IAM di base: roles/owner, roles/editor o roles/viewer. Questi ruoli sono troppo permissivi e non devono essere utilizzati. Devono invece essere assegnati solo per progetto.

Per ulteriori informazioni, vedi Informazioni ruoli.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina del criterio IAM nella console Google Cloud.

   Vai al criterio IAM

2. Per ogni utente a cui è stato assegnato un ruolo primitivo, ti consigliamo di utilizzare ruoli più granulari.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Private cluster disabled

Nome categoria nell'API: PRIVATE_CLUSTER_DISABLED

Un cluster GKE ha un cluster privato disabilitato.

I cluster privati consentono ai nodi di avere solo indirizzi IP privati. Questa funzionalità limita l'accesso a internet in uscita per i nodi. Se un nodo cluster non ha un indirizzo IP pubblico, non può essere trovato o esposto alla rete internet pubblica. Tu può comunque instradare traffico a un nodo utilizzando un bilanciatore del carico interno. Per maggiori informazioni informazioni, consulta Cluster privati.

Non puoi rendere privato un cluster esistente. Per correggere questo risultato, crea un nuovo cluster privato:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Fai clic su Crea cluster.

3. Nel menu di navigazione, in Cluster, seleziona Networking.

4. Seleziona il pulsante di opzione per Cluster privato.

5. In Opzioni di rete avanzate, seleziona la casella di controllo Abilita. Routing del traffico VPC nativo (mediante IP alias).

6. Fai clic su Crea.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Private Google access disabled

Nome categoria nell'API: PRIVATE_GOOGLE_ACCESS_DISABLED

Esistono subnet private senza accesso alle API pubbliche di Google.

L'accesso privato Google consente alle istanze VM con soli indirizzi IP interni (privati) di raggiungere gli indirizzi IP pubblici delle API e dei servizi Google.

Per ulteriori informazioni, consulta Configurare l'accesso privato Google.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Reti VPC nella console Google Cloud.

   Vai a Reti VPC

2. Nell'elenco delle reti, fai clic sul nome della rete desiderata.

3. Nella pagina Dettagli rete VPC, fai clic sulla scheda Subnet.

4. Nell'elenco delle subnet, fai clic sul nome della subnet associata al Kubernetes nel risultato.

5. Nella pagina Dettagli subnet, fai clic su edit Modifica.

6. In Accesso privato Google, seleziona On.

7. Fai clic su Salva.

8. Per rimuovere gli IP pubblici (esterni) dalle istanze VM il cui il traffico è indirizzato alle API di Google. Consulta l'articolo Annullamento dell'assegnazione di un indirizzo IP esterno statico.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Public bucket ACL

Nome della categoria nell'API: PUBLIC_BUCKET_ACL

Un bucket è pubblico e chiunque su internet può accedervi.

Per ulteriori informazioni, consulta la Panoramica delle e il controllo dell'accesso.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Browser di archiviazione nella console Google Cloud.

   Vai al browser di Storage

2. Seleziona il bucket elencato nel risultato di Security Health Analytics.

3. Nella pagina Dettagli bucket, fai clic sulla scheda Autorizzazioni.

4. Accanto a Visualizza per, fai clic su Ruoli.

5. Nella casella Filtra, cerca allUsers e allAuthenticatedUsers.

6. Fai clic su delete Elimina per rimuovere tutte le autorizzazioni IAM concesse a allUsers e allAuthenticatedUsers.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Public Compute image

Nome della categoria nell'API: PUBLIC_COMPUTE_IMAGE

Un'immagine Compute Engine è pubblica ed è accessibile a chiunque su internet. allUsers rappresenta tutti gli utenti su internet, mentre allAuthenticatedUsers rappresenta chiunque sia autenticato con un Account Google; nessuno dei due è limitato agli utenti all'interno della tua organizzazione.

Le immagini Compute Engine potrebbero contenere informazioni sensibili, come la crittografia chiavi o software concesso in licenza. Queste informazioni sensibili non devono essere accessibili. Se volevi rendere pubblica questa immagine Compute Engine, assicurati che non contenga informazioni sensibili.

Per ulteriori informazioni, consulta la panoramica del controllo dell'accesso.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina delle immagini Compute Engine nella console Google Cloud.

   Vai alle immagini Compute Engine

2. Seleziona la casella accanto all'immagine public-image, poi fai clic su Mostra riquadro informazioni.

3. Nella casella Filtro, cerca le entità allUsers e allAuthenticatedUsers.

4. Espandi il ruolo per cui vuoi rimuovere gli utenti.

5. Fai clic su delete Elimina per rimuovere un utente da quel ruolo.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Public dataset

Nome della categoria nell'API: PUBLIC_DATASET

Un set di dati BigQuery è pubblico e accessibile a chiunque su internet. L'entità IAM allUsers rappresenta chiunque su internet e allAuthenticatedUsers rappresenta chiunque abbia eseguito l'accesso a un service; nessuno dei due è vincolato agli utenti della tua organizzazione.

Per ulteriori informazioni, consulta Controllare l'accesso ai set di dati.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Explorer di BigQuery nella nella console Google Cloud.

   Vai al set di dati BigQuery

2. Nell'elenco dei set di dati, fai clic sul nome del set di dati identificato nel rilevamento. Si apre il riquadro Informazioni sul set di dati.

3. Nella parte superiore del riquadro Informazioni set di dati, fai clic su CONDIVISIONE.

4. Nel menu a discesa, fai clic su Autorizzazioni.

5. Nel riquadro Autorizzazioni set di dati, inserisci allUsers e allAuthenticatedUsers e rimuovi l'accesso per queste entità.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Public IP address

Nome categoria nell'API: PUBLIC_IP_ADDRESS

Un'istanza Compute Engine ha un indirizzo IP pubblico.

Per ridurre il numero di utenti superficie di attacco, evita di assegnare IP pubblici alle VM. Le istanze arrestate potrebbero essere ancora segnalate con un esito IP pubblico, ad esempio se le interfacce di rete sono configurate per assegnare un IP pubblico temporaneo all'avvio. Assicurati che le configurazioni di rete per le istanze arrestate non includono l'accesso esterno.

Per ulteriori informazioni, consulta Connessione sicura alle istanze VM.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Nell'elenco delle istanze, seleziona la casella accanto al nome dell'istanza nel risultato.

3. Fai clic su edit Modifica.

4. Per ogni interfaccia in Interfacce di rete, fai clic su edit Modifica e imposta IP esterno su Nessuno.

5. Fai clic su Fine e poi su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Public log bucket

Nome della categoria nell'API: PUBLIC_LOG_BUCKET

Questo risultato non è disponibile per le attivazioni a livello di progetto.

Un bucket di archiviazione è pubblico e utilizzato come sink di log, il che significa che chiunque internet può accedere ai log archiviati in questo bucket. allUsers rappresenta chiunque su internet e allAuthenticatedUsers rappresenta chiunque sia ha eseguito l'accesso a un servizio Google; nessuno dei due è vincolato agli utenti all'interno del tuo dell'organizzazione.

Per ulteriori informazioni, consulta la Panoramica delle e il controllo dell'accesso.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina del browser Cloud Storage nella nella console Google Cloud.

   Vai a Browser Cloud Storage.

2. Nell'elenco dei bucket, fai clic sul nome del bucket indicato nella ricerca.

3. Fai clic sulla scheda Autorizzazioni.

4. Rimuovi allUsers e allAuthenticatedUsers dall'elenco di entità.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Public SQL instance

Nome della categoria nell'API: PUBLIC_SQL_INSTANCE

La tua istanza SQL ha 0.0.0.0/0 come rete consentita. Questa occorrenza significa che qualsiasi client IPv4 può superare il firewall di rete ed eseguire tentativi di accesso all'istanza, inclusi i client che potresti non voler consentire. Clienti devono comunque avere credenziali valide per accedere all'istanza.

Per ulteriori informazioni, consulta Autorizzazione con reti autorizzate.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nel riquadro di navigazione, fai clic su Connessioni.

5. In Reti autorizzate, elimina 0.0.0.0/0 e aggiungi un IP specifico indirizzi IP o intervalli IP che vuoi consentire di connettersi all'istanza.

6. Fai clic su Fine e poi su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Pubsub CMEK disabled

Nome categoria nell'API: PUBSUB_CMEK_DISABLED

Un argomento Pub/Sub non è criptato e le chiavi di crittografia gestite dal cliente (CMEK).

Con CMEK, le chiavi che crei e gestisci in Cloud KMS eseguono il wrapping delle chiavi che Google utilizza per criptare i tuoi dati, offrendoti un maggiore controllo sull'accesso i tuoi dati.

Per risolvere il problema, elimina l'argomento esistente e creane uno nuovo:

1. Vai alla pagina Argomenti di Pub/Sub nella console Google Cloud.

   Vai ad Argomenti

2. Se necessario, seleziona il progetto contenente l'argomento Pub/Sub.

3. Seleziona la casella di controllo accanto all'argomento elencato nel risultato, quindi fai clic su delete Elimina.

4. Per creare un nuovo argomento Pub/Sub con CMEK abilitata, vedi Utilizzo delle chiavi di crittografia gestite dal cliente. Le chiavi CMEK comportano costi aggiuntivi relativi a Cloud KMS.

5. Pubblicare risultati o altri dati su l'argomento Pub/Sub abilitato per CMEK.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Route not monitored

Nome categoria nell'API: ROUTE_NOT_MONITORED

Le metriche e gli avvisi dei log non sono configurati per monitorare le modifiche alle route della rete VPC.

Le route Google Cloud sono destinazioni e hop che definiscono il percorso seguito dal traffico di rete da un'istanza VM a un IP di destinazione. Monitorando le modifiche alle tabelle delle route, puoi contribuire a garantire che tutto il traffico VPC passi attraverso un percorso previsto.

Per ulteriori informazioni, consulta la panoramica delle metriche basate su log.

A seconda della quantità di informazioni, i costi di Cloud Monitoring possono essere significativi. A capire l'utilizzo del servizio e i suoi costi, vedi Ottimizzazione dei costi: operazioni cloud.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

Crea metrica

1. Vai alla pagina Metriche basate su log nella console Google Cloud.

   Vai a Metriche basate su log

2. Fai clic su Crea metrica.

3. In Tipo di metrica, seleziona Contatore.

4. In Dettagli:

   1. Imposta un Nome metrica di log.
   2. Aggiungi una descrizione.
   3. Imposta Unità su 1.

5. In Selezione filtro, copia e incolla il seguente testo nel Crea filtro, sostituendo il testo esistente, se necessario:

     resource.type="gce_route"
     AND (protoPayload.methodName:"compute.routes.delete"
     OR protoPayload.methodName:"compute.routes.insert")

6. Fai clic su Crea metrica. Viene visualizzata una conferma.

Crea criterio di avviso

1. Nella console Google Cloud, vai alla pagina Metriche basate su log:

   Vai a Metriche basate su log

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

2. Nella sezione Metriche definite dall'utente, seleziona la metrica che hai creato nella sezione precedente.

3. Fai clic su Altro more_vert, quindi Fai clic su Crea avviso da metrica.

   Viene visualizzata la finestra di dialogo Nuova condizione con le opzioni di trasformazione dei dati e delle metriche precompilate.

4. Fai clic su Avanti.
   1. Rivedi le impostazioni precompilate. Ti consigliamo di modificare il valore soglia.
   2. Fai clic su Nome condizione e inserisci un nome per la condizione.
5. Fai clic su Avanti.

6. Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona una o più notifiche canali dal menu, quindi fai clic su OK.

   Per ricevere una notifica quando gli incidenti vengono aperti e chiusi, seleziona Invia una notifica alla chiusura dell'incidente. Per impostazione predefinita, le notifiche vengono inviate solo quando vengono aperti gli incidenti.

7. (Facoltativo) Aggiorna la Durata chiusura automatica incidenti. Questo campo determina quando Monitoring chiude gli incidenti in assenza di dati delle metriche.
8. (Facoltativo) Fai clic su Documentazione e aggiungi tutte le informazioni che vuoi includere in un messaggio di notifica.
9. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
10. Fai clic su Crea criterio.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Redis role used on org

Nome categoria nell'API: REDIS_ROLE_USED_ON_ORG

Questo risultato non è disponibile per le attivazioni a livello di progetto.

Un ruolo IAM Redis viene assegnato a livello di organizzazione o cartella.

I seguenti ruoli IAM Redis devono essere assegnati solo per progetto, non a livello di organizzazione o cartella:

• roles/redis.admin
• roles/redis.viewer
• roles/redis.editor

Per ulteriori informazioni, consulta Controllo dell'accesso e autorizzazioni.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina dei criteri IAM nella console Google Cloud.

   Vai al criterio IAM

2. Rimuovi i ruoli IAM Redis indicati nel risultato e aggiungi nei singoli progetti.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Release channel disabled

Nome della categoria nell'API: RELEASE_CHANNEL_DISABLED

Un cluster GKE non è iscritto a un canale di rilascio.

Abbonati a un canale di rilascio per automatizzare gli upgrade delle versioni al cluster GKE. Le funzionalità riducono inoltre la complessità della gestione delle versioni in base al numero di funzionalità e al livello di stabilità richiesti. Per maggiori informazioni, consulta la pagina Canali di rilascio.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Nella sezione Impostazioni di base del cluster, fai clic su edit Esegui l'upgrade del cluster principale nella riga Canale di rilascio.

   Se la configurazione del cluster è stata modificata di recente, il pulsante di modifica potrebbe essere disattivata. Se non riesci a modificare le impostazioni del cluster, attendi alcuni minuti e riprova.

3. Nella finestra di dialogo, seleziona Canale di rilascio, quindi scegli il canale di rilascio a cui vuoi iscriverti.

   Se non è possibile eseguire l'upgrade della versione del piano di controllo del cluster a un canale di rilascio, quel canale potrebbe essere disattivato come opzione.

4. Fai clic su Salva modifiche.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

RSASHA1 for signing

Nome categoria nell'API: RSASHA1_FOR_SIGNING

RSASHA1 viene utilizzato per la firma della chiave nelle zone Cloud DNS. L'algoritmo utilizzato per la firma della chiave non deve essere debole.

Per risolvere il problema, sostituisci l'algoritmo con uno consigliato seguendo la guida Utilizzare le opzioni di firma avanzate.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Service account key not rotated

Nome della categoria nell'API: SERVICE_ACCOUNT_KEY_NOT_ROTATED

Questo risultato non è disponibile per le attivazioni a livello di progetto.

Una chiave dell'account di servizio gestita dall'utente non è stata ruotata da più di 90 giorni.

In generale, le chiavi del service account gestite dall'utente devono essere ruotate almeno ogni 90 giorni per garantire che non sia possibile accedere ai dati con una vecchia chiave che potrebbe essere stata persa, compromessa o rubata. Per ulteriori informazioni, vedi Ruota le chiavi degli account di servizio per ridurre i rischi per la sicurezza causati dalla compromissione di chiavi.

Se hai generato autonomamente la coppia di chiavi pubblica/privata, hai memorizzato la chiave privata in un modulo di sicurezza hardware (HSM) e hai caricato la chiave pubblica su Google, potresti non dover ruotare la chiave ogni 90 giorni. Puoi invece ruotare la chiave riteniamo che possa essere stata compromessa.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Account di servizio nella console Google Cloud.

   Vai a Service account

2. Se necessario, seleziona il progetto indicato nel risultato.

3. Nell'elenco degli account di servizio, individua l'account di servizio indicato nel ritrovato e fai clic su delete Elimina. Prima di procedere, valuta l'impatto che l'eliminazione di un account di servizio potrebbe avere sulle risorse di produzione.

4. Crea una nuova chiave dell'account di servizio per sostituire quella precedente. Per maggiori informazioni, consulta la sezione Creare chiavi dell'account di servizio.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Service account role separation

Nome della categoria nell'API: SERVICE_ACCOUNT_ROLE_SEPARATION

Questo risultato non è disponibile per le attivazioni a livello di progetto.

A una o più entità dell'organizzazione sono assegnate più autorizzazioni per il service account. Nessun account deve avere contemporaneamente l'autorizzazione Amministratore account di servizio e altre autorizzazioni per gli account di servizio. Per scoprire di più sul servizio e i ruoli disponibili, consulta Servizi Google Cloud.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina IAM nella console Google Cloud.

   Vai a IAM

2. Per ogni entità elencata nel risultato:

   1. Per verificare se il ruolo è stato ereditato da una cartella o una risorsa dell'organizzazione, controlla la colonna Ereditarietà. Se la colonna contiene un link a una risorsa principale, fai clic sul link per accedere alla pagina IAM della risorsa principale.
   2. Fai clic su edit Modifica accanto a un'entità.
   3. Per rimuovere le autorizzazioni, fai clic su delete Elimina accanto a Amministratore account di servizio. Se vuoi rimuovere tutto l'account di servizio autorizzazioni, fai clic su Elimina accanto a tutte le altre autorizzazioni.

3. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Shielded VM disabled

Nome della categoria nell'API: SHIELDED_VM_DISABLED

La Shielded VM è disabilitata su questa istanza Compute Engine.

Le Shielded VM sono macchine virtuali (VM) su Google Cloud protette da un set di controlli di sicurezza che contribuiscono alla difesa da rootkit e bootkit. Le Shielded VM aiutano a garantire che il bootloader e il firmware siano firmati e verificati. Scopri di più sulle Shielded VM.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze VM nella console Google Cloud.

   Vai a Istanze VM

2. Seleziona l'istanza relativa al risultato di Security Health Analytics.

3. Nella pagina Dettagli istanza che si carica, fai clic su stop Interrompi.

4. Una volta interrotta l'istanza, fai clic su edit Modifica.

5. Nella sezione Shielded VM, attiva Attiva vTPM e Attiva il monitoraggio dell'integrità per abilitare la Shielded VM.

6. Facoltativamente, se non usi driver personalizzati o non firmati, quindi attiva anche Avvio protetto.

7. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Dettagli istanza.

8. Fai clic su play_arrow Avvia per avviare l'istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL CMEK disabled

Nome della categoria nell'API: SQL_CMEK_DISABLED

Un'istanza di database SQL non sta utilizzando chiavi di crittografia gestite dal cliente (CMEK).

Con CMEK, le chiavi che crei e gestisci in Cloud KMS eseguono il wrapping delle chiavi che Google utilizza per criptare i tuoi dati, offrendoti un maggiore controllo sull'accesso i tuoi dati. Per saperne di più, consulta le panoramiche di CMEK per il tuo prodotto: Cloud SQL per MySQL, Cloud SQL per PostgreSQL o Cloud SQL per SQL Server. CMEK comporta costi aggiuntivi di Cloud KMS.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su delete Elimina.

4. Per creare una nuova istanza con CMEK abilitata, segui le istruzioni per configura CMEK per il tuo prodotto:

   1. Cloud SQL per MySQL
   2. Cloud SQL per PostgreSQL
   3. Cloud SQL per SQL Server

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL contained database authentication

Nome categoria nell'API: SQL_CONTAINED_DATABASE_AUTHENTICATION

Un'istanza di database Cloud SQL per SQL Server non ha il flag di database autenticazione database indipendente impostato su Off.

Il flag autenticazione database contenuti determina se puoi creare o collegare database contenuti al motore del database. Un database contenuto include tutte le impostazioni e i metadati necessari per definire il database non ha dipendenze di configurazione sull'istanza del motore di database in cui in cui il database sia installato.

L'attivazione di questo flag non è consigliata per i seguenti motivi:

• Gli utenti possono connettersi al database senza autenticazione nel database Livello motore di ricerca.
• Isolare il database dal motore di database consente di spostarlo in un'altra istanza di SQL Server.

I database contenuti affrontano minacce uniche che devono essere comprese e ridotte dagli amministratori del motore di database SQL Server. La maggior parte delle minacce deriva dalla Processo di autenticazione USER WITH PASSWORD, che sposta l'autenticazione dal livello del motore di database al livello del database.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il flag di database autenticazione database indipendente sul valore Off.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

SQL cross DB ownership chaining

Nome della categoria nell'API: SQL_CROSS_DB_OWNERSHIP_CHAINING

Un'istanza di database Cloud SQL per SQL Server non ha il flag di database cross_db_ownership_chaining impostato su Off.

Il flag cross db ownership chaining consente di controllare il concatenamento della proprietà tra database a livello di database della proprietà tra database per tutte le istruzioni di database.

L'abilitazione di questo flag non è consigliata a meno che tutti i database ospitati dall'istanza di SQL Server non partecipino al concatenamento della proprietà tra database e tenendo presenti le implicazioni per la sicurezza di questa impostazione.

Per ulteriori informazioni, consulta la sezione Configurare i flag del database.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta la proprietà cross db chaining di database con il valore Off.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

SQL external scripts enabled

Nome categoria nell'API: SQL_EXTERNAL_SCRIPTS_ENABLED

Un'istanza di database Cloud SQL per SQL Server non ha il flag di database script esterni abilitati impostato su Off.

Quando è attivata, questa impostazione consente l'esecuzione di script con determinate da estensioni di lingua remote. Poiché questa funzione può influire negativamente sulla sicurezza del sistema, ti consigliamo di disabilitarlo.

Per ulteriori informazioni, consulta la pagina Configurare i flag di database.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il flag di database external script enabled su Off.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL instance not monitored

Nome categoria nell'API: SQL_INSTANCE_NOT_MONITORED

Questo risultato non è disponibile per le attivazioni a livello di progetto.

Le metriche e gli avvisi dei log non sono configurati per monitorare le modifiche alla configurazione dell'istanza Cloud SQL.

La configurazione errata delle opzioni dell'istanza SQL può causare rischi per la sicurezza. Disabilitazione in corso... le opzioni di backup automatico e alta disponibilità potrebbero influire sulla continuità aziendale la mancata limitazione delle reti autorizzate potrebbe aumentare l'esposizione ai contenuti non attendibili reti. Il monitoraggio delle modifiche alla configurazione dell'istanza SQL consente di ridurre tempo necessario per rilevare e correggere gli errori di configurazione.

Per ulteriori informazioni, consulta Panoramica dei log- basate su metriche.

A seconda della quantità di informazioni, i costi di Cloud Monitoring possono essere significativi. Per comprendere l'utilizzo del servizio e i relativi costi, consulta Ottimizzare i costi: operazioni cloud.

Per le attivazioni a livello di progetto del livello Premium di Security Command Center: questo risultato è disponibile solo se il livello Standard è abilitato nella dell'organizzazione principale.

Per correggere questo risultato, completa i seguenti passaggi:

Crea metrica

1. Vai alla pagina Metriche basate su log nella console Google Cloud.

   Vai a Metriche basate su log

2. Fai clic su Crea metrica.

3. In Tipo di metrica, seleziona Contatore.

4. In Dettagli:

   1. Imposta un Nome metrica di log.
   2. Aggiungi una descrizione.
   3. Imposta Unità su 1.

5. In Selezione filtro, copia e incolla il seguente testo nel Crea filtro, sostituendo il testo esistente, se necessario:

     protoPayload.methodName="cloudsql.instances.update"
     OR protoPayload.methodName="cloudsql.instances.create"
     OR protoPayload.methodName="cloudsql.instances.delete"

6. Fai clic su Crea metrica. Viene visualizzata una conferma.

Crea criterio di avviso

1. Nella console Google Cloud, vai alla pagina Metriche basate su log:

   Vai a Metriche basate su log

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

2. Nella sezione Metriche definite dall'utente, seleziona la metrica che hai creato nella sezione precedente.

3. Fai clic su Altro more_vert, quindi Fai clic su Crea avviso da metrica.

   Viene visualizzata la finestra di dialogo Nuova condizione con le opzioni di trasformazione dei dati e delle metriche precompilate.

4. Fai clic su Avanti.
   1. Rivedi le impostazioni precompilate. Ti consigliamo di modificare il valore soglia.
   2. Fai clic su Nome condizione e inserisci un nome per la condizione.
5. Fai clic su Avanti.

6. Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona una o più notifiche canali dal menu, quindi fai clic su OK.

   Per ricevere una notifica quando gli incidenti vengono aperti e chiusi, seleziona Invia una notifica alla chiusura dell'incidente. Per impostazione predefinita, le notifiche vengono inviate solo quando vengono aperti gli incidenti.

7. (Facoltativo) Aggiorna la Durata chiusura automatica incidenti. Questo campo determina quando Monitoring chiude gli incidenti in assenza di dati delle metriche.
8. (Facoltativo) Fai clic su Documentazione e aggiungi tutte le informazioni che vuoi includere in un messaggio di notifica.
9. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
10. Fai clic su Crea criterio.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL local infile

Nome categoria nell'API: SQL_LOCAL_INFILE

Un'istanza di database Cloud SQL per MySQL non ha il flag di database local_infile impostato su Off. A causa di problemi di sicurezza associati al flag local_infile, deve essere disattivato. Per ulteriori informazioni, vedi Configurazione dei flag di database.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il flag del database local_infile sul valore Off.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

SQL log checkpoints disabled

Nome categoria nell'API: SQL_LOG_CHECKPOINTS_DISABLED

Un'istanza di database Cloud SQL per PostgreSQL non ha Flag di database log_checkpoints impostato su On.

L'abilitazione di log_checkpoints fa sì che i punti di controllo e i punti di riavvio vengano registrati nel log del server. Alcune statistiche sono incluse nei messaggi di log, tra cui il numero di buffer scritti e il tempo di scrittura.

Per ulteriori informazioni, consulta Configurazione del database e i flag facoltativi.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il flag di database log_checkpoints sul valore On.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

SQL log connections disabled

Nome della categoria nell'API: SQL_LOG_CONNECTIONS_DISABLED

Un'istanza di database Cloud SQL per PostgreSQL non ha Flag di database log_connections impostato su On.

L'abilitazione dell'impostazione log_connections comporta la registrazione dei tentativi di connessione al server e il corretto completamento dell'autenticazione client. I log possono essere utili per la risoluzione dei problemi e per verificare i tentativi di connessione insoliti al server.

Per ulteriori informazioni, consulta Configurazione del database e i flag facoltativi.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il flag del database log_connections sul valore On.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

SQL log disconnections disabled

Nome della categoria nell'API: SQL_LOG_DISCONNECTIONS_DISABLED

Un'istanza di database Cloud SQL per PostgreSQL non ha Flag di database log_disconnections impostato su On.

Se si abilita l'impostazione log_disconnections vengono create voci di log alla fine ogni sessione. I log sono utili per la risoluzione dei problemi e per la conferma di attività insolite in un periodo di tempo. Per ulteriori informazioni, consulta Configurazione di database.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta log_disconnections il flag di database con il valore On.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL log duration disabled

Nome della categoria nell'API: SQL_LOG_DURATION_DISABLED

Un'istanza di database Cloud SQL per PostgreSQL non ha Flag di database log_duration impostato su On.

Quando il parametro log_duration è abilitato, questa impostazione determina il tempo di esecuzione e durata di ogni istruzione completata da registrare. Monitoraggio del tempo necessario per eseguire le query può essere fondamentale per identificare le query lente la risoluzione dei problemi del database.

Per ulteriori informazioni, consulta la sezione Configurare i flag del database.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il flag di database log_duration su On.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL log error verbosity

Nome della categoria nell'API: SQL_LOG_ERROR_VERBOSITY

Un'istanza di database Cloud SQL per PostgreSQL non ha il log_error_verbosity impostato su default o verbose.

Il flag log_error_verbosity controlla la quantità di dettagli nei messaggi registrati. Maggiore è il livello di dettaglio, maggiori saranno i dettagli registrati nei messaggi. Ti consigliamo di impostare il flag su default o su verbose.

Per ulteriori informazioni, consulta Configurazione del database e i flag facoltativi.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il flag di database log_error_verbosity su default o verbose.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL log lock waits disabled

Nome della categoria nell'API: SQL_LOG_LOCK_WAITS_DISABLED

In un'istanza di database Cloud SQL per PostgreSQL il flag di database log_lock_waits non è impostato su On.

L'abilitazione dell'impostazione log_lock_waits crea voci di log quando il tempo di attesa della sessione è più lungo rispetto a quello richiesto da deadlock_timeout per acquisire un blocco. I log sono utili per determinare se i tempi di attesa del blocco causino una scarsa le prestazioni dei dispositivi.

Per ulteriori informazioni, consulta Configurazione del database e i flag facoltativi.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il database log_lock_waits con il valore On.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL log min duration statement enabled

Nome categoria nell'API: SQL_LOG_MIN_DURATION_STATEMENT_ENABLED

L'istanza di database Cloud SQL per PostgreSQL non ha il flag di database log_min_duration_statement impostato su -1.

Il flag log_min_duration_statement causa istruzioni SQL che vengono eseguite più a lungo rispetto al tempo specificato per la registrazione. Valuta la possibilità di disattivare questa impostazione poiché le istruzioni SQL potrebbero contenere informazioni sensibili che non devono essere registrate. Per maggiori informazioni, consulta la sezione Configurare i flag di database.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta log_min_duration_statement flag di database con il valore -1.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

SQL log min error statement

Nome categoria nell'API: SQL_LOG_MIN_ERROR_STATEMENT

In un'istanza di database Cloud SQL per PostgreSQL non è impostato correttamente il flag di database log_min_error_statement.

Il flag log_min_error_statement controlla se le istruzioni SQL che causano condizioni di errore vengono registrate nei log del server. delle istruzioni SQL con gravità o maggiore vengono registrati con messaggi per le istruzioni con errori. Più elevata è la gravità, minore è il numero di messaggi registrati.

Se il valore impostato per log_min_error_statement non è quello corretto, i messaggi potrebbero non essere classificati come messaggi di errore. Se la gravità impostata è troppo bassa, il numero di messaggi potrebbe aumentare e sarebbe difficile trovare gli errori veri e propri. Se la gravità impostata è troppo elevata, è possibile che i messaggi relativi agli errori effettivi non vengano registrati.

Per ulteriori informazioni, consulta la sezione Configurare i flag del database.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il valore Il flag di database log_min_error_statement con uno dei seguenti consigliati, in base ai criteri di logging della tua organizzazione.

   • debug5
   • debug4
   • debug3
   • debug2
   • debug1
   • info
   • notice
   • warning
   • error

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL log min error statement severity

Nome della categoria nell'API: SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY

In un'istanza di database Cloud SQL per PostgreSQL non è impostato correttamente il flag di database log_min_error_statement.

Il flag log_min_error_statement controlla se le istruzioni SQL che causano vengono registrate nei log del server. delle istruzioni SQL la gravità o più restrittiva vengono registrati con messaggi per le istruzioni con errori. Maggiore è la gravità, minore è il numero di messaggi registrati.

Se log_min_error_statement non è impostato sul valore corretto, i messaggi potrebbero non essere classificati come messaggi di errore. Se la gravità impostata è troppo bassa, il numero di messaggi potrebbe aumentare e sarebbe difficile trovare gli errori veri e propri. Un livello di gravità troppo elevato (troppo rigoroso) potrebbe causare la mancata registrazione dei messaggi di errore relativi agli errori effettivi.

Ti consigliamo di impostare questo flag su error o su un valore più restrittivo.

Per ulteriori informazioni, consulta Configurazione del database e i flag facoltativi.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il log_min_error_statement su uno dei seguenti valori consigliati, in base al criterio di logging della tua organizzazione.

   • error
   • log
   • fatal
   • panic

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL log min messages

Nome categoria nell'API: SQL_LOG_MIN_MESSAGES

Un'istanza di database Cloud SQL per PostgreSQL non ha Flag di database log_min_messages impostato su almeno warning.

Il flag log_min_messages controlla quali livelli di messaggi vengono registrati nei log del server. Più elevata è la gravità, minore è il numero di messaggi registrato. L'impostazione di una soglia troppo bassa può comportare un aumento della dimensione e della durata dell'archiviazione dei log, il che complica l'individuazione di errori effettivi.

Per ulteriori informazioni, consulta la pagina Configurare i flag di database.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il log_min_messages su uno dei seguenti valori consigliati, in base al criterio di logging della tua organizzazione.

   • debug5
   • debug4
   • debug3
   • debug2
   • debug1
   • info
   • notice
   • warning

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL log executor stats enabled

Nome categoria nell'API: SQL_LOG_EXECUTOR_STATS_ENABLED

Un'istanza di database Cloud SQL per PostgreSQL non ha il log_executor_stats impostato su Off.

Quando viene attivato il flag log_executor_stats, le prestazioni dell'esecutore. statistiche sono incluse nei log PostgreSQL per ogni query. Questa impostazione può essere utile per la risoluzione dei problemi, ma può aumentare notevolmente il numero di log e l'overhead delle prestazioni.

Per ulteriori informazioni, consulta Configurazione del database e i flag facoltativi.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il database log_executor_stats su Off.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

SQL log hostname enabled

Nome categoria nell'API: `SQL_LOG_HOSTNAME_ENABLED

Un'istanza di database Cloud SQL per PostgreSQL non ha il log_hostname impostato su Off.

Quando il flag log_hostname è attivato, il nome host dell'host che si connette dei dati nel log. Per impostazione predefinita, i messaggi di log della connessione mostrano solo l'indirizzo IP. Questa impostazione può essere utile per la risoluzione dei problemi. Tuttavia, può comportare l'overhead perché per ogni istruzione registrata, la risoluzione DNS necessaria per convertire un indirizzo IP in un nome host.

Per ulteriori informazioni, consulta la sezione Configurare i flag del database.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il database log_hostname su Off.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL log parser stats enabled

Nome della categoria nell'API: SQL_LOG_PARSER_STATS_ENABLED

In un'istanza di database Cloud SQL per PostgreSQL il flag di database log_parser_stats non è impostato su Off.

Quando viene attivato il flag log_parser_stats, le statistiche sulle prestazioni dell'analizzatore sintattico incluse nei log PostgreSQL per ogni query. Questo può essere utile per la risoluzione dei problemi, ma può aumentare notevolmente il numero di log e il sovraccarico delle prestazioni.

Per ulteriori informazioni, consulta Configurazione del database e i flag facoltativi.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il flag di database log_parser_stats su Off.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

SQL log planner stats enabled

Nome categoria nell'API: SQL_LOG_PLANNER_STATS_ENABLED

In un'istanza di database Cloud SQL per PostgreSQL il flag di database log_planner_stats non è impostato su Off.

Quando il flag log_planner_stats è attivato, viene utilizzato un metodo di profilazione non elaborato per il logging delle statistiche sulle prestazioni dello strumento di pianificazione PostgreSQL. Questo può essere utile per la risoluzione dei problemi, ma può aumentare notevolmente il numero di log e il sovraccarico delle prestazioni.

Per ulteriori informazioni, consulta Configurazione del database e i flag facoltativi.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il flag di database log_planner_stats su Off.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL log statement

Nome categoria nell'API: SQL_LOG_STATEMENT

Un'istanza di database Cloud SQL per PostgreSQL non ha Flag di database log_statement impostato su ddl.

Il valore di questo flag controlla quali istruzioni SQL vengono registrate. Il logging aiuta a risolvere i problemi operativi e consente l'analisi forense. Se questo flag non è impostato sul valore corretto, le informazioni pertinenti potrebbero essere ignorate nascondersi in troppi messaggi. Si consiglia un valore ddl (tutte le istruzioni di definizione dei dati), se non diversamente indicato dal criterio di logging dell'organizzazione.

Per ulteriori informazioni, consulta la sezione Configurare i flag del database.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il flag di database log_statement su ddl.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL log statement stats enabled

Nome della categoria nell'API: SQL_LOG_STATEMENT_STATS_ENABLED

Un'istanza di database Cloud SQL per PostgreSQL non ha il flag di database log_statement_stats impostato su Off.

Quando il flag log_statement_stats è attivato, le statistiche sulle prestazioni end-to-end vengono incluse nei log PostgreSQL per ogni query. Questa impostazione può essere utile per la risoluzione dei problemi, ma può aumentare notevolmente il numero di log e l'overhead delle prestazioni.

Per ulteriori informazioni, consulta la sezione Configurare i flag del database.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il database log_statement_stats su Off.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL log temp files

Nome categoria nell'API: SQL_LOG_TEMP_FILES

Un'istanza del database Cloud SQL per PostgreSQL non ha il log_temp_files impostato su 0.

Potrebbero essere creati file temporanei per ordinamenti, hash e risultati temporanei delle query. Se imposti il flag log_temp_files su 0, tutti i file temporanei informazioni da registrare. La registrazione di tutti i file temporanei è utile per identificare eventuali problemi di prestazioni. Per ulteriori informazioni, consulta Configurazione del database e i flag facoltativi.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta il database log_temp_files con il valore 0.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

SQL no root password

Nome categoria nell'API: SQL_NO_ROOT_PASSWORD

Per un'istanza del database MySQL non è impostata una password per l'account root. Tu deve aggiungere una password all'istanza del database MySQL. Per ulteriori informazioni, consulta Utenti MySQL.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Nella pagina Dettagli istanza visualizzata, seleziona la scheda Utenti.

4. Accanto all'utente root, fai clic su Altro e poi seleziona Cambia password.

5. Inserisci una nuova password efficace e fai clic su Ok.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL public IP

Nome della categoria nell'API: SQL_PUBLIC_IP

Un database Cloud SQL ha un indirizzo IP pubblico.

Per ridurre la superficie di attacco della tua organizzazione, i database Cloud SQL non devono avere indirizzi IP pubblici. Gli indirizzi IP privati forniscono sicurezza di rete e latenza più bassa per l'applicazione.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Nel menu a sinistra, fai clic su Connections (Connessioni).

4. Fai clic sulla scheda Networking e deseleziona la casella di controllo IP pubblico.

5. Se l'istanza non è già configurata per utilizzare un IP privato, consulta Configurazione dell'IP privato per un'istanza esistente.

6. Fai clic su Salva.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

SQL remote access enabled

Nome della categoria nell'API: SQL_REMOTE_ACCESS_ENABLED

Un'istanza di un database Cloud SQL per SQL Server non ha l'accesso remoto il flag di database impostato su Off.

Quando è attivata, questa impostazione concede l'autorizzazione per eseguire stored procedure locali da server remoti o stored procedure remote dal server locale. Questa funzionalità può essere utilizzata in modo illecito per lanciare un attacco denial of service (DoS) su server remoti trasferendo l'elaborazione delle query a una destinazione. Per impedire utilizzi illeciti, ti consigliamo di disabilitare questa impostazione.

Per ulteriori informazioni, consulta la pagina Configurare i flag di database.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag, imposta remote access su Off.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL skip show database disabled

Nome della categoria nell'API: SQL_SKIP_SHOW_DATABASE_DISABLED

Un'istanza di database Cloud SQL per MySQL non ha il flag di database skip_show_database impostato su On.

Quando è attivato, questo flag impedisce agli utenti di utilizzare MOSTRA DATABASES se non dispongono del privilegio SHOW DATABASES. Con questo gli utenti senza autorizzazione esplicita non possono vedere i database che appartengono ad altri utenti. Ti consigliamo di attivare questo flag.

Per ulteriori informazioni, vedi Configurazione dei flag di database.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag, imposta skip_show_database su On.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL trace flag 3625

Nome della categoria nell'API: SQL_TRACE_FLAG_3625

Un'istanza di database Cloud SQL per SQL Server non ha il flag di database 3625 (flag di traccia) impostato su On.

Questo flag limita la quantità di informazioni restituite agli utenti che non del ruolo fisso sysadmin, mascherando i parametri di alcuni di errore utilizzando gli asterischi (******). Per evitare divulgazione di informazioni sensibili, consigliamo di abilitare questo flag.

Per ulteriori informazioni, consulta la pagina Configurare i flag di database.

Per correggere questo risultato, completa i seguenti passaggi:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, imposta 3625 su On.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL user connections configured

Nome categoria nell'API: SQL_USER_CONNECTIONS_CONFIGURED

In un'istanza di database Cloud SQL per SQL Server è configurato il flag di database user connections.

L'opzione user connection (Connessioni utente) specifica il numero massimo di connessioni simultanee connessioni utente consentite su un'istanza di SQL Server. Poiché è un'opzione dinamica (con autoconfigurazione), SQL Server regola automaticamente il numero massimo di connessioni utente necessarie in base alle esigenze, fino al valore massimo consentito. Il valore predefinito è 0, il che significa che sono consentite fino a 32.767 connessioni utente. Per questo motivo, sconsigliamo di configurare il flag di database user connection.

Per ulteriori informazioni, consulta la pagina Configurare i flag di database.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, accanto a user connection, fai clic su delete Elimina.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nella pagina Panoramica dell'istanza.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL user options configured

Nome della categoria nell'API: SQL_USER_OPTIONS_CONFIGURED

Un'istanza di database Cloud SQL per SQL Server ha il flag di database user options configurato.

Questa impostazione sostituisce i valori predefiniti globali delle opzioni SET per tutti gli utenti. Poiché gli utenti e le applicazioni potrebbero assumere che le opzioni SET di database predefinite siano in uso, l'impostazione delle opzioni utente potrebbe causare risultati imprevisti. Per questo motivo, sconsigliamo di configurare il flag di database user options.

Per ulteriori informazioni, consulta la pagina Configurare i flag di database.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

4. Nella sezione Flag di database, accanto a user options, fai clic su delete Elimina.

5. Fai clic su Salva. La nuova configurazione viene visualizzata nell'istanza Panoramica.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SQL weak root password

Nome categoria nell'API: SQL_WEAK_ROOT_PASSWORD

Un'istanza di database MySQL ha una password debole impostata per l'account root. Tu devi impostare una password efficace per l'istanza. Per ulteriori informazioni, consulta Utenti MySQL.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Istanze Cloud SQL nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Nella pagina Dettagli istanza visualizzata, seleziona la scheda Utenti.

4. Accanto all'utente root, fai clic su Altro e poi seleziona Cambia password.

5. Inserisci una nuova password efficace e fai clic su Ok.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

SSL not enforced

Nome categoria nell'API: SSL_NOT_ENFORCED

Un'istanza del database Cloud SQL non richiede che tutte le connessioni in entrata utilizzino SSL.

Per evitare fughe di dati sensibili in transito tramite comunicazioni non criptate, tutte le connessioni in entrata nell'istanza di database SQL devono utilizzare SSL. Scopri di più sulla configurazione di SSL/TLS.

Per risolvere il problema, consenti solo connessioni SSL per le tue istanze SQL:

1. Vai alla pagina Istanze Cloud SQL nella nella console Google Cloud.

   Vai a Istanze Cloud SQL

2. Seleziona l'istanza elencata nel risultato di Security Health Analytics.

3. Nella scheda Connessioni, fai clic su Consenti solo connessioni SSL o Richiedi certificati client attendibili. Per ulteriori informazioni, consulta Applicare la crittografia SSL/TLS.

4. Se scegli Richiedi certificati client attendibili, crea un nuovo client certificato. Per ulteriori informazioni, vedi Crea un nuovo certificato client.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Too many KMS users

Nome categoria nell'API: TOO_MANY_KMS_USERS

Limita a tre il numero di utenti principali che possono utilizzare le chiavi di crittografia. I seguenti ruoli predefiniti concedono le autorizzazioni per criptare, decriptare o firmare che utilizzano chiavi di crittografia:

• roles/owner
• roles/cloudkms.cryptoKeyEncrypterDecrypter
• roles/cloudkms.cryptoKeyEncrypter
• roles/cloudkms.cryptoKeyDecrypter
• roles/cloudkms.signer
• roles/cloudkms.signerVerifier

Per ulteriori informazioni, vedi Autorizzazioni e ruoli.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Chiavi Cloud KMS nella console Google Cloud.

   Vai a Chiavi Cloud KMS

2. Fai clic sul nome del keyring indicato nel risultato.

3. Fai clic sul nome della chiave indicata nel risultato.

4. Seleziona la casella accanto alla versione principale, quindi fai clic su Mostra informazioni. Riquadro.

5. Riduci il numero di entità con autorizzazioni per criptare, decriptare o firmare i dati a un massimo di tre. Per revocare le autorizzazioni, fai clic su delete Elimina accanto a ogni entità.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Unconfirmed AppArmor profile

Nome categoria nell'API: GKE_APP_ARMOR

Un container può essere configurato esplicitamente per essere non limitato da AppArmor. Questo garantisce che nessun profilo AppArmor venga applicato al container e che quindi vincolato da un profilo. Il controllo della sicurezza preventiva disattivato aumenta il rischio di container escape.

Per risolvere il problema, applica i seguenti passaggi ai carichi di lavoro interessati:

1. Apri il file manifest per ogni carico di lavoro interessato.
2. Imposta i seguenti campi con restrizioni su uno dei valori consentiti.

Campi con restrizioni

• metadata.annotations["container.apparmor.security.beta.kubernetes.io/*"]

Valori consentiti

• falso

User managed service account key

Nome categoria nell'API: USER_MANAGED_SERVICE_ACCOUNT_KEY

Un utente gestisce una chiave dell'account di servizio. Se non vengono gestite correttamente, le chiavi degli account di servizio comportano un rischio per la sicurezza. Dovresti Scegliere un'alternativa più sicura alle chiavi degli account di servizio ove possibile. Se devi effettuare l'autenticazione con una chiave dell'account di servizio, sei responsabile della sicurezza della chiave privata e di altre operazioni descritte dalle best practice per la gestione delle chiavi degli account di servizio. Se non riesci a creare una chiave del service account, la creazione di chiavi del service account potrebbe essere disabilitata per la tua organizzazione. Per ulteriori informazioni, vedi Gestione delle risorse dell'organizzazione sicure per impostazione predefinita.

Per risolvere il problema, segui questi passaggi:

1. Vai alla pagina Account di servizio nella console Google Cloud.

   Vai a Service account

2. Se necessario, seleziona il progetto indicato nel risultato.

3. Elimina le chiavi dell'account di servizio gestite dall'utente indicate nel risultato, se non sono utilizzati da nessuna applicazione.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Weak SSL policy

Nome categoria nell'API: WEAK_SSL_POLICY

Un'istanza Compute Engine ha un criterio SSL debole o utilizza il criterio SSL predefinito di Google Cloud con una versione TLS inferiore a 1.2.

I bilanciatori del carico HTTPS e del proxy SSL utilizzano i criteri SSL per definire il protocollo e i pacchetti di crittografia utilizzati nelle connessioni TLS stabilite tra gli utenti e internet. Queste connessioni criptano i dati sensibili per proteggerli da intercettazioni dannose. Un criterio SSL debole consente ai client di utilizzare versioni obsolete di TLS per connettersi a un protocollo o a una suite di crittografia meno sicura. Per un elenco delle suite di crittografia consigliate e obsolete, visita il sito web TLS di iana.org dei parametri di rete.

Per le attivazioni a livello di progetto del livello Security Command Center Premium, questo risultato è disponibile solo se il livello Standard è abilitato nell'organizzazione principale.

I passaggi per la correzione di questo rilevamento variano a seconda che sia stato attivato dall'utilizzo di un criterio SSL predefinito di Google Cloud o di un criterio SSL che consente una suite di crittografia debole o una versione TLS minima inferiore a 1.2. Segui la procedura riportata di seguito corrispondente all'attivatore del risultato.

Risoluzione predefinita dei criteri SSL di Google Cloud

1. Vai alla pagina Proxy di destinazione nella console Google Cloud.

   Vai a Proxy di destinazione

2. Individua il proxy di destinazione indicato nel rilevamento e prendi nota delle regole di inoltro nella colonna Utilizzato da.

3. Per creare un nuovo criterio SSL, consulta Utilizzare i criteri SSL. Il criterio deve avere una versione TLS minima di 1.2 e un profilo moderno o con restrizioni.

4. Per utilizzare un profilo Personalizzato, assicurati che le seguenti suite di crittografia siano disabilitate:

   • TLS_RSA_WITH_AES_128_GCM_SHA256
   • TLS_RSA_WITH_AES_256_GCM_SHA384
   • TLS_RSA_WITH_AES_128_CBC_SHA
   • TLS_RSA_WITH_AES_256_CBC_SHA
   • TLS_RSA_WITH_3DES_EDE_CBC_SHA

5. Applica il criterio SSL a ogni regola di forwarding osservata in precedenza.

È stato consentito il rimedio per una suite di crittografia debole o una versione TLS precedente

1. Nella console Google Cloud, vai alla pagina Criteri SSL.

   Vai ai criteri SSL

2. Individua il bilanciatore del carico indicato nella colonna Utilizzato da.

3. Fai clic sotto il nome del criterio.

4. Fai clic su edit Modifica.

5. Modifica la versione TLS minima impostandola su TLS 1.2 e il profilo su Moderno o Con restrizioni.

6. Per utilizzare un profilo Personalizzato, assicurati che le seguenti suite di crittografia siano disabilitate:

   • TLS_RSA_WITH_AES_128_GCM_SHA256
   • TLS_RSA_WITH_AES_256_GCM_SHA384
   • TLS_RSA_WITH_AES_128_CBC_SHA
   • TLS_RSA_WITH_AES_256_CBC_SHA
   • TLS_RSA_WITH_3DES_EDE_CBC_SHA

7. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Web UI enabled

Nome categoria nell'API: WEB_UI_ENABLED

L'interfaccia utente web (dashboard) di GKE è abilitata.

Un account di servizio Kubernetes con privilegi elevati esegue il backup del server Kubernetes web a riga di comando. Se compromesso, l'account di servizio può essere utilizzato in modo illecito. Se sei già utilizzando la console Google Cloud, l'interfaccia web di Kubernetes estende superficie di attacco inutilmente. Scopri di più sulla disattivazione dell'interfaccia web di Kubernetes.

Per risolvere il problema, disattiva l'interfaccia web di Kubernetes:

1. Vai alla pagina Cluster Kubernetes nella console Google Cloud.

   Vai ai cluster Kubernetes

2. Fai clic sul nome del cluster elencato nel risultato di Security Health Analytics.

3. Fai clic su edit Modifica.

   Se la configurazione del cluster è stata modificata di recente, il pulsante di modifica potrebbe essere disattivata. Se non riesci a modificare le impostazioni del cluster, attendi alcuni minuti e riprova.

4. Fai clic su Componenti aggiuntivi. La sezione si espande per mostrare i componenti aggiuntivi disponibili.

5. Nell'elenco a discesa Dashboard Kubernetes, seleziona Disabilitata.

6. Fai clic su Salva.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Workload Identity disabled

Nome categoria nell'API: WORKLOAD_IDENTITY_DISABLED

Workload Identity è disabilitato in un cluster GKE.

Workload Identity è il metodo consigliato per accedere ai servizi Google Cloud da GKE perché offre proprietà di sicurezza migliorate e gestibilità. Abilitando questa funzionalità vengono protetti alcuni sistemi potenzialmente sensibili dai carichi di lavoro utente in esecuzione sul cluster. Informazioni su Occultamento dei metadati.

Per correggere questo risultato, segui la guida per Abilitare Workload Identity su un cluster.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Risolvi gli errori di configurazione di AWS

AWS Cloud Shell Full Access Restricted

Nome della categoria nell'API: ACCESS_AWSCLOUDSHELLFULLACCESS_RESTRICTED

AWS CloudShell è un modo pratico per eseguire i comandi dell'interfaccia a riga di comando sui servizi AWS; un criterio IAM gestito ("AWSCloudShellFullAccess") fornisce l'accesso completo a CloudShell, consentendo di caricare e scaricare file tra il sistema locale di un utente e l'ambiente CloudShell. Nell'ambiente CloudShell un utente dispone delle autorizzazioni sudo e può accedere a internet. Pertanto, è possibile installare software di trasferimento file (ad esempio) e spostare i dati da CloudShell a server internet esterni.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Access Keys Rotated Every 90 Days or Less

Nome categoria nell'API: ACCESS_KEYS_ROTATED_90_DAYS_LESS

Le chiavi di accesso sono costituite da un ID chiave di accesso e da una chiave di accesso segreta, utilizzate per firmare le richieste programmatiche inoltrate ad AWS. Gli utenti AWS hanno bisogno delle proprie chiavi di accesso per effettuare chiamate programmatiche ad AWS dall'interfaccia a riga di comando di AWS (AWS CLI), dagli strumenti per Windows PowerShell, dagli SDK AWS o da chiamate HTTP dirette utilizzando le API per i singoli servizi AWS. È consigliabile ruotare regolarmente tutte le chiavi di accesso.

aws iam create-access-key

aws iam get-access-key-last-used

aws iam update-access-key

aws iam delete-access-key

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

All Expired Ssl Tls Certificates Stored Aws Iam Removed

Nome categoria nell'API: ALL_EXPIRED_SSL_TLS_CERTIFICATES_STORED_AWS_IAM_REMOVED

Per attivare le connessioni HTTPS al tuo sito web o alla tua applicazione in AWS, devi disporre di un certificato del server SSL/TLS. Puoi utilizzare ACM o IAM per archiviare i certificati server ed eseguirne il deployment.
Utilizza IAM come gestore dei certificati solo se devi supportare le connessioni HTTPS in una regione non supportata da ACM. IAM cripta in modo sicuro le tue chiavi private e archivia la versione criptata nello spazio di archiviazione dei certificati SSL IAM. IAM supporta il deployment dei certificati del server in tutte le regioni, ma devi ottenere il certificato da un provider esterno per utilizzarlo con AWS. Non puoi caricare un certificato ACM in IAM. Inoltre, non puoi gestire i certificati dalla console IAM.

aws iam delete-server-certificate --server-certificate-name <CERTIFICATE_NAME>

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Autoscaling Group Elb Healthcheck Required

Nome della categoria nell'API: AUTOSCALING_GROUP_ELB_HEALTHCHECK_REQUIRED

Questo verifica se i gruppi di scalabilità automatica associati a un bilanciatore del carico utilizzano i controlli di integrità di Elastic Load Balancing.

In questo modo, il gruppo può determinare lo stato di un'istanza in base a test aggiuntivi forniti dal bilanciatore del carico. L'utilizzo dei controlli di integrità di Elastic Load Balancing può supportare la disponibilità delle applicazioni che utilizzano i gruppi di scalabilità automatica EC2.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Auto Minor Version Upgrade Feature Enabled Rds Instances

Nome categoria nell'API: AUTO_MINOR_VERSION_UPGRADE_FEATURE_ENABLED_RDS_INSTANCES

Assicurati che per le istanze di database RDS sia attivato il flag di upgrade automatico della versione secondaria per ricevere automaticamente gli upgrade del motore secondario durante la finestra di manutenzione specificata. Di conseguenza, le istanze RDS possono ricevere le nuove funzionalità, le correzioni di bug e le patch di sicurezza per i relativi motori di database.

aws rds describe-db-instances --region <regionName> --query 'DBInstances[*].DBInstanceIdentifier'

aws rds modify-db-instance --region <regionName> --db-instance-identifier <dbInstanceIdentifier> --auto-minor-version-upgrade --apply-immediately

aws rds describe-db-instances --region <regionName> --db-instance-identifier <dbInstanceIdentifier> --query 'DBInstances[*].AutoMinorVersionUpgrade'

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Aws Config Enabled All Regions

Nome della categoria nell'API: AWS_CONFIG_ENABLED_ALL_REGIONS

AWS Config è un servizio web che gestisce la configurazione delle risorse AWS supportate all'interno del tuo account e ti fornisce i file di log. Le informazioni registrate includono l'elemento di configurazione (risorsa AWS), le relazioni tra gli elementi di configurazione (risorse AWS), eventuali modifiche alla configurazione tra le risorse. Ti consigliamo di abilitare AWS Config in tutte le regioni.

aws configservice put-configuration-recorder --configuration-recorder name=default,roleARN=arn:aws:iam::012345678912:role/myConfigRole --recording-group allSupported=true,includeGlobalResourceTypes=true

{
 "name": "default",
 "s3BucketName": "my-config-bucket",
 "snsTopicARN": "arn:aws:sns:us-east-1:012345678912:my-config-notice",
 "configSnapshotDeliveryProperties": {
 "deliveryFrequency": "Twelve_Hours"
 }
}

aws configservice put-delivery-channel --delivery-channel file://deliveryChannel.json

aws configservice start-configuration-recorder --configuration-recorder-name default

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Aws Security Hub Enabled

Nome categoria nell'API: AWS_SECURITY_HUB_ENABLED

Security Hub raccoglie i dati di sicurezza da tutti gli account, i servizi e i prodotti partner di terze parti supportati di AWS e ti aiuta ad analizzare le tendenze di sicurezza e a identificare i problemi di sicurezza con la massima priorità. Quando si abilita Security Hub, inizia a utilizzare, aggregare, organizzare e dare priorità ai risultati dei servizi AWS abilitati, come Amazon GuardDuty, Amazon Inspector e Amazon Macie. Puoi anche abilitare le integrazioni con i prodotti di sicurezza dei partner AWS.

aws securityhub enable-security-hub --enable-default-standards

aws securityhub enable-security-hub --no-enable-default-standards

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Cloudtrail Logs Encrypted Rest Using Kms Cmks

Nome della categoria nell'API: CLOUDTRAIL_LOGS_ENCRYPTED_REST_USING_KMS_CMKS

AWS CloudTrail è un servizio web che registra le chiamate all'API AWS per un account e rende disponibili questi log per gli utenti e le risorse in conformità con i criteri IAM. AWS Key Management Service (KMS) è un servizio gestito che consente di creare e controllare le chiavi di crittografia utilizzate per criptare i dati dell'account e utilizza moduli di sicurezza hardware (HSM) per proteggere la sicurezza delle chiavi di crittografia. I log di CloudTrail possono essere configurati per sfruttare la crittografia lato server (SSE) e le chiavi master (CMK) create dal cliente di KMS per proteggere ulteriormente i log di CloudTrail. Ti consigliamo di configurare CloudTrail in modo da utilizzare SSE-KMS.

aws cloudtrail update-trail --name <trail_name> --kms-id <cloudtrail_kms_key>
aws kms put-key-policy --key-id <cloudtrail_kms_key> --policy <cloudtrail_kms_key_policy>

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Cloudtrail Log File Validation Enabled

Nome della categoria nell'API: CLOUDTRAIL_LOG_FILE_VALIDATION_ENABLED

La convalida del file di log di CloudTrail crea un file digest con firma digitale contenente un hash di ogni log che CloudTrail scrive in S3. Questi file di digest possono essere utilizzati per determinare se un file di log è stato modificato, eliminato o non modificato dopo che CloudTrail ha inviato il log. È consigliabile abilitare la convalida dei file su tutti i CloudTrail.

aws cloudtrail update-trail --name <trail_name> --enable-log-file-validation

aws cloudtrail validate-logs --trail-arn <trail_arn> --start-time <start_time> --end-time <end_time>

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Cloudtrail Trails Integrated Cloudwatch Logs

Nome della categoria nell'API: CLOUDTRAIL_TRAILS_INTEGRATED_CLOUDWATCH_LOGS

AWS CloudTrail è un servizio web che registra le chiamate API AWS effettuate in un determinato account AWS. Le informazioni registrate includono l'identità dell'autore della chiamata API, l'ora della chiamata API, l'indirizzo IP di origine dell'autore della chiamata API, i parametri di richiesta e gli elementi di risposta restituiti dal servizio AWS. CloudTrail utilizza Amazon S3 per l'archiviazione e la consegna dei file di log, pertanto i file di log vengono archiviati in modo duraturo. Oltre ad acquisire i log di CloudTrail all'interno di un bucket S3 specificato per l'analisi a lungo termine, l'analisi in tempo reale può essere eseguita configurando CloudTrail per l'invio dei log ai log di CloudWatch. Per un trail abilitato in tutte le regioni di un account, CloudTrail invia i file di log da tutte queste regioni a un gruppo di log di CloudWatch Logs. Ti consigliamo di inviare i log di CloudTrail a CloudWatch Logs.

Nota: lo scopo di questa raccomandazione è garantire che l'attività dell'account AWS venga acquisita, monitorata e attivata in modo appropriato. CloudWatch Logs è un modo nativo per ottenere questo risultato utilizzando i servizi AWS, ma non preclude l'uso di una soluzione alternativa.

aws cloudtrail update-trail --name <trail_name> --cloudwatch-logs-log-group-arn <cloudtrail_log_group_arn> --cloudwatch-logs-role-arn <cloudtrail_cloudwatchLogs_role_arn>

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Cloudwatch Alarm Action Check

Nome della categoria nell'API: CLOUDWATCH_ALARM_ACTION_CHECK

Questo controllo controlla se Amazon Cloudwatch ha azioni definite quando un allarme passa tra gli stati "OK" e "ALARM" e "INSUFFICIENT_DATA".

La configurazione delle azioni per lo stato ALARM negli allarmi Amazon CloudWatch è molto importante per attivare una risposta immediata quando le soglie di violazione delle metriche monitorate sono.
Garantisce una rapida risoluzione dei problemi, riduce i tempi di inattività e consente la correzione automatica, mantenendo l'integrità del sistema e prevenendo le interruzioni del servizio.

Le sveglie hanno almeno un'azione.
Le sveglie hanno almeno un'azione quando passano a "INSUFFICIENT_DATA" di qualsiasi altro stato.
(Facoltativo) Le sveglie hanno almeno un'azione quando passano a "OK" di qualsiasi altro stato.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Cloudwatch Log Group Encrypted

Nome categoria nell'API: CLOUDWATCH_LOG_GROUP_ENCRYPTED

Questo controllo garantisce che i log di CloudWatch siano configurati con KMS.

I dati del gruppo di log sono sempre criptati in CloudWatch Logs. Per impostazione predefinita, CloudWatch Logs utilizza la crittografia lato server per i dati di log at-rest. In alternativa, puoi utilizzare AWS Key Management Service per questa crittografia. In questo caso, la crittografia viene eseguita utilizzando una chiave KMS AWS. La crittografia con AWS KMS viene abilitata a livello di gruppo di log associando una chiave KMS a un gruppo di log, quando lo crei o dopo che è stato creato.

Per ulteriori informazioni, consulta Criptare i dati dei log in CloudWatch Logs utilizzando AWS Key Management Service nella guida dell'utente di Amazon CloudWatch.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

CloudTrail CloudWatch Logs Enabled

Nome della categoria nell'API: CLOUD_TRAIL_CLOUD_WATCH_LOGS_ENABLED

Questo controllo verifica se i trail di CloudTrail sono configurati per inviare i log a CloudWatch Logs. Il controllo non va a buon fine se la proprietà CloudWatchLogsLogGroupArn del percorso è vuota.

CloudTrail registra le chiamate all'API AWS effettuate in un determinato account. Le informazioni registrate includono:

• Identità del chiamante API
• L'ora della chiamata API
• L'indirizzo IP di origine del chiamante API
• I parametri della richiesta
• Gli elementi di risposta restituiti dal servizio AWS

CloudTrail utilizza Amazon S3 per l'archiviazione e la consegna dei file di log. Puoi acquisire i log di CloudTrail in un bucket S3 specificato per l'analisi a lungo termine. Per eseguire l'analisi in tempo reale, puoi configurare CloudTrail in modo che invii i log a CloudWatch Logs.

Per un trail abilitato in tutte le regioni di un account, CloudTrail invia i file di log di tutte queste regioni a un gruppo di log di log di CloudWatch.

Security Hub consiglia di inviare i log di CloudTrail a CloudWatch Logs. Tieni presente che questo consiglio ha lo scopo di garantire che l'attività dell'account venga acquisita, monitorata e segnalata in modo appropriato. Puoi utilizzare CloudWatch Logs per configurare questa operazione con i tuoi servizi AWS. Questo consiglio non preclude l'uso di una soluzione diversa.

L'invio dei log di CloudTrail a CloudWatch Logs semplifica la registrazione delle attività in tempo reale e storiche in base a utente, API, risorsa e indirizzo IP. Puoi utilizzare questo approccio per impostare avvisi e notifiche per attività anomale o sensibili dell'account.

Per integrare CloudTrail con CloudWatch Logs, consulta Invio di eventi a CloudWatch Logs nella Guida dell'utente di AWS CloudTrail.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

No AWS Credentials in CodeBuild Project Environment Variables

Nome della categoria nell'API: CODEBUILD_PROJECT_ENVVAR_AWSCRED_CHECK

Questo controllo consente di verificare se il progetto contiene le variabili di ambiente AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY.

Le credenziali di autenticazione AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY non devono mai essere memorizzate in testo in chiaro, poiché ciò potrebbe causare un’esposizione accidentale dei dati e accessi non autorizzati.

Per rimuovere le variabili di ambiente da un progetto CodeBuild, consulta Modificare le impostazioni di un progetto di build in AWS CodeBuild nella Guida dell'utente di AWS CodeBuild. Assicurati che non sia selezionato nulla per le variabili di ambiente.

Puoi archiviare le variabili di ambiente con valori sensibili nel Parameter Store di AWS Systems Manager o in AWS Secrets Manager e poi recuperarle dalla specifica di compilazione. Per istruzioni, consulta la casella Importante nella sezione Ambiente della Guida dell'utente di AWS CodeBuild.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Codebuild Project Source Repo Url Check

Nome categoria nell'API: CODEBUILD_PROJECT_SOURCE_REPO_URL_CHECK

Questo controllo consente di verificare se l'URL del repository di origine Bitbucket del progetto AWS CodeBuild contiene token di accesso personale o un nome utente e una password. Il controllo non va a buon fine se l'URL del repository di codice sorgente Bitbucket contiene token di accesso personale o un nome utente e una password.

Le credenziali di accesso non devono essere archiviate o trasmesse in chiaro, né apparire nell'URL del repository di codice sorgente. Invece dei token di accesso personali o delle credenziali di accesso, devi accedere al tuo provider di origine in CodeBuild e modificare l'URL del repository di origine in modo che contenga solo il percorso alla posizione del repository Bitbucket. L'utilizzo di token di accesso personali o di credenziali di accesso potrebbe causare un'esposizione accidentale dei dati o accessi non autorizzati.

Puoi aggiornare il progetto CodeBuild per utilizzare OAuth.

Per rimuovere l'autenticazione di base/il token di accesso personale (GitHub) dall'origine del progetto CodeBuild

1. Apri la console di CodeBuild all'indirizzo https://console.aws.amazon.com/codebuild/.
2. Scegli il progetto di build che contiene i token di accesso personale o un nome utente e una password.
3. Da Modifica, scegli Origine.
4. Scegli Scollega da GitHub/Bitbucket.
5. Scegli Connetti utilizzando OAuth, quindi Connetti a GitHub/Bitbucket.
6. Quando richiesto, scegli l'autorizzazione in base alle tue esigenze.
7. Riconfigura l'URL del repository e le impostazioni di configurazione aggiuntive, se necessario.
8. Scegli Aggiorna origine.

Per ulteriori informazioni, consulta la sezione Esempi basati su casi d'uso di CodeBuild nella Guida dell'utente di AWS CodeBuild.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Credentials Unused 45 Days Greater Disabled

Nome categoria nell'API: CREDENTIALS_UNUSED_45_DAYS_GREATER_DISABLED

Gli utenti IAM AWS possono accedere alle risorse AWS utilizzando diversi tipi di credenziali, come password o chiavi di accesso. È consigliabile disattivare o rimuovere tutte le credenziali che non sono state utilizzate per almeno 45 giorni.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Default Security Group Vpc Restricts All Traffic

Nome della categoria nell'API: DEFAULT_SECURITY_GROUP_VPC_RESTRICTS_ALL_TRAFFIC

Un VPC è dotato di un gruppo di sicurezza predefinito le cui impostazioni iniziali negano tutto il traffico in entrata, consentono tutto il traffico in uscita e consentono tutto il traffico tra le istanze assegnate al gruppo di sicurezza. Se non specifichi un gruppo di sicurezza quando avvii un'istanza, questa viene assegnata automaticamente a questo gruppo di sicurezza predefinito. I gruppi di sicurezza forniscono il filtro stateful del traffico di rete in entrata/in uscita verso le risorse AWS. È consigliabile che il gruppo di sicurezza predefinito limiti tutto il traffico.

Per il VPC predefinito in ogni regione deve essere aggiornato il proprio gruppo di sicurezza predefinito in modo da renderlo conforme. Le VPC appena create conterranno automaticamente un gruppo di sicurezza predefinito che dovrà essere sottoposto a correzione per rispettare questo consiglio.

NOTA: quando implementi questo consiglio, il logging dei flussi VPC è fondamentale per determinare l'accesso alle porte con privilegi minimi richiesto dai sistemi per funzionare correttamente, perché può registrare tutte le accettazioni e i rifiuti dei pacchetti che si verificano nei gruppi di sicurezza attuali. Ciò riduce drasticamente la principale barriera all'ingegneria dei privilegi minimi: la scoperta delle porte minime richieste dai sistemi nell'ambiente. Anche se il consiglio per la registrazione dei flussi VPC in questo benchmark non viene adottato come misura di sicurezza permanente, deve essere utilizzato durante qualsiasi periodo di rilevamento e progettazione per i gruppi di sicurezza con privilegi minimi.

Membri del gruppo di sicurezza

Per implementare lo stato prescritto:

1. Identifica le risorse AWS esistenti all'interno del gruppo di sicurezza predefinito
2. Crea un insieme di gruppi di sicurezza con privilegi minimi per queste risorse
3. Collocare le risorse in questi gruppi di sicurezza
4. Rimuovi le risorse indicate nel punto 1 dal gruppo di sicurezza predefinito

Stato del gruppo di sicurezza

1. Accedi alla console di gestione AWS all'indirizzo https://console.aws.amazon.com/vpc/home.
2. Ripeti i passaggi successivi per tutti i VPC, incluso il VPC predefinito in ogni regione AWS:
3. Nel riquadro a sinistra, fai clic su Security Groups
4. Per ogni gruppo di sicurezza predefinito, svolgi i seguenti passaggi:
5. Seleziona il gruppo di sicurezza default
6. Fai clic sulla scheda Inbound Rules.
7. Rimuovi tutte le regole in entrata
8. Fai clic sulla scheda Outbound Rules.
9. Rimuovi tutte le regole in uscita

Consigliato:

I gruppi IAM consentono di modificare il "nome" . Dopo aver corretto le regole dei gruppi predefiniti per tutti i VPC in tutte le regioni, modifica questo campo per aggiungere un testo simile a "NON DA UTILIZZARE". NON AGGIUNGERE REGOLE"

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Dms Replication Not Public

Nome categoria nell'API: DMS_REPLICATION_NOT_PUBLIC

Controlla se le istanze di replica AWS DMS sono pubbliche. A questo scopo, esamina il valore del campo PubliclyAccessible.

Un'istanza di replica privata ha un indirizzo IP privato a cui non puoi accedere all'esterno della rete di replica. Un'istanza di replica deve avere un indirizzo IP privato quando i database di origine e di destinazione si trovano nella stessa rete. La rete deve inoltre essere connessa al VPC dell'istanza di replica tramite VPN, AWS Direct Connect o peering VPC. Per scoprire di più sulle istanze di replica pubbliche e private, consulta la sezione Istanze di replica pubbliche e private nella Guida dell'utente di AWS Database Migration Service.

Devi anche assicurarti che l'accesso alla configurazione dell'istanza AWS DMS sia limitato solo agli utenti autorizzati. Per farlo, limita la visualizzazione Autorizzazioni IAM per modificare impostazioni e risorse AWS DMS.

Non puoi modificare l'impostazione di accesso pubblico per un'istanza di replica DMS dopo averla creata. Per modificare l'impostazione di accesso pubblico, elimina l'istanza attuale e poi ricreala. Non selezionare l'opzione Accessibile pubblicamente.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Do Setup Access Keys During Initial User Setup All Iam Users Console

Nome della categoria nell'API: DO_SETUP_ACCESS_KEYS_DURING_INITIAL_USER_SETUP_ALL_IAM_USERS_CONSOLE

Quando crei un nuovo utente IAM, per impostazione predefinita la console AWS non è selezionata. Quando crei le credenziali utente IAM, devi determinare il tipo di accesso richiesto.

Accesso programmatico: l'utente IAM potrebbe dover effettuare chiamate API, utilizzare AWS CLI o gli strumenti per Windows PowerShell. In questo caso, crea una chiave di accesso (ID chiave di accesso e chiave di accesso segreta) per l'utente.

Accesso alla Console di gestione AWS: se l'utente deve accedere alla Console di gestione AWS, crea una password per l'utente.

aws iam delete-access-key --access-key-id <access-key-id-listed> --user-name <users-name>

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Dynamodb Autoscaling Enabled

Nome categoria nell'API: DYNAMODB_AUTOSCALING_ENABLED

Questo verifica se una tabella Amazon DynamoDB può scalare la capacità di lettura e scrittura in base alle esigenze. Questo controllo viene superato se la tabella utilizza la modalità di capacità on demand o la modalità di provisioning con la scalabilità automatica configurata. La scalabilità della capacità in relazione alla domanda evita eccezioni di limitazione, il che aiuta a mantenere la disponibilità delle applicazioni.

Le tabelle DynamoDB in modalità di capacità on demand sono limitate solo dalle quote di tabella predefinite per il throughput di DynamoDB. Per aumentare queste quote, puoi inviare un ticket di assistenza tramite AWS Support.

Le tabelle DynamoDB in modalità con provisioning con scalabilità automatica regolano dinamicamente la capacità della velocità effettiva sottoposta a provisioning in risposta ai modelli di traffico. Per ulteriori informazioni sulla limitazione delle richieste DynamoDB, consulta Limitazione delle richieste e capacità di burst nella Guida per gli sviluppatori di Amazon DynamoDB.

Per istruzioni dettagliate su come abilitare la scalabilità automatica di DynamoDB sulle tabelle esistenti in modalità di capacità, consulta Abilitazione della scalabilità automatica di DynamoDB su tabelle esistenti nella Guida per gli sviluppatori di Amazon DynamoDB.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Dynamodb In Backup Plan

Nome della categoria nell'API: DYNAMODB_IN_BACKUP_PLAN

Questo controllo valuta se una tabella DynamoDB è coperta da un piano di backup. Il controllo non va a buon fine se una tabella DynamoDB non è coperta da un piano di backup. Questo controllo valuta solo le tabelle DynamoDB in stato ATTIVO.

I backup ti aiutano a recuperare più rapidamente da un incidente di sicurezza. Inoltre, rafforzano la resilienza dei tuoi sistemi. L'inclusione delle tabelle DynamoDB in un piano di backup consente di proteggere i dati da perdite o eliminazioni non intenzionali.

Per aggiungere una tabella DynamoDB a un piano di backup di AWS Backup, consulta la sezione Assegnazione di risorse a un piano di backup nella Guida per gli sviluppatori di AWS Backup.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Dynamodb Pitr Enabled

Nome della categoria nell'API: DYNAMODB_PITR_ENABLED

Il recupero point-in-time (PITR) è uno dei meccanismi disponibili per il backup delle tabelle DynamoDB.

Un backup in un determinato momento viene conservato per 35 giorni. Se il tuo requisito prevede una conservazione più lunga, consulta Configurare i backup pianificati per Amazon DynamoDB utilizzando AWS Backup nella documentazione AWS.

resource "aws_dynamodb_table" "example" {
  # ... other configuration ...
  point_in_time_recovery {
    enabled = true
  }
}

aws dynamodb update-continuous-backups \
  --table-name "GameScoresOnDemand" \
  --point-in-time-recovery-specification "PointInTimeRecoveryEnabled=true"

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Dynamodb Table Encrypted Kms

Nome categoria nell'API: DYNAMODB_TABLE_ENCRYPTED_KMS

Controlla se tutte le tabelle DynamoDB sono criptate con una chiave KMS gestita dal cliente (non predefinita).

resource "aws_kms_key" "dynamodb_encryption" {
  description         = "Used for DynamoDB encryption configuration"
  enable_key_rotation = true
}

resource "aws_dynamodb_table" "example" {
  # ... other configuration ...
  server_side_encryption {
    enabled     = true
    kms_key_arn = aws_kms_key.dynamodb_encryption.arn
  }
}

aws dynamodb update-table \
  --table-name <value> \
  --sse-specification "Enabled=true,SSEType=KMS,KMSMasterKeyId=<kms_key_arn>"

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Ebs Optimized Instance

Nome della categoria nell'API: EBS_OPTIMIZED_INSTANCE

Controlla se l'ottimizzazione EBS è abilitata per le istanze EC2 che possono essere ottimizzate per EBS

Per configurare le impostazioni delle istanze ottimizzate per EBS, consulta Istanze ottimizzate per Amazon EBS nella guida dell'utente di Amazon EC2.

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Ebs Snapshot Public Restorable Check

Nome della categoria nell'API: EBS_SNAPSHOT_PUBLIC_RESTORABLE_CHECK

Controlla se gli snapshot di Amazon Elastic Block Store non sono pubblici. Il controllo non va a buon fine se gli snapshot Amazon EBS sono ripristinabili da chiunque.

Gli snapshot EBS vengono utilizzati per eseguire il backup dei dati sui volumi EBS in Amazon S3 in un determinato momento. Puoi utilizzare gli snapshot per ripristinare gli stati precedenti dei volumi EBS. È raramente accettabile condividere uno snapshot con il pubblico. In genere la decisione di condividere pubblicamente uno snapshot è stata presa per errore o senza una completa comprensione delle implicazioni. Questo controllo contribuisce a garantire che tutte queste condivisioni siano state pianificate e intenzionali.

read_more Scopri gli asset e le impostazioni di scansione supportati per questo tipo di segnalazione .

Ebs Volume Encryption Enabled All Regions

Nome della categoria nell'API: EBS_VOLUME_ENCRYPTION_ENABLED_ALL_REGIONS

Elastic Compute Cloud (EC2) supporta la crittografia at-rest quando si utilizza il servizio Elastic Block Store (EBS). Sebbene sia disabilitata per impostazione predefinita, la crittografia forzata durante la creazione del volume EBS è supportata.

aws --region <region> ec2 enable-ebs-encryption-by-default

read_more Scopri di più su questo tipo di risultato asset supportati e impostazioni di scansione.

Ec2 Instances In Vpc

Nome della categoria nell'API: EC2_INSTANCES_IN_VPC

Amazon VPC offre più funzionalità di sicurezza rispetto a EC2 Classic. È consigliabile che tutti i nodi appartengano a un VPC Amazon.

  resource "aws_vpc" "example_vpc" {
    cidr_block = "10.0.0.0/16"
  }

  resource "aws_subnet" "example_public_subnet" {
    vpc_id            = aws_vpc.example_vpc.id
    cidr_block        = "10.0.1.0/24"
    availability_zone = "1a"
  }

  resource "aws_internet_gateway" "example_igw" {
    vpc_id = aws_vpc.example_vpc.id
  }

  resource "aws_key_pair" "example_key" {
    key_name   = "web-instance-key"
    public_key = "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQD3F6tyPEFEzV0LX3X8BsXdMsQz1x2cEikKDEY0aIj41qgxMCP/iteneqXSIFZBp5vizPvaoIR3Um9xK7PGoW8giupGn+EPuxIA4cDM4vzOqOkiMPhz5XK0whEjkVzTo4+S0puvDZuwIsdiW9mxhJc7tgBNL0cYlWSYVkz4G/fslNfRPW5mYAM49f4fhtxPb5ok4Q2Lg9dPKVHO/Bgeu5woMc7RY0p1ej6D4CKFE6lymSDJpW0YHX/wqE9+cfEauh7xZcG0q9t2ta6F6fmX0agvpFyZo8aFbXeUBr7osSCJNgvavWbM/06niWrOvYX2xwWdhXmXSrbX8ZbabVohBK41 email@example.com"
  }

  resource "aws_security_group" "web_sg" {
    name   = "http and ssh"
    vpc_id = aws_vpc.some_custom_vpc.id

    ingress {
      from_port   = 80
      to_port     = 80
      protocol    = "tcp"
      cidr_blocks = ["0.0.0.0/0"]
    }

    ingress {
      from_port   = 22
      to_port     = 22
      protocol    = "tcp"
      cidr_blocks = ["0.0.0.0/0"]
    }

    egress {
      from_port   = 0
      to_port     = 0
      protocol    = -1
      cidr_blocks = ["0.0.0.0/0"]
    }
  }

  resource "aws_instance" "web" {
    ami                    = <ami_id>
    instance_type          = <instance_flavor>
    key_name               = aws_key_pair.example_key.name
    monitoring             = true
    subnet_id              = aws_subnet.example_public_subnet.id
    vpc_security_group_ids = [aws_security_group.web_sg.id]
    metadata_options {
      http_tokens = "required"
    }
  }