検出サービス

このページでは、Security Command Center がクラウド環境のセキュリティ問題を検出するために使用する検出サービス（セキュリティ ソースとも呼ばれます）のリストを示します。

これらのサービスは、問題を検出すると検出結果を生成します。検出結果は、セキュリティの問題を特定し、問題の優先順位付けと解決に必要な情報を提供するレコードです。

Google Cloud コンソールで検出結果を表示して、検出タイプ、リソースタイプ、特定のアセットのフィルタリングなど、さまざまな方法でフィルタリングできます。セキュリティ ソースによって、検出結果の整理に役立つフィルタが追加されることがあります。

Security Command Center の IAM ロールは、組織レベル、フォルダレベル、またはプロジェクト レベルで付与できます。検出結果、アセット、セキュリティ ソースを表示、編集、作成、更新する権限は、アクセス権が付与されているレベルによって異なります。Security Command Center のロールの詳細については、アクセス制御をご覧ください。

脆弱性検出サービス

脆弱性検出サービスには、クラウド環境におけるソフトウェアの脆弱性、構成ミス、ポスチャー違反を検出する組み込みサービスと統合サービスが含まれています。このような種類のセキュリティ問題を総称して、脆弱性と呼びます。

Artifact Registry の脆弱性評価

Artifact Registry の脆弱性評価は、デプロイされたコンテナ イメージの脆弱性を検出してアラートを送信する検出サービスです。

この検出サービスは、次の条件でコンテナ イメージの脆弱性の検出結果を生成します。

• コンテナ イメージが Artifact Registry に保存されている。

• コンテナ イメージが次のいずれかのアセットにデプロイされている。

  • Google Kubernetes Engine クラスタ
  • Cloud Run サービス
  • Cloud Run ジョブ
  • App Engine

Artifact Registry の脆弱性評価では、重大度が「HIGH」または「CRITICAL」に分類されている脆弱性の検出結果が表示されます。Artifact Registry の脆弱性評価では、重大度が低い脆弱性の検出結果は生成されません。

Security Command Center で Artifact Registry の脆弱性評価を有効にすると、Artifact Registry の脆弱性評価は、重大度「高」と「緊急」の検出結果を Security Command Center に自動的に書き込みます。コンテナ イメージに「中」または「低」と分類された脆弱性がある場合、Artifact Registry の脆弱性評価で管理できますが、Security Command Center には表示されません。

Artifact Registry の脆弱性評価の検出結果が生成されると、最後に実行されたコンテナ イメージ スキャンから最大 5 週間、クエリを実行できます。Security Command Center のデータ保持の詳細については、データの保持をご覧ください。

Artifact Registry の脆弱性評価の検出結果を有効にする

Artifact Registry の脆弱性評価で、Artifact Registry に保存されているデプロイ済みコンテナ イメージの検出結果を Security Command Center に生成するには、プロジェクトで Container Scanning API を有効にする必要があります。

Container Scanning API を有効にしていない場合は、次の操作を行います。

1. Google Cloud コンソールで、[Container Scanning API] ページに移動します。

   Container Scanning API に移動

2. Container Scanning API を有効にするプロジェクトを選択します。

3. [有効にする] をクリックします。

Security Command Center には、該当するランタイム アセットにデプロイされ、スキャンされた脆弱なコンテナ イメージの検出結果が表示されます。ただし、検出サービスの動作は、Security Command Center を有効にした時期と Container Scanning API を有効にした時期によって異なります。

有効化のシナリオ	検出サービスの動作
Container Scanning API を有効にしてコンテナ イメージをデプロイした後に、Security Command Center を有効にした。	Artifact Registry の脆弱性評価では、有効にしてから 24 時間以内に、以前の Artifact Registry スキャンで検出された既存の脆弱性に関する検出結果が生成されます。
Container Scanning API を有効にする前に、Security Command Center を有効にしてコンテナ イメージをデプロイした。	Artifact Registry の脆弱性評価では、API を有効にする前にデプロイしたコンテナ イメージの脆弱性検出は、新しいスキャンがトリガーされるまで自動的に生成されません。新しいスキャンを手動でトリガーするには、コンテナ イメージを同じランタイム リソースに再デプロイします。Artifact Registry の脆弱性評価では、スキャン中に脆弱性が検出されると、すぐに検出結果が生成されます。
コンテナ イメージをデプロイする前に、Security Command Center と Container Scanning API を有効にしている。	新しくデプロイされたコンテナ イメージは Artifact Registry で直ちにスキャンされます。スキャンで脆弱性が検出されると、Artifact Registry の脆弱性評価で検出結果が生成されます。

Artifact Registry の脆弱性評価の検出結果を無効にする

Artifact Registry の脆弱性評価の検出結果を無効にするには、次の操作を行います。

1. Google Cloud コンソールで、Container Scanning API の [API / サービスの詳細] ページに移動します。

   [API / サービスの詳細] に移動

2. Container Scanning API を無効にするプロジェクトを選択します。

3. [API を無効にする] をクリックします。

Security Command Center には、今後のコンテナ イメージ スキャンで検出された脆弱性の検出結果は表示されません。Security Command Center は、既存の Artifact Registry の脆弱性評価の検出結果を、最後に実行されたコンテナ イメージ スキャンから少なくとも 35 日間保持します。Security Command Center のデータ保持の詳細については、データの保持をご覧ください。

Security Command Center の設定で脆弱性評価のソース ID を無効にすることで、Artifact Registry の脆弱性評価を無効にすることもできますが、これはおすすめしません。脆弱性評価のソース ID を無効にすると、脆弱性評価のソース ID に分類されているすべての検出サービスが無効になります。そのため、上記の手順で Container Scanning API を無効にすることをおすすめします。

Artifact Registry の脆弱性評価の検出機能

検出機能

サマリー

Container image vulnerability API のカテゴリ名: CONTAINER_IMAGE_VULNERABILITY

検出結果の説明: Artifact Registry でスキャンされたコンテナ イメージで脆弱性が検出されました。このイメージは、次のいずれかのアセットにデプロイされています。 Google Kubernetes Engine クラスタ Cloud Run サービス Cloud Run ジョブ App Engine 料金ティア: スタンダード、プレミアム、エンタープライズ この検出結果を修正するbuild: リソースタイプに応じて、次の操作を行います。 Cloud Run ジョブまたは実行の場合は、修正済みのイメージ バージョンでジョブ構成を更新します。脆弱なイメージ バージョンの Cloud Run ジョブが 12 時間実行されない場合、検出結果は解決されます。 Cloud Run サービスまたはリビジョンの場合、修正済みのイメージ バージョンでデプロイされた別のリビジョンにトラフィックを割り当てます。脆弱なイメージを含むリビジョンにトラフィックが割り当てられていないことを確認します。 Google Kubernetes Engine アセットまたは App Engine アセットの場合は、コンテナ イメージのバージョンをアップグレードまたは削除します。 適切なランタイム リソースに基づく具体的な修復手順については、検出結果の詳細をご覧ください。 スタンダード ティアを利用している場合、Cloud Asset Inventory のアセットクエリ機能で脆弱なコンテナ イメージがデプロイされている場所を特定することはできません。より詳細な情報を取得するには、プレミアム ティアまたはエンタープライズ ティアにアップグレードすることをおすすめします。

コンソールで Artifact Registry の脆弱性評価の検出結果を表示する

1. Google Cloud コンソールで、Security Command Center の [検出結果] ページに移動します。

   [検出結果] に移動

2. Google Cloud プロジェクトまたは組織を選択します。
3. [クイック フィルタ] セクションの [ソースの表示名] サブセクションで、[脆弱性評価] を選択します。検出結果クエリの結果が更新され、このソースからの検出結果のみが表示されます。
4. 特定の検出結果の詳細を表示するには、[カテゴリ] 列にある検出結果の名前をクリックします。検出結果の詳細パネルが開き、[概要] タブが表示されます。
5. [概要] タブで、検出された内容、影響を受けるリソース、検出結果の修正手順（ある場合）など、検出結果の詳細を確認します。
6. 省略可: 検出結果の完全な JSON 定義を表示するには、[JSON] タブをクリックします。

コンプライアンス マネージャーの検出結果

コンプライアンス マネージャーは、 Google Cloud 環境にデプロイする検出型と予防型のクラウド コントロールの検出結果を作成します。これらの検出結果は、Security Command Center の [検出結果] ページで確認できます。

コンソールでコンプライアンス マネージャーの検出結果を表示する

1. Google Cloud コンソールで、Security Command Center の [検出結果] ページに移動します。

   [検出結果] に移動

2. Google Cloud プロジェクトまたは組織を選択します。
3. [クイック フィルタ] セクションの [ソースの表示名] サブセクションで、[コンプライアンス評価サービス] を選択します。検出結果クエリの結果が更新され、このソースからの検出結果のみが表示されます。
4. 特定の検出結果の詳細を表示するには、[カテゴリ] 列にある検出結果の名前をクリックします。検出結果の詳細パネルが開き、[概要] タブが表示されます。
5. [概要] タブで、検出された内容、影響を受けるリソース、検出結果の修正手順（ある場合）など、検出結果の詳細を確認します。
6. 省略可: 検出結果の完全な JSON 定義を表示するには、[JSON] タブをクリックします。

データ セキュリティ ポスチャー管理

データ セキュリティ ポスチャー管理（DSPM）は、環境に適用するデータ セキュリティ フレームワークとクラウド コントロールに対する潜在的な違反に関する検出結果を作成します。これらの検出結果は、Security Command Center の [データ セキュリティとコンプライアンス] ページ、[リスクの概要] ページ（[データ] タブの下）、または [検出結果] ページで確認できます。

コンソールで DSPM の検出結果を表示する

1. Google Cloud コンソールで、Security Command Center の [検出結果] ページに移動します。

   [検出結果] に移動

2. Google Cloud 組織を選択します。

3. 次のクエリを使用して、DSPM の検出結果を表示します。

   state="ACTIVE" AND NOT mute="MUTED" AND resource.name="//aiplatform.googleapis.com/projects/478190632149/locations/us-central1/models/1244151282898305024" AND category="DATA_SECURITY_POSTURE_ACCESS_VIOLATION" OR category="DATA_SECURITY_POSTURE_FLOW_VIOLATION" OR category="DATA_SECURITY_POSTURE_DELETION_VIOLATION" OR category="DATA_SECURITY_POSTURE_PROTECTION_KEY_GOVERNANCE" OR category="BIGQUERY_TABLE_CMEK_DISABLED" OR category="VERTEX_AI_MODEL_CMEK_DISABLED" OR category="VERTEX_AI_METADATA_STORE_CMEK_DISABLED" OR category="VERTEX_AI_DATASET_CMEK_DISABLED" OR category="VERTEX_AI_FEATURE_STORE_TABLE_CMEK_DISABLED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_MISCONFIGURED" OR category="DATA_SECURITY_POSTURE_CMEK_POLICY_DELETED" OR category="DATA_SECURITY_POSTURE_CMEK_VIOLATION" OR category="SENSITIVE_DATA_PUBLIC_SQL_INSTANCE" OR category="SENSITIVE_DATA_PUBLIC_DATASET" OR category="SENSITIVE_DATA_BIGQUERY_TABLE_CMEK_DISABLED" OR category="SENSITIVE_DATA_DATASET_CMEK_DISABLED" OR category="SENSITIVE_DATA_SQL_CMEK_DISABLED" OR category="PUBLIC_DATASET" OR category="PUBLIC_SQL_INSTANCE" OR category="SQL_PUBLIC_IP" OR category="ACCESS_TRANSPARENCY_DISABLED" OR category="ORG_POLICY_LOCATION_RESTRICTION" OR category="BUCKET_POLICY_ONLY_DISABLED" OR category="DATA_EXFILTRATION_BIG_QUERY" OR category="DATA_EXFILTRATION_BIG_QUERY_EXTRACTION" OR category="DATA_EXFILTRATION_BIG_QUERY_TO_GOOGLE_DRIVE"
   

4. 特定の検出結果の詳細を表示するには、[カテゴリ] 列にある検出結果の名前をクリックします。検出結果の詳細パネルが開き、[概要] タブが表示されます。

5. [概要] タブで、検出された内容、影響を受けるリソース、検出結果の修正手順（ある場合）など、検出結果の詳細を確認します。

6. 省略可: 検出結果の完全な JSON 定義を表示するには、[JSON] タブをクリックします。

GKE セキュリティ ポスチャー ダッシュボード

Google Kubernetes Engine（GKE）セキュリティ ポスチャー ダッシュボードは、GKE クラスタの潜在的なセキュリティ問題に関する対応可能な検出結果を独自に提供するGoogle Cloud コンソールのページです。

これらの検出結果を表示するには、次のいずれかの GKE セキュリティ ポスチャー ダッシュボード機能を有効にします。

GKE セキュリティ ポスチャー ダッシュボードのペイン	Security Command Center の検出結果のクラス
ワークロード構成の監査1	MISCONFIGURATION
上位の脅威2	THREAT
コンテナ OS の脆弱性スキャン1 言語パッケージの脆弱性スキャン1 対応可能なセキュリティに関する公開情報1（プレビュー版） 上位のソフトウェアの脆弱性2（プレビュー）	VULNERABILITY